Informationen zum Sicherheitsinhalt von Mac OS X Lion 10.7.4 und Sicherheitsupdate 2012-002

Dieses Dokument beschreibt den Sicherheitsinhalt von Mac OS X Lion 10.7.4 und dem Sicherheitsupdate 2012-002.

OS X Lion 10.7.4 und das Sicherheitsupdate 2012-002 können über die Softwareaktualisierung oder über die Apple Support-Downloads geladen und installiert werden.

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit finden Sie auf der Website Apple-Produktsicherheit.

Informationen zum Apple PGP-Schlüssel für die Produktsicherheit finden Sie unter Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit.

Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.

Informationen zu weiteren Sicherheitsupdates finden Sie unter "Apple-Sicherheitsupdates".

Mac OS X Lion 10.7.4 und Sicherheitsupdate 2012-002

  • Anmeldefenster

    Verfügbar für: Mac OS X Lion 10.7.3, OS X Lion Server 10.7.3

    Auswirkung: Entfernte Administratoren und Personen mit physischem Zugriff auf das System können Accountinformationen abrufen

    Beschreibung: Bei der Verarbeitung von Accountanmeldungen über das Netzwerk bestand ein Problem. Beim Anmeldevorgang wurden vertrauliche Informationen im Systemprotokoll erfasst und konnten dort von anderen Benutzern des Systems ausgelesen werden. Die vertraulichen Informationen sind nach der Installation dieses Updates möglicherweise weiterhin in gesicherten Protokollen vorhanden. Dieses Problem betrifft nur Systeme mit OS X Lion 10.7.3 mit Benutzern einer älteren File Vault-Version und/oder Benutzerordnern im Netzwerk.

    CVE-ID

    CVE-2012-0652: Terry Reeves und Tim Winningham von der Ohio State University, Markus "Jaroneko" Räty von der Finnish Academy of Fine Arts, Jaakko Pero von der Aalto University, Mark Cohen von der Oregon State University, Paul Nelson

  • Bluetooth

    Verfügbar für: Mac OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit Systemrechten ausführen

    Beschreibung: In der Initialisierungsroutine von blued lag ein Problem vor, aufgrund dessen eine temporäre Racebedingung bei Dateien bestand.

    CVE-ID

    CVE-2012-0649: Aaron Sigel von vtty.com

  • curl

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Ein Angreifer kann möglicherweise durch SSL geschützte Daten entschlüsseln

    Beschreibung: Es gibt bekannte Angriffe auf die Vertraulichkeit von SSL 3.0 und TLS 1.0, wenn eine Cipher Suite einen Block-Cipher im CBC-Modus verwendet. curl deaktivierte die Gegenmaßnahme "empty fragment", welche diese Angriffe verhinderte. Dieses Problem wird durch die Aktivierung von "empty fragments" behoben.

    CVE-ID

    CVE-2011-3389: Apple

  • curl

    Verfügbar für: Mac OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Wenn curl oder libcurl mit einer mit böser Absicht erstellten URL verwendet wird, kann dies zu Angriffen mit protokollspezifischer Dateneinschleusung führen

    Beschreibung: Bei der Verarbeitung von URLs durch curl lag ein Problem mit Dateneinschleusung vor. Dieses Problem wird durch eine verbesserte Validierung von URLs behoben. Dieses Problem wirkt sich nicht auf Systeme vor Mac OS X Lion aus.

    CVE-ID

    CVE-2012-0036

  • Verzeichnisdienst

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8

    Auswirkung: Ein entfernter Angreifer kann vertrauliche Informationen abrufen

    Beschreibung: Bei der Verarbeitung von Nachrichten aus dem Netzwerk durch den Verzeichnisserver trat eine Reihe von Problemen auf. Durch das Senden einer mit böswilliger Absicht erstellten Nachricht konnte ein entfernter Angreifer erreichen, dass der Verzeichnisserver Speicher aus seinem Adressbereich zugänglich macht, wodurch potenziell Accountdaten oder andere vertrauliche Informationen offengelegt werden können. Das Problem betrifft keine Systeme mit Mac OS X Lion. Der Verzeichnisserver ist bei Nicht-Server-Installationen von OS X standardmäßig deaktiviert.

