Om sikkerhetsinnholdet i programvareoppdateringen iOS 4.3.2

Dette dokumentet beskriver sikkerhetsinnholdet i programvareoppdateringen iOS 4.3.2.

Dette dokumentet beskriver sikkerhetsinnholdet i programvareoppdateringen iOS 4.3.2, som kan lastes ned og installeres ved hjelp av iTunes.

Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelige. Du finner mer informasjon om Apple-produktsikkerhet på nettstedet for Apple-produktsikkerhet.

Hvis du vil ha mer informasjon om PGP-nøkkelen for Apple-produktsikkerhet, kan du lese «Slik bruker du PGP-nøkkelen for Apple-produktsikkerhet.»

Der det er mulig, brukes CVE-ID-er som henvisning for ytterligere informasjon om svakhetene.

Hvis du vil ha mer informasjon om andre sikkerhetsoppdateringer, går du til «Sikkerhetsoppdateringer fra Apple.»

Programvareoppdatering for iOS 4.3.2

• Certificate Trust Policy

  Tilgengelig for: iOS 3.0 til og med 4.3.1 for iPhone 3GS og nyere, iOS 3.1 til og med 4.3.1 for iPod touch (3. generasjon) og nyere, iOS 3.2 til og med 4.3.1 for iPad

  Virkning: En angriper i en privilegert nettverksposisjon kan være i stand til å innhente brukerpåloggingsinformasjon eller annen sensitiv informasjon

  Beskrivelse: Flere falske SSL-sertifikater ble utstedt av en Comodo-tilknyttet registreringsmyndighet. Dette kan føre til at en angriper underveis kan omdirigere tilkoblinger og fange opp påloggingsopplysninger eller annen sensitiv informasjon. Problemet løses ved å svarteliste de falske sertifikatene.

  Merk: For Mac OS X-systemer løses problemet i Sikkerhetsoppdatering 2011-002. For Windows-systemer er Safari avhengig av sertifikatlageret til vertsoperativsystemet for å fastslå om et SSL-serversertifikat er pålitelig. Hvis du tar i bruk oppdateringen beskrevet i Microsoft-kunnskapsbaseartikkel 2524375, vil Safari anse disse sertifikatene som upålitelige. Artikkelen er tilgjengelig på http://support.microsoft.com/kb/2524375

• libxslt

  Tilgjengelig for: iOS 3.0 til og med 4.3.1 for iPhone 3GS og nyere, iOS 3.1 til og med 4.3.1 for iPod touch (3. generasjon) og nyere, iOS 3.2 til og med 4.3.1 for iPad

  Virkning: Besøk på et skadelig nettsted kan føre til at adresser avsløres på heapen

  Beskrivelse: libxslts implementering av funksjonen generate-id() XPath avslørte adressene til en minnebuffer. Besøk på et skadelig nettsted kan føre til at adresser avsløres på heapen, noe som kan bidra til at randomiseringsbeskyttelse for adresseromsoppsett kan omgås. Problemet løses ved å generere en ID basert på forskjellen mellom adressene til to minnebuffere.

  CVE-ID

  CVE-2011-0195: Chris Evans fra Google Chrome Security Team

• QuickLook

  Tilgjengelig for: iOS 3.0 til og med 4.3.1 for iPhone 3GS og nyere, iOS 3.1 til og med 4.3.1 for iPod touch (3. generasjon) og nyere, iOS 3.2 til og med 4.3.1 for iPad

  Virkning: Visning av en skadelig Microsoft Office-fil kan føre til uventet avslutning av et program eller kjøring av vilkårlig kode

  Beskrivelse: Det er et problem med skadet minne i QuickLooks håndtering av Microsoft Office-filer. Visning av skadelige Microsoft Office-filer kan føre til uventet avslutning av et program eller kjøring av vilkårlig kode.

  CVE-ID

  CVE-2011-1417: Charlie Miller og Dion Blazakis i samarbeid med TippingPoints Zero Day Initiative

• WebKit

  Tilgjengelig for: iOS 3.0 til og med 4.3.1 for iPhone 3GS og nyere, iOS 3.1 til og med 4.3.1 for iPod touch (3. generasjon) og nyere, iOS 3.2 til og med 4.3.1 for iPad

  Virkning: Besøk på et skadelig nettsted kan føre til uventet avslutning av et program eller kjøring av vilkårlig kode

  Beskrivelse: Det er et problem med heltallsoverflyt i håndteringen av nodesett. Virkning: Besøk på et skadelig nettsted kan føre til uventet avslutning av en app eller utilsiktet kodekjøring.

  CVE-ID

  CVE-2011-1290 : Vincenzo Iozzo, Willem Pinckaers, Ralf-Philipp Weinmann og en anonym forsker i samarbeid med TippingPoints Zero Day Initiative

• WebKit

  Tilgjengelig for: iOS 3.0 til og med 4.3.1 for iPhone 3GS og nyere, iOS 3.1 til og med 4.3.1 for iPod touch (3. generasjon) og nyere, iOS 3.2 til og med 4.3.1 for iPad

  Virkning: Besøk på et skadelig nettsted kan føre til uventet avslutning av et program eller kjøring av vilkårlig kode

  Beskrivelse: Det er et problem med fortsatt bruk etter frigjøring i håndteringen av tekstnoder. Virkning: Besøk på et skadelig nettsted kan føre til uventet avslutning av en app eller utilsiktet kodekjøring.

  CVE-ID

  CVE-2011-1344: Vupen Security i samarbeid med TippingPoints Zero Day Initiative og Martin Barbella