關於 iPhone 版 iOS 4.2.7 軟體更新的安全性內容

本文說明 iOS 4.2.7 軟體更新的安全性內容。

本文旨在說明 iOS 4.2.7 軟體更新的安全性內容，你可以使用 iTunes 下載並安裝此更新。

為保障客戶的安全，在進行完整調查並提供所有必要的修補程式或版本之前，Apple 不會揭露、討論或確認安全性問題。若要進一步了解 Apple 產品安全性，請參閱 Apple 產品安全性網站。

如需 Apple 產品安全性 PGP 金鑰的相關資訊，請參閱「如何使用 Apple 產品安全性 PGP 金鑰」。

如有可能，CVE ID 會用來參考安全漏洞，以取得進一步資訊。

若要了解其他安全性更新，請參閱「Apple 安全性更新」。

iPhone 版 iOS 4.2.7 軟體更新

• Certificate Trust Policy

  適用於：iPhone 4（CDMA）版 iOS 4.2.5 至 4.2.6

  影響：具有網路特殊權限的攻擊者可攔截使用者憑證或其他敏感資訊

  說明：Comodo 相關註冊授權單位核發了多個詐騙 SSL 憑證。這可讓攔截式攻擊者重新導向連線，並攔截使用者憑證或其他敏感資訊。將詐騙憑證列入黑名單後，已解決此問題。

  附註：針對 Mac OS X 系統，安全性更新 2011-002 已解決此問題。針對 Windows 系統，Safari 會仰賴儲存在主機作業系統中的憑證，以判斷 SSL 伺服器憑證是否值得信任。套用 Microsoft 知識庫文章 2524375 所描述的更新，可讓 Safari 將這些憑證視為不可信任。如需參閱該文章，請造訪 https://support.microsoft.com/kb/2524375

• QuickLook

  適用於：iPhone 4（CDMA）版 iOS 4.2.5 至 4.2.6

  影響：檢視惡意製作的 Microsoft Office 檔案可能導致應用程式意外終止或執行任意程式碼

  說明：QuickLook 處理 Microsoft Office 檔案時出現記憶體損毀問題。檢視惡意製作的 Microsoft Office 檔案可能導致應用程式意外終止或執行任意程式碼。

  CVE-ID

  CVE-2011-1417：Charlie Miller 和 Dion Blazakis（與 TippingPoint 的 Zero Day Initiative 合作）

• WebKit

  適用於：iPhone 4（CDMA）版 iOS 4.2.5 至 4.2.6

  影響：造訪惡意製作的網站可能導致應用程式意外終止或執行任意程式碼

  說明：處理 nodeset 時出現整數溢位問題。造訪惡意製作的網站可能導致應用程式意外終止或執行任意程式碼。

  CVE-ID

  CVE-2011-1290：Vincenzo Iozzo、Willem Pinckaers、Ralf-Philipp Weinmann，以及匿名研究員（與 TippingPoint 的 Zero Day Initiative 計畫合作）

• WebKit

  適用於：iPhone 4（CDMA）版 iOS 4.2.5 至 4.2.6

  影響：造訪惡意製作的網站可能導致應用程式意外終止或執行任意程式碼

  說明：處理文字節點時出現使用釋放後記憶體的問題。造訪惡意製作的網站可能導致應用程式意外終止或執行任意程式碼。

  CVE-ID

  CVE-2011-1344：Vupen Security（與 TippingPoint 的 Zero Day Initiative 計畫合作），以及 Martin Barbella