    CVE-ID

    CVE-2012-0651: Agustin Azubel

  • HFS

    Verfügbar für: Mac OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Das Aktivieren eines in böser Absicht erstellten Images kann zum unerwarteten Herunterfahren des Systems oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von HFS-Katalogdateien gab es ein Problem mit einem Ganzzahlunterlauf.

    CVE-ID

    CVE-2012-0642: pod2g

  • ImageIO

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8

    Auswirkung: Das Anzeigen einer in böser Absicht erstellten TIFF-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Die Verarbeitung von CCITT Group 4-codierten TIFF-Dateien durch ImageIO konnte zu einem Pufferüberlauf führen. Das Problem betrifft keine Systeme mit Mac OS X Lion.

    CVE-ID

    CVE-2011-0241: Cyril CATTIAUX von Tessi Technologies

  • ImageIO

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8

    Auswirkung: Mehrere Schwachstellen in libpng

    Beschreibung: libpng wird auf Version 1.5.5 aktualisiert, um mehrere Schwachstellen zu beseitigen, von denen die schwerwiegendste zur Offenlegung von Informationen führen können. Weitere Informationen finden Sie auf der libpng-Website unter http://www.libpng.org/pub/png/libpng.html.

    CVE-ID

    CVE-2011-2692

    CVE-2011-3328

  • ImageIO

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8

    Auswirkung: Das Anzeigen einer in böser Absicht erstellten TIFF-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Die Verarbeitung von ThunderScan-codierten TIFF-Bildern durch libtiff konnte zu einem Pufferüberlauf führen. Dieses Problem wird durch die Aktualisierung von libtiff auf die Version 3.9.5 behoben.

    CVE-ID

    CVE-2011-1167

  • Kernel

    Verfügbar für: Mac OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Bei der Verwendung von FileVault kann der Datenträger unverschlüsselte Benutzerdaten enthalten

    Beschreibung: Ein Problem bei der Verarbeitung des für den Ruhezustand verwendeten Ruhezustandimages durch den Kernel führte dazu, dass einige Daten auf dem Datenträger nicht verschlüsselt wurden, auch wenn FileVault aktiviert war. Dieses Problem wird durch eine verbesserte Verarbeitung des Ruhezustandimages sowie durch Überschreiben des vorhandenen Ruhezustandimages beim Aktualisieren auf OS X 10.7.4 behoben. Dieses Problem betrifft keine Systeme vor Mac OS X Lion.

    CVE-ID

    CVE-2011-3212: Felix Groebert vom Google Security Team

  • libarchive

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Das Entpacken eines in böser Absicht erstellten Archivs kann zum unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von TAR-Archiven und ISO9660-Dateien waren mehrere Pufferüberläufe vorhanden.

    CVE-ID

    CVE-2011-1777

    CVE-2011-1778

  • libsecurity

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Das Überprüfen eines in böser Absicht erstellten X.509-Zertifikats, z. B. beim Öffnen einer in böser Absicht erstellten Website, kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von X.509-Zertifikaten bestand ein Problem mit dem Zugriff nicht initialisierten Speichers.

    CVE-ID

    CVE-2012-0654: Dirk-Willem van Gulik von WebWeaving.org, Guilherme Prado von Conselho da Justiça Federal, Ryan Sleevi von Google

  • libsecurity

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Durch die Unterstützung für X.509-Zertifikate mit RSA-Schlüsseln mit unsicherer Länge besteht für Benutzer die Gefahr von Spoofing und das Offenlegen von Informationen

    Beschreibung: Zertifikate, die mit RSA-Schlüsseln mit unsicherer Schlüssellänge signiert wurden, wurden von libsecurity akzeptiert. Dieses Problem wird behoben, indem Zertifikate zurückgewiesen werden, die RSA-Schlüssel kürzer als 1024 Bit enthalten.

    CVE-ID

    CVE-2012-0655

  • libxml

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Das Anzeigen einer in böser Absicht erstellten Webseite kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: In libxml waren mehrere Schwachstellen vorhanden, die schlimmstenfalls zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen können. Diese Probleme werden durch Anwenden der entsprechenden Upstream-Patches behoben.

