Az OS X Yosemite 10.10.2 és a 2015-001-es biztonsági frissítés biztonsági változásjegyzéke
Ez a dokumentum az OS X Yosemite 10.10.2 és a 2015-001-es biztonsági frissítés biztonsági változásjegyzékét ismerteti
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma teljes körű kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. Az Apple-termékekkel kapcsolatos biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
Az Apple termékbiztonsági PGP-kulcsáról Az Apple termékbiztonsági PGP-kulcs használata című cikkben talál bővebb információkat.
Ahol csak lehetséges, a cikk a CVE-azonosítójuk alapján hivatkozik az egyes biztonsági résekre.
Más biztonsági frissítésekről Az Apple biztonsági frissítései című cikkből tájékozódhat.
Az OS X Yosemite 10.10.2 és a 2015-001-es biztonsági frissítés
AFP Server
A következőkhöz érhető el: OS X Mavericks v10.9.5
Érintett terület: Egy távoli támadó képes volt meghatározni a rendszer összes hálózati címét
Leírás: Az AFP-fájlszerver egy olyan parancsot támogatott, amely megjelenítette a rendszer összes hálózati címét. A probléma megszüntetése érdekében a rendszer eltávolítja az eredményből a címeket.
CVE-azonosító
CVE-2014-4426 : Craig Young (Tripwire VERT)
bash
A következőkhöz érhető el: OS X Yosemite 10.10 és 10.10.1
Érintett terület: Több biztonsági rés volt a bashben, többek között egy olyan, amelynek köszönhetően helyi támadók tetszőleges kódot hajthattak végre
Leírás: Több biztonsági rés volt található a bashben. A bash 57-es javítási szintre való frissítésével hárították el a problémát.
CVE-azonosító
CVE-2014-6277
CVE-2014-7186
CVE-2014-7187
Bluetooth
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5
Érintett terület: A rosszindulatú alkalmazások tetszőleges kódot hajthattak végre rendszerjogosultságokkal
Leírás: Egészszám-aláírási hiba lépett fel az IOBluetoothFamily területen, amely lehetővé tette a kernelmemória manipulálását. A határérték-ellenőrzés javítása révén küszöbölték ki a problémát. Ez a probléma nem érinti az OS X Yosemite rendszert.
CVE-azonosító
CVE-2014-4497
Bluetooth
A következőkhöz érhető el: OS X Yosemite 10.10 és 10.10.1
Érintett terület: A rosszindulatú alkalmazások tetszőleges kódot hajthattak végre rendszerjogosultságokkal
Leírás: A Bluetooth-illesztőprogram egy hibája miatt a rosszindulatú alkalmazások megadhatták a kernelmemórián történő írási műveletek méretét. A problémát további beviteli ellenőrzéssel küszöbölték ki.
CVE-azonosító
CVE-2014-8836 : Ian Beer (Google Project Zero)
Bluetooth
A következőkhöz érhető el: OS X Yosemite 10.10 és 10.10.1
Érintett terület: A rosszindulatú alkalmazások tetszőleges kódot hajthattak végre rendszerjogosultságokkal
Leírás: A Bluetooth-illesztőprogram több biztonsági problémával rendelkezett, amelyek lehetővé tették rosszindulatú alkalmazások számára, hogy tetszőleges kódot hajtsanak végre rendszerjogosultságokkal. A problémát további beviteli ellenőrzéssel küszöbölték ki.
CVE-azonosító
CVE-2014-8837: Roberto Paleari és Aristide Fattori (Emaze Networks)
CFNetwork Cache
A következőkhöz érhető el: OS X Yosemite 10.10 és 10.10.1
Érintett terület: A privát böngészésből való kilépéskor előfordulhatott, hogy nem törlődött teljes mértékben a webhely gyorsítótára
Leírás: Egy adatvédelmi hiba miatt a böngészési adatok a gyorsítótárban maradhattak a privát böngészésből való kilépés után is. A problémát a gyorsítótárazás működésének módosításával hárították el.
CVE-azonosító
CVE-2014-4460
CoreGraphics
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékkal létrehozott PDF-fájl megnyitása váratlan alkalmazásleállást vagy tetszőleges kód végrehajtását eredményezhette
Leírás: Egészszám-túlcsordulás lépett fel a PDF-fájlok kezelésekor. A határérték-ellenőrzés javítása révén küszöbölték ki a problémát.
