Despre conținutul de securitate din iOS 4.3.2 Actualizare software

În acest document este descris conținutul de securitate din iOS 4.3.2 Actualizare software.

În acest document este descris conținutul de securitate din iOS 4.3.2 Actualizare software, care poate fi descărcată și instalată utilizându-se iTunes.

Pentru protecția clienților noștri, Apple nu divulgă, nu discută și nu confirmă problemele de securitate înainte de a face o investigație completă și de a pune la dispoziție corecțiile sau versiunile necesare. Pentru a afla mai multe despre securitatea produselor Apple, accesează site-ul web Securitatea produselor Apple.

Pentru informații despre cheia PGP pentru securitatea produselor Apple, consultă „Utilizarea cheii PGP pentru securitatea produselor Apple”.

Atunci când este posibil, se utilizează ID-uri CVE pentru a face referire la vulnerabilități pentru mai multe informații.

Pentru a afla mai multe despre alte actualizări de securitate, consultă „Actualizări de securitate Apple”.

iOS 4.3.2 Actualizare software

• Certificate Trust Policy

  Disponibilitate pentru: iOS 3.0 până la 4.3.1 pentru iPhone 3GS și versiuni ulterioare, iOS 3.1 până la 4.3.1 pentru iPod touch (a 3-a generație) și versiuni ulterioare, iOS 3.2 până la 4.3.1 pentru iPad

  Impact: un atacator cu o poziție privilegiată în rețea poate intercepta acreditările utilizatorilor sau alte informații sensibile

  Descriere: mai multe certificate SSL frauduloase au fost emise de o autoritate de înregistrare afiliată Comodo. Astfel, un atacator care utilizează atacuri de tip „man-in-the-middle” poate să redirecționeze conexiunile și să intercepteze datele de autentificare ale utilizatorilor sau alte informații confidențiale. Această problemă este abordată prin introducerea în lista neagră a certificatelor frauduloase.

  Notă: pentru sistemele Mac OS X, această problemă este rezolvată prin Actualizarea de securitate 2011-002. Pentru sisteme Windows, Safari se bazează pe depozitul de certificate al sistemului de operare gazdă pentru a determina dacă un certificat de server SSL este de încredere. Dacă aplicați actualizarea descrisă în articolul 2524375 din baza de cunoștințe Microsoft va face ca Safari să considere aceste certificate ca nefiind de încredere. Acest articol este disponibil la http://support.microsoft.com/2524375

• libxslt

  Disponibilitate pentru: iOS 3.0 până la 4.3.1 pentru iPhone 3GS și versiuni ulterioare, iOS 3.1 până la 4.3.1 pentru iPod touch (a 3-a generație) și versiuni ulterioare, iOS 3.2 până la 4.3.1 pentru iPad

  Impact: accesarea unui site web creat cu rea ontenție oiate cauza dezvăluirea adreselor din zona de memorie

  Descriere: implementarea de către libxslt a funcției XPath generate-id() a dezvăluit adresa unei zone de memorie tampon. Accesarea unui site web creat cu rea intenție poate cauza dezvăluirea adreselor din zona de memorie tampon, ceea ce poate ajuta la ocolirea protecției împotriva randomizării aspectului spațiului de adrese. Această problemă este rezolvată prin generarea unui ID bazat pe diferența dintre adresele a două zone de memoriue tampon.

  CVE-ID

  CVE-2011-0195 : Chris Evans (Google Chrome Security Team)

• QuickLook

  Disponibilitate pentru: iOS 3.0 până la 4.3.1 pentru iPhone 3GS și versiuni ulterioare, iOS 3.1 până la 4.3.1 pentru iPod touch (a 3-a generație) și versiuni ulterioare, iOS 3.2 până la 4.3.1 pentru iPad

  Impact: vizualizarea unui fișier Microsoft Office creat cu rea intenție poate cauza închiderea neașteptată a aplicației sau executarea de cod arbitrar

  Descriere: a existat o problemă de corupere a memoriei la tratarea fișierelor Microsoft Office de către QuickLook. Vizualizarea unui fișier Microsoft Office creat cu rea intenție poate cauza închiderea neașteptată a aplicației sau executarea de cod arbitrar.

  CVE-ID

  CVE-2011-1417 : Charlie Miller și Dion Blazakis în colaborare cu TippingPoint's Zero Day Initiative

• WebKit

  Disponibilitate pentru: iOS 3.0 până la 4.3.1 pentru iPhone 3GS și versiuni ulterioare, iOS 3.1 până la 4.3.1 pentru iPod touch (a 3-a generație) și versiuni ulterioare, iOS 3.2 până la 4.3.1 pentru iPad

  Impact: accesarea unui site web creat cu rea intenție poate cauza închiderea neașteptată a aplicației sau executarea de cod arbitrar

  Descriere: a existat o problemă de depășire de număr întreg la tratarea seturilor de noduri. Accesarea unui site web creat cu rea intenție poate cauza închiderea neașteptată a aplicației sau executarea de cod arbitrar.

  CVE-ID

  CVE-2011-1290 : Vincenzo Iozzo, Willem Pinckaers, Ralf-Philipp Weinmann și un cercetător anonim în colaborare cu TippingPoint's Zero Day Initiative

• WebKit

  Disponibilitate pentru: iOS 3.0 până la 4.3.1 pentru iPhone 3GS și versiuni ulterioare, iOS 3.1 până la 4.3.1 pentru iPod touch (a 3-a generație) și versiuni ulterioare, iOS 3.2 până la 4.3.1 pentru iPad

  Impact: accesarea unui site web creat cu rea intenție poate cauza închiderea neașteptată a aplicației sau executarea de cod arbitrar

  Descriere: a existat o problemă de tip „utilizare după eliberare” la tratarea nodurilor de text. Accesarea unui site web creat cu rea intenție poate cauza închiderea neașteptată a aplicației sau executarea de cod arbitrar.

  CVE-ID

  CVE-2011-1344 : Vupen Security în colaborare cu TippingPoint's Zero Day Initiative și Martin Barbella