    CVE-ID

    CVE-2011-1944: Chris Evans vom Google Chrome-Sicherheitsteam

    CVE-2011-2821: Yang Dingning von NCNIPC, Graduate University of Chinese Academy of Sciences

    CVE-2011-2834: Yang Dingning von NCNIPC, Graduate University of Chinese Academy of Sciences

    CVE-2011-3919: Jüri Aedla

  • LoginUIFramework

    Verfügbar für: Mac OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Wenn der Gastbenutzer aktiviert ist, kann sich ein Benutzer mit physischem Zugriff auf das System möglicherweise als ein anderer Benutzer als dem Gastbenutzer anmelden, ohne ein Passwort eingeben zu müssen

    Beschreibung: Bei der Verarbeitung von Gastbenutzeranmeldungen war eine Racebedingung vorhanden. Dieses Problem wirkt sich nicht auf Systeme vor Mac OS X Lion aus.

    CVE-ID

    CVE-2012-0656: Francisco Gómez (espectalll123)

  • PHP

    Verfügbar für: Mac OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Mehrere Schwachstellen in PHP

    Beschreibung: PHP wird auf Version 5.3.10 aktualisiert, um verschiedene Schwachstellen zu beseitigen, die im schlimmsten Fall zur Ausführung willkürlichen Codes führen können. Weitere Informationen finden Sie auf der PHP-Website unter http://www.php.net

    CVE-ID

    CVE-2011-4566

    CVE-2011-4885

    CVE-2012-0830

  • Quartz Composer

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Ein Benutzer mit physischem Zugriff auf den Computer kann verursachen, dass Safari gestartet wird, wenn der Bildschirm gesperrt ist und der Bildschirmschoner "RSS Visualizer" verwendet wird

    Beschreibung: Bei der Verarbeitung von Bildschirmschonern durch Quartz Composer lag ein Zugriffssteuerungsproblem vor. Dieses Problem wird behoben, indem genauer überprüft wird, ob der Bildschirm gesperrt ist.

    CVE-ID

    CVE-2012-0657: Aaron Sigel von vtty.com

  • QuickTime

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Das Anzeigen einer in böser Absicht erstellten Filmdatei beim progressiven Laden kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von Audio-Sample-Tabellen konnte ein Pufferüberlauf auftreten.

    CVE-ID

    CVE-2012-0658: Luigi Auriemma in Zusammenarbeit mit der HP Zero Day Initiative

  • QuickTime

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Das Anzeigen einer in böser Absicht erstellten MPEG-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von MPEG-Dateien konnte ein Ganzzahlüberlauf auftreten.

    CVE-ID

    CVE-2012-0659: Anonymer Mitarbeiter der HP Zero Day Initiative

  • QuickTime

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Das Anzeigen einer in böser Absicht erstellten MPEG-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von MPEG-Dateien konnte ein Pufferunterlauf auftreten.

    CVE-ID

    CVE-2012-0660: Justin Kim bei Microsoft und Microsoft Vulnerability Research

  • QuickTime

    Verfügbar für: Mac OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Das Anzeigen einer in böser Absicht erstellten Filmdatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von JPEG2000-verschlüsselten Filmdateien konnte ein Use-after-free-Problem auftreten. Dieses Problem wirkt sich nicht auf Systeme vor Mac OS X Lion aus.

    CVE-ID

    CVE-2012-0661: Damian Put in Zusammenarbeit mit der HP Zero Day Initiative

  • Ruby

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Mehrere Schwachstellen in Ruby

    Beschreibung: Ruby wird auf 1.8.7-p357 aktualisiert, um verschiedene Schwachstellen zu beheben.

    CVE-ID

    CVE-2011-1004

    CVE-2011-1005

    CVE-2011-4815

  • Samba

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8

    Auswirkung: Wenn die SMB-Dateifreigabe aktiviert ist, könnte ein nicht authentifizierter entfernter Angreifer einen Denial-of-Service oder die Ausführung willkürlichen Codes mit System-Zugriffsrechten verursachen

    Beschreibung: Bei der Verarbeitung von entfernten Prozeduraufrufen durch Samba konnten verschiedene Pufferüberläufe auftreten. Durch Senden eines in böser Absicht erstellten Pakets kann ein nicht authentifizierter entfernter Angreifer einen Denial-of-Service oder die Ausführung willkürlichen Codes mit System-Zugriffsrechten verursachen. Diese Probleme betreffen keine Systeme mit Mac OS X Lion.

