關於 iPhone v1.0.1 更新的安全性內容
本文說明 iPhone v1.0.1 更新的安全性內容，此更新項目可透過 iTunes 下載並安裝，詳情請參閱本文資訊。
為保障客戶的安全，在進行完整調查並提供所有必要的修補程式或版本之前，Apple 不會揭露、討論或確認安全性問題。若要進一步了解 Apple 產品安全性，請參閱 Apple 產品安全性網站。
如需 Apple 產品安全性 PGP 金鑰的相關資訊，請參閱「如何使用 Apple 產品安全性 PGP 金鑰」。
如有可能，CVE ID 會用來參考安全漏洞，以取得進一步資訊。
若要了解其他安全性更新，請參閱「Apple 安全性更新」。
iPhone v1.0.1 更新
Safari
CVE-ID：CVE-2007-2400
適用於：iPhone v1.0
影響：參訪惡意網站可能會允許跨網站工序指令。
說明：Safari 的安全性模型使遠端網頁中的 JavaScript 無法修改非所在網域的頁面。頁面更新中的競爭條件加上 HTTP 重新導向功能，可能會允許頁面上的 JavaScript 修改重新導向後的頁面。這可能會允許 cookie 和頁面被讀取或任意修改。此更新可更正對視窗屬性的存取控制，以解決此問題。感謝 Adobe Systems, Inc. 的 Lawrence Lai、Stan Switzer 和 Ed Rowe 回報此問題。
Safari
CVE-ID：CVE-2007-3944
適用於：iPhone v1.0
影響：檢視惡意製作的網頁可能導致執行任何程式碼。
說明：Safari 中的 JavaScript 引擎所使用的 Perl 相容正規表達式（PCRE）資料庫出現堆疊緩衝區溢位。攻擊者可透過引誘使用者參訪惡意製作的網頁來觸發問題，進而可能導致執行任何程式碼。此更新可對 JavaScript 正規表達式執行額外驗證，以解決此問題。感謝 Independent Security Evaluators 的 Charlie Miller 和 Jake Honoroff 回報這些問題。
WebCore
CVE-ID：CVE-2007-2401
適用於：iPhone v1.0
影響：參訪惡意網站可能會允許跨網站要求。
說明：將標頭序列化到 HTTP 要求時，XMLHttpRequest 出現 HTTP 注入問題。透過引誘使用者參訪惡意製作的網頁，攻擊者可觸發跨網站工序指令問題。此更新可對標頭參數執行額外驗證，以解決此問題。感謝 Westpoint Ltd. 的 Richard Moore 回報此問題。
WebKit
CVE-ID：CVE-2007-3742
適用於：iPhone v1.0
影響：URL 中的相似字元可用於冒充網站。
說明：Safari 的國際化域名（IDN）支援功能和內嵌 Unicode 字體，可用於製作包含相似字元的 URL。這些字元可用於惡意網站，將使用者誘導到看似真實網域的偽造網站。此更新可改進網域名稱的有效性檢查機制，以解決此問題。感謝 Business Architects Inc. 的 Tomohito Yoshino 回報此問題。
WebKit
CVE-ID：CVE-2007-2399
適用於：iPhone v1.0
影響：參訪惡意製作的網站可能導致應用程式意外終止或執行任何程式碼。
說明：輸出架構組時的無效類型轉換，可能導致記憶體損毀。參訪惡意製作的網頁可能導致應用程式意外終止或執行任何程式碼。感謝 Westnet 的 Rhys Kidd 回報此問題。
安裝附註
此更新項目只能透過 iTunes 取得，電腦的「軟體更新」應用程式或 Apple 支援的「下載項目」網站皆不會顯示此更新項目。請確認你有網際網路連線，並已從（www.apple.com/tw/itunes）下載最新版本的 iTunes。
iTunes 會依照每週排程自動檢查 Apple 的更新伺服器。若偵測到更新項目，便會下載該項目。iPhone 連接電腦時，iTunes 會向使用者提供安裝更新的選項。如果可以，我們建議立即套用更新。若選取「不要安裝」，系統將在下次連接 iPhone 時顯示該選項。自動更新程序最長可能需要一週時間，具體取決於 iTunes 檢查更新的每週排定日。
你可以透過 iTunes 中的「檢查更新項目」按鈕或選單選項手動取得更新項目。完成此操作後，在 iPhone 連接電腦時，系統便可以套用更新。
若要檢查 iPhone 是否已更新：
前往 iPhone 上的「設定」。
按一下「一般」。
按一下「關於本機」。套用此更新後，版本將為「1.0.1 (1C25)」。