CVE-azonosító
CVE-2014-4481: Felipe Andres Manzano (Binamuse VRT, az iSIGHT Partners GVP Program részeként)
CPU Software
A következőkhöz érhető el: OS X Yosemite 10.10 és 10.10.1, a következő modellekhez: Retina kijelzős MacBook Pro, MacBook Air (2013 közepe és újabb), iMac (2013 vége és újabb), Mac Pro (2013 vége)
Érintett terület: Egy ártó szándékú Thunderbolt-eszköz hatással lehetett a firmware-telepítésre
Leírás: A Thunderbolt-eszközök módosíthatták a gazdagép firmware-jét, ha egy EFI-frissítés során csatlakoztatták őket. Annak beállításával hárították el a hibát, hogy ne töltődjenek be az eszközspecifikus ROM-ok a frissítés során.
CVE-azonosító
CVE-2014-4498: Trammell Hudson (Two Sigma Investments)
CommerceKit Framework
A következőkhöz érhető el: OS X Yosemite 10.10 és 10.10.1
Érintett terület: A rendszerhez hozzáférő támadók megszerezhették az Apple ID azonosítókat is
Leírás: Probléma állt fenn az App Store-naplók kezelésében. Az App Store-folyamat képes volt naplózni az Apple ID azonosítókat, ha be volt kapcsolva a kiterjesztett naplózás. A problémát azáltal küszöbölték ki, hogy letiltották a hitelesítő adatok naplózását.
CVE-azonosító
CVE-2014-4499: Sten Petersen
CoreGraphics
A következőkhöz érhető el: OS X Yosemite 10.10 és 10.10.1
Érintett terület: Nem biztonságos szövegbevitelt és egérműveleteket alkalmazó külső alkalmazások képesek lehettek naplózni ezeket a műveleteket
Leírás: Egy nem inicializált változó és egy alkalmazás egyéni allokátora miatt lehetségessé vált a nem biztonságos szövegbevitel és az egérműveletek naplózása. A problémát a naplózás alapértelmezett kikapcsolásával hárították el. A probléma nem érintette az OS X Yosemite előtti rendszereket.
CVE-ID
CVE-2014-1595: Steven Michaud (Mozilla) és Kent Howard
CoreGraphics
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5
Érintett terület: Egy ártó szándékkal létrehozott PDF-fájl megnyitása váratlan alkalmazásleállást vagy tetszőleges kód végrehajtását eredményezhette
Leírás: memóriasérülés állt fenn a PDF-fájlok kezelésében. A határérték-ellenőrzés javítása révén küszöbölték ki a problémát. Ez a probléma nem érinti az OS X Yosemite rendszert.
CVE-azonosító
CVE-2014-8816: Mike Myers (Digital Operatives LLC)
CoreSymbolication
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékú alkalmazás tetszőleges kódot hajthatott végre rendszerjogosultságokkal
Leírás: Több típustévesztési hiba állt fenn a coresymbolicationd XPC-üzeneteinek kezelése során. Hatékonyabb típusellenőrzéssel küszöbölték ki a problémákat.
CVE-azonosító
CVE-2014-8817: Ian Beer (Google Project Zero)
FontParser
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékkal létrehozott .dfont-fájl feldolgozása váratlan alkalmazásleállást vagy tetszőleges kód végrehajtását eredményezhette
Leírás: Memóriasérülés állt fenn a .dfont-fájlok kezelésében. A határérték-ellenőrzés javítása révén küszöbölték ki a problémát.
CVE-azonosító
CVE-2014-4484: Gaurav Baruah, a HP Zero Day Initiative kezdeményezésének közreműködőjeként
FontParser
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékkal létrehozott PDF-fájl feldolgozása váratlan alkalmazásleállást vagy tetszőleges kód végrehajtását eredményezhette
Leírás: Puffertúlcsordulás állt fenn a betűtípusfájlok kezelésekor. A határérték-ellenőrzés javítása révén küszöbölték ki a problémát.
CVE-azonosító
CVE-2014-4483: Apple
Foundation
A következőkhöz érhető el: OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékkal létrehozott PDF-fájl feldolgozása váratlan alkalmazásleállást vagy tetszőleges kód végrehajtását eredményezhette
Leírás: Puffertúlcsordulás állt fenn az XML-elemzőben. A határérték-ellenőrzés javítása révén küszöbölték ki a problémát.
CVE-azonosító
CVE-2014-4485: Apple
Intel Graphics Driver
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Több biztonsági rés volt az Intel grafikus illesztőprogramjában
Leírás: Az Intel grafikus illesztőprogramja több biztonsági réssel rendelkezett, amelyek közül a legsúlyosabb lehetőséget adott tetszőleges kódok rendszerjogosultságokkal történő végrehajtására. A frissítés hatékonyabb határérték-ellenőrzéssel hárította el a problémát.