    CVE-ID

    CVE-2012-0870: Andy Davis von NGS Secure

    CVE-2012-1182: Anonymer Mitarbeiter der HP Zero Day Initiative

  • Sicherheitsframework

    Verfügbar für: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Ein entfernter Angreifer kann einen unerwarteten Programmabbruch oder die Ausführung willkürlichen Codes verursachen

    Beschreibung: Im Sicherheitsframework war ein Ganzzahlüberlauf vorhanden. Die Verarbeitung nicht vertrauenswürdiger Eingaben mit dem Sicherheitsframework konnte zu Speicherfehlern führen. Dieses Problem betrifft keine 32-Bit-Prozesse.

    CVE-ID

    CVE-2012-0662: aazubel in Zusammenarbeit mit der HP Zero Day Initiative

  • Time Machine

    Verfügbar für: Mac OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Ein entfernter Angreifer kann möglicherweise auf die Time Machine-Anmeldedaten eines Benutzers zugreifen

    Beschreibung: Der Benutzer kann ein Time Capsule- oder entferntes AFP-Volume, das an eine AirPort-Basisstation angeschlossen ist, für Time Machine-Sicherungen zuweisen. Ab dem Firmware-Update 7.6 für AirPort-Basisstation und Time Capsule unterstützen Time Capsule-Geräte und Basisstationen einen sicheren SRP-basierten Authentifizierungsmechanismus über AFP. Für Time Machine war es jedoch nicht erforderlich, dass der SRP-basierte Authentifizierungsmechanismus für nachfolgende Sicherungsvorgänge verwendet wurde, auch wenn Time Machine anfänglich dafür konfiguriert wurde oder irgendwann eine Verbindung mit einer Time Capsule oder Basisstation hergestellt hat, die dies unterstützte. Ein Angreifer, der das Vorhandensein des entfernten Volumes vortäuschen kann, könnte Zugriff auf die Time Capsule-Anmeldedaten, nicht jedoch die Sicherungsdaten, des Benutzers erlangen, die vom System des Benutzers gesendet wurden. Dieses Problem wird behoben, indem die Verwendung des SRP-basierten Authentifizierungsmechanismus erforderlich ist, wenn dieser zuvor vom Sicherungsziel unterstützt wurde.

    CVE-ID

    CVE-2012-0675: Renaud Deraison von Tenable Network Security, Inc.

  • X11

    Verfügbar für: Mac OS X Lion 10.7 bis 10.7.3, OS X Lion Server 10.7 bis 10.7.3

    Auswirkung: Programme, die libXfont für die Verarbeitung von LZW-komprimierten Daten verwenden, können anfällig für die Ausführung willkürlichen Codes oder einen unerwarteten Programmabbruch sein.

    Beschreibung: Bei der Verarbeitung von LZW-komprimierten Daten durch libXfont konnte ein Pufferüberlauf auftreten. Dieses Problem wird durch die Aktualisierung von libXfont auf Version 1.4.4 behoben.

    CVE-ID

    CVE-2011-2895: Tomas Hoger von Red Hat

Hinweis: Zusätzlich werden mit diesem Update Umgebungsvariablen für den dynamischen Linker aus einer angepassten Umgebungseigenschaftenliste im Benutzerverzeichnis des Benutzers gefiltert, sofern vorhanden.

Informationen zu nicht von Apple hergestellten Produkten oder nicht von Apple kontrollierten oder geprüften unabhängigen Websites stellen keine Empfehlung oder Billigung dar. Apple übernimmt keine Verantwortung für die Auswahl, Leistung oder Nutzung von Websites und Produkten Dritter. Apple gibt keine Zusicherungen bezüglich der Genauigkeit oder Zuverlässigkeit der Websites Dritter ab. Kontaktiere den Anbieter, um zusätzliche Informationen zu erhalten.

Veröffentlichungsdatum: