Az iOS 4.3.2-es szoftverfrissítés biztonsági változásjegyzéke

Ez a dokumentum az iOS 4.3.2-es szoftverfrissítés biztonsági változásjegyzékét ismerteti.

Ez a dokumentum az iTunes segítségével letölthető és telepíthető iOS 4.3.2 szoftverfrissítés biztonsági változásjegyzékét ismerteti.

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma teljes körű kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. Az Apple-termékekkel kapcsolatos biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

Az Apple termékbiztonsági PGP-kulcsáról „Az Apple termékbiztonsági PGP-kulcs használata” című cikkben talál bővebb információkat.

Ahol csak lehetséges, a cikk a CVE-azonosítójuk alapján hivatkozik az egyes biztonsági résekre.

Más biztonsági frissítésekről „Az Apple biztonsági frissítései” című cikkből tájékozódhat.

iOS 4.3.2 szoftverfrissítés

• Certificate Trust Policy

  A következőkhöz érhető el: iPhone 3GS vagy annál újabb készüléken futó iOS 3.0 és iOS 4.3.1 közötti rendszerek, 3. generációs iPod touch vagy annál újabb készüléken futó iOS 3.1 és iOS 4.3.1 közötti rendszerek és iPaden futó iOS 3.2 és iOS 4.3.1 közötti rendszerek

  Érintett terület: Egy magas hálózati jogosultsággal rendelkező támadó hozzáférhetett a felhasználói hitelesítő adatokhoz és más bizalmas információkhoz.

  Leírás: A Comodóhoz társult egyik regisztrációszolgáltató több hamis SSL-tanúsítványt adott ki. Ez lehetővé tehette a közbeékelődő támadók számára a kapcsolatok átirányítását, és így a felhasználói hitelesítő adatokhoz és más bizalmas információkhoz való illetéktelen hozzáférést. A problémát a hamis tanúsítványok letiltásával hárították el.

  Megjegyzés: A Mac OS X rendszerek esetében a 2011-002 biztonsági frissítés hárítja el a problémát. A Windows rendszerek esetében a Safari a gazdagép operációs rendszerének tanúsítványtárolója alapján határozza meg, hogy megbízható-e a kiszolgálói SSL-tanúsítvány. A Microsoft Tudásbázis 2524375-ös számú cikkében ismertetett frissítés alkalmazása esetén a Safari nem megbízhatóként fogja kezelni ezeket a tanúsítványokat. A cikk az alábbi oldalon érhető el: http://support.microsoft.com/kb/2524375

• libxslt

  A következőkhöz érhető el: iPhone 3GS vagy annál újabb készüléken futó iOS 3.0 és iOS 4.3.1 közötti rendszerek, 3. generációs iPod touch vagy annál újabb készüléken futó iOS 3.1 és iOS 4.3.1 közötti rendszerek és iPaden futó iOS 3.2 és iOS 4.3.1 közötti rendszerek

  Érintett terület: Ártó szándékkal létrehozott webhelyek felkeresésekor a halommemória-címek közzétételére kerülhetett sor.

  Leírás: A generate-id() XPath függvény libxslt-implementációja egy halommemória-puffer címének közzétételéhez vezetett. Ártó szándékkal létrehozott webhelyek felkeresésekor a halommemória-címek közzétételére kerülhetett sor, amely elősegíthette a véletlenszerű címtér-elrendezéses védelmet. A hibát a két halommemória-puffer címe közötti különbség alapján generált azonosító révén küszöbölték ki.

  CVE-azonosító

  CVE-2011-0195: Chris Evans (Google Chrome Security Team)

• QuickLook

  A következőkhöz érhető el: iPhone 3GS vagy annál újabb készüléken futó iOS 3.0 és iOS 4.3.1 közötti rendszerek, 3. generációs iPod touch vagy annál újabb készüléken futó iOS 3.1 és iOS 4.3.1 közötti rendszerek és iPaden futó iOS 3.2 és iOS 4.3.1 közötti rendszerek

  Érintett terület: Az ártó szándékkal létrehozott Microsoft Office-fájlok megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett.

  Leírás: Memóriasérülési hiba állt fenn a Microsoft Office-fájlok QuickLook általi kezelésében. Az ártó szándékkal létrehozott Microsoft Office-fájlok megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett.

  CVE-ID

  CVE-2011-1417 : Charlie Miller és Dion Blazakis a TippingPoint Zero Day Initiative kezdeményezése keretében

• WebKit

  A következőkhöz érhető el: iPhone 3GS vagy annál újabb készüléken futó iOS 3.0 és iOS 4.3.1 közötti rendszerek, 3. generációs iPod touch vagy újabb készüléken futó iOS 3.1 és iOS 4.3.1 közötti rendszerek és iPaden futó iOS 3.2 és iOS 4.3.1 közötti rendszerek

  Érintett terület: Az ártó szándékkal létrehozott weboldalak felkeresése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett.

  Leírás: Egészszám-túlcsordulási probléma lépett fel a csomópontkészletek kezelésekor. Az ártó szándékkal létrehozott webhelyek felkeresése váratlan alkalmazásleállást idézhetett elő, illetve önkényes kódfuttatást tehetett lehetővé.

  CVE-azonosító

  CVE-2011-1290 : Vincenzo Iozzo, Willem Pinckaers, Ralf-Philipp Weinmann és egy anonim kutató a TippingPoint Zero Day Initiative kezdeményezésének közreműködőjeként

• WebKit

  A következőkhöz érhető el: iPhone 3GS vagy annál újabb készüléken futó iOS 3.0 és iOS 4.3.1 közötti rendszerek, 3. generációs iPod touch vagy újabb készüléken futó iOS 3.1 és iOS 4.3.1 közötti rendszerek és iPaden futó iOS 3.2 és iOS 4.3.1 közötti rendszerek

  Érintett terület: Az ártó szándékkal létrehozott weboldalak felkeresése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett

  Leírás: Felszabadítás utáni használattal kapcsolatos probléma lépett fel a szöveges csomópontok kezelésekor. Az ártó szándékkal létrehozott webhelyek felkeresése váratlan alkalmazásleállást idézhetett elő, illetve önkényes kódfuttatást tehetett lehetővé.

  CVE-azonosító

  CVE-2011-1344: Vupen Security (a TippingPoint Zero Day Initiative kezdeményezésének közreműködőjeként) és Martin Barbella