Apple brengt beveiligingspatch voor iPad uit: iOS 3.2.2

Apple heeft vanavond een beveiligingspatch voor de iPad uitgebracht. Deze lost een tweetal kwetsbaarheden in het iOS op, waar iedereen mee te maken heeft (ook mensen die geen jailbreak hadden uitgevoerd). De kwetsbaarheden zijn de afgelopen weken veelvuldig in het nieuws geweest en hadden te maken met een PDF Exploit, waardoor kwaadaardige code kon worden uitgevoerd. Dankzij deze PDF Exploit werd het trouwens ook kinderspel om de iPad te jailbreaken: de methode methode JailbreakMe.com is erop gebaseerd (zie achtergrondinformatie).

Mensen die wél een jailbreak hadden uitgevoerd konden zich al beschermen via een niet-officiële patch, de PDF Exploit Patcher. Daarnaast was er een PDF Exploit Warner om je te waarschuwen wanneer er een PDF-document geopend wordt op je iPad (of ander iOS-apparaat). De tussentijdse update 3.2.2 lost deze kwetsbaarheid officieel vanuit Apple op.

Tegelijk met iOS 3.2.2 voor de iPad bracht Apple ook een beveiligingspatch voor de iPhone uit in de vorm van iOS 4.0.2. Wil je precies weten welke gaten er in iOS 3.2.2 zijn gesloten, dan vind je op de website van Apple een overzicht van de twee security-aanpassingen:

• FreeType: Bij het bekijken van een pdf-document met kwaadaardige, embedded lettertypes kan er willekeurige code uitgevoerd worden. Er treedt een stack buffer overflow op in de manier waarop FreeType omgaat met CFF-opcodes.
• IOSurface: Er treedt een integer overflow op bij het afhandelen van IOSurface-eigenschappen. Daardoor kan kwaadaardige code uitgevoerd worden als de gebruiker systeemrechten krijgt.

Beide kwetsbaarheden komen voor in iOS 3.2 en 3.2.1 op de iPad. In beide gevallen zijn de problemen opgelost door verbetering van de bounds checking. Dit houdt in, dat wordt gekeken of een variabele zich binnen een bepaalde reeks bevindt, voordat een bewerking wordt uitgevoerd.