CVE-azonosító
CVE-2014-8819: Ian Beer (Google Project Zero)
CVE-2014-8820: Ian Beer (Google Project Zero)
CVE-2014-8821: Ian Beer (Google Project Zero)
IOAcceleratorFamily
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Ártó szándékú alkalmazások tetszőleges kódot hajthattak végre rendszerjogosultságokkal
Leírás: Nullmutató-eltérítés volt tapasztalható bizonyos IOService userclient-típusok az IOAcceleratorFamily általi kezelése során. Az IOAcceleratorFamily-környezetek további hitelesítésével küszöbölték ki a hibát.
CVE-azonosító
CVE-2014-4486: Ian Beer (Google Project Zero)
IOHIDFamily
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékú alkalmazás tetszőleges kódot hajthatott végre rendszerjogosultságokkal
Leírás: Puffertúlcsordulás állt fenn az IOHIDFamilyben. Hatékonyabb határérték-ellenőrzéssel hárítottuk el a problémát.
CVE-azonosító
CVE-2014-4487: TaiG Jailbreak Team
IOHIDFamily
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékú alkalmazás tetszőleges kódot hajthatott végre rendszerjogosultságokkal
Leírás: Érvényesítési hiba állt fenn az erőforráslista metaadatainak IOHIDFamily általi kezelésében. A metaadatok hitelesítésének javítása révén szüntettük meg a problémát.
CVE-azonosító
CVE-2014-4488: Apple
IOHIDFamily
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékú alkalmazás tetszőleges kódot hajthatott végre rendszerjogosultságokkal
Leírás: Nullmutató-eltérítés volt tapasztalható az eseménysorok IOHIDFamily általi kezelése során. A problémát az IOHIDFamily eseménysor-inicializálásának fejlettebb érvényesítésével orvosolták.
CVE-azonosító
CVE-2014-4489: @beist
IOHIDFamily
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékú alkalmazás tetszőleges kódot hajthatott végre rendszerjogosultságokkal
Leírás: határérték-ellenőrzési probléma állt fenn az IOHIDFamily-illesztőprogramhoz tartozó felhasználói kliensben, amely lehetővé tette ártó szándékú alkalmazások számára, hogy felülírják a kernel címterének tetszőleges részeit. A problémát a biztonsági rést képező felhasználói kliensmetódus eltávolításával orvosoltuk.
CVE-azonosító
CVE-2014-8822: Vitaliy Toropov (HP, Zero Day Initiative)
IOKit
A következőkhöz érhető el: OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékú alkalmazás tetszőleges kódot hajthatott végre rendszerjogosultságokkal
Leírás: Egészsám-túlcsordulás állt fenn az IOKit-funkciók kezelésekor. Az IOKit API-argumentumok további hitelesítésével küszöbölték ki a hibát.
CVE-azonosító
CVE-2014-4389: Ian Beer (Google Project Zero)
IOUSBFamily
A következőkhöz érhető el: OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy magas jogosultsággal rendelkező alkalmazás tetszőleges adatokat olvashatott a kernelmemóriában
Leírás: Memóriaelérési probléma állt fenn a felhasználói kliensfunkciók IOUSB-vezérlő általi kezelésében. Hatékonyabb argumentum-ellenőrzéssel hárították el a problémát.
CVE-ID
CVE-2014-8823: Ian Beer (Google Project Zero)
Kerberos
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékú alkalmazás tetszőleges kódot hajthatott végre rendszerjogosultságokkal
Leírás: A Kerberos libgssapi könyvtár érvénytelen mutatóval rendelkező környezeti tokent adott eredményül. Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.
CVE-azonosító
CVE-2014-5352
Kernel
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékú alkalmazás tetszőleges kódot hajthatott végre rendszerjogosultságokkal
Leírás: Egy egyéni gyorsítótármód megadása lehetővé tette a kernel csak olvasható megosztott memóriaszegmenseinek írását. A problémát az egyéni gyorsítótármódok mellékhatásaként kapott írási engedély visszavonásával küszöbölték ki.
CVE-azonosító
CVE-2014-4495: Ian Beer (Google Project Zero)
Kernel
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékú alkalmazás tetszőleges kódot hajthatott végre rendszerjogosultságokkal
Leírás: Érvényesítési probléma állt fenn bizonyos IODataQueue-objektumok metaadatmezőinek kezelésében. A metaadatok hitelesítésének javítása révén szüntettük meg a problémát.
CVE-azonosító
CVE-2014-8824: @PanguTeam
Kernel
A következőkhöz érhető el: OS X Yosemite 10.10 és 10.10.1
Érintett terület: Helyi támadók címtárszolgáltatásokat hamisíthattak meg a kernelen, magasabb jogosultságot szerezhettek, vagy műveleteket hajthattak végre a kernelben
Leírás: Problémák álltak fenn a címtárszolgáltatás feloldási folyamatának az identitysvc általi érvényesítésében, valamint a jelölőkezelésben és a hibakezelésben. Hatékonyabb ellenőrzéssel hárították el a problémát.
CVE-azonosító
CVE-2014-8825: Alex Radocea (CrowdStrike)
Kernel
A következőkhöz érhető el: OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy helyi felhasználó meghatározhatta a kernelmemória elrendezését
Leírás: Több memóriával kapcsolatos nem inicializált probléma állt fenn a hálózati statisztika felületén, amely felfedhette a kernelmemória tartalmát. A problémát a memória inicializálásának javítása révén küszöböltük ki.
CVE-azonosító
CVE-2014-4371: Fermin J. Serna (a Google biztonsági csapata)
CVE-2014-4419: Fermin J. Serna (a Google biztonsági csapata)
CVE-2014-4420: Fermin J. Serna (a Google biztonsági csapata)
CVE-2014-4421: Fermin J. Serna (a Google biztonsági csapata)
Kernel
A következőkhöz érhető el: OS X Mavericks 10.9.5
Érintett terület: Magas hálózati jogosultsággal rendelkező felhasználók szolgáltatásmegtagadást idézhettek elő
Leírás: Versenyhelyzettel kapcsolatos probléma állt fenn az IPv6-csomagok kezelésében. A zárolt állapot hatékonyabb ellenőrzésével küszöböltük ki a problémát.
CVE-azonosító
CVE-2011-2391
Kernel
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Ártó szándékkal létrehozott vagy sérült alkalmazások meghatározhatták a kernelben található címeket
Leírás: Információfelfedési probléma állt fenn a kernelbővítményekhez kapcsolódó API-k kezelése során. Az OSBundleMachOHeaders kulcsot tartalmazó válaszok kernelbeli címeket tartalmazhattak, amelyek segítségével megkerülhető volt a véletlenszerű címtér-elrendezéses védelem. A probléma megszüntetése érdekében a rendszer most már a válaszok visszaadása előtt eltávolítja belőlük a címeket.
CVE-azonosító
CVE-2014-4491: @PanguTeam, Stefan Esser
Kernel
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintet terület: A rosszindulatú alkalmazások tetszőleges kódot hajthattak végre rendszerjogosultságokkal
Leírás: Érvényesítési probléma állt fenn bizonyos IOSharedDataQueue-objektumok metaadatmezőinek kezelésében. A metaadatok áthelyezésével hárították el a problémát.
CVE-azonosító
CVE-2014-4461: @PanguTeam
LaunchServices
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékú JAR-fájl megkerülhette a Gatekeeper-ellenőrzést
Leírás: Egy alkalmazásindítási probléma lehetővé tehette bizonyos ártó szándékú JAR-fájlok számára, hogy megkerüljék a Gatekeeper-ellenőrzéseket. Hatékonyabb metaadat-kezeléssel hárították el a problémát.
CVE-azonosító
CVE-2014-8826: Hernan Ochoa (Amplia Security)
libnetcore
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékú, tesztkörnyezetben futó alkalmazás feltörhette a networkd daemont
Leírás: Több típustévesztési probléma állt fenn a folyamatközi kommunikáció networkd általi kezelésében. Egy ártó szándékkal formázott üzenet networkd felé történő elküldésekor lehetőség nyílt networkd folyamatként való tetszőleges kódvégrehajtásra. A problémát további típusellenőrzéssel küszöböltük ki.
CVE-azonosító
CVE-2014-4492: Ian Beer (Google Project Zero)
LoginWindow
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Előfordulhatott, hogy a Mac zárolása nem történt meg azonnal a felébresztést követően
Leírás: Probléma állt fenn a zárolási képernyő renderelésében. A zárolt képernyő hatékonyabb renderelésével hárították el a problémát.
CVE-azonosító
CVE-2014-8827: Xavier Bertels (Mono), és több OS X kiadástesztelő
lukemftp
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Tetszőleges kódvégrehajtást idézhetett elő, ha a felhasználók a parancssori ftp eszközzel kértek le fájlokat egy ártó szándékú http-kiszolgálóról
Leírás: Parancsbeszúrási probléma állt fenn a HTTP-átirányítások kezelésében. A különleges karakterek hatékonyabb ellenőrzésével hárítottuk el a problémát.
CVE-azonosító
CVE-2014-8517
ntpd
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Az ntp daemon kriptográfiai hitelesítéssel való használata információszivárgáshoz vezethetett
Leírás: Több beviteli ellenőrzési probléma állt fenn az ntpd-ben. Az adatok hatékonyabb ellenőrzésével hárították el a problémákat.
CVE-azonosító
CVE-2014-9297
OpenSSL
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Több biztonsági rés létezett az OpenSSL 0.9.8za verzióban, amelyek egyike lehetővé tette a támadók számára, hogy leminősítsék a kapcsolatokat, így azok gyengébb titkosítási készleteket használtak a könyvtárat használó alkalmazásokban
Leírás: Több biztonsági rés létezett az OpenSSL 0.9.8za verzióban. Az OpenSSL 0.9.8zc verziójára való frissítéssel küszöbölték ki a problémákat.
CVE-azonosító
CVE-2014-3566
CVE-2014-3567
CVE-2014-3568
Sandbox
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5
Érintett terület: Egy tesztkörnyezeti folyamat megkerülhette a tesztkörnyezet korlátait
Leírás: Kialakítási probléma állt fenn a tesztkörnyezeti profilok gyorsítótárazásában, amely lehetővé tette a tesztkörnyezetben futó alkalmazásoknak, hogy írási hozzáférést szerezzenek a gyorsítótárhoz. A problémát az írási hozzáférés a „com.apple.sandbox” szegmenssel rendelkező útvonalakra való korlátozásával hárították el. Ez a probléma nem érinti az OS X Yosemite 10.10 és újabb rendszereket.
CVE-azonosító
CVE-2014-8828: Apple
SceneKit
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5
Érintett terület: A rosszindulatú alkalmazások tetszőleges kódot hajthattak végre, ami felfedhette a felhasználói adatokat
Leírás: Több tartományon kívüli írási probléma állt fenn a SceneKitben. Hatékonyabb határérték-ellenőrzéssel küszöbölték ki a problémákat.
CVE-azonosító
CVE-2014-8829: Jose Duart (a Google biztonsági csapata)
SceneKit
A következőkhöz érhető el: OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy ártó szándékkal létrehozott Collada-fájl megnyitása váratlan alkalmazásleállást vagy tetszőleges kódvégrehajtást eredményezhetett
Leírás: Halompuffer-túlcsordulás állt fenn a Collada-fájlok SceneKit általi kezelésében. Előfordulhatott, hogy az ártó szándékkal létrehozott Collada-fájlok megtekintése esetén váratlan alkalmazásleállásra vagy tetszőleges programkód végrehajtására került sor. Az accessor elemek hatékonyabb hitelesítésével hárítottuk el a problémát.
CVE-azonosító
CVE-2014-8830: Jose Duart (Google Security Team)
Security
A következőkhöz érhető el: OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy visszavont fejlesztői azonosítói aláírással rendelkező letöltött alkalmazás megkerülhette a Gatekeeper-ellenőrzéseket
Leírás: Probléma állt fenn a gyorsítótárazott alkalmazástanúsítvány-adatok kiértékelésében. Hatékonyabb gyorsítótárazási logikával hárították el a problémát.
CVE-azonosító
CVE-2014-8838: Apple
security_taskgate
A következőkhöz érhető el: OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: Egy alkalmazás hozzáférhetett más alkalmazásokhoz tartozó kulcskarikaelemekhez
Leírás: Hozzáférés-vezérlési probléma állt fenn a Kulcskarikában. Az önaláírt vagy fejlesztői azonosítói aláírással rendelkező alkalmazások hozzáférhettek azon kulcskarika-elemekhez, amelyek vezérlési listái kulcskarikacsoportokon alapultak. A problémát az aláírói identitás a kulcskarika-csoportok elérésekor történő ellenőrzésével hárították el.
CVE-azonosító
CVE-2014-8831: Apple
Spotlight
A következőkhöz érhető el: OS X Yosemite 10.10 és 10.10.1
Érintett terület: Az e-mailek feladói meghatározhatták a címzett IP-címét
Leírás: A Spotlight nem ellenőrizte a Mail „Távoli tartalom betöltése az üzenetekben” beállításának állapotát. Hatékonyabb konfiguráció-ellenőrzéssel hárították el a problémát.
CVE-azonosító
CVE-2014-8839: John Whitehead (The New York Times), Frode Moe (LastFriday.no)
Spotlight
A következőkhöz érhető el: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: A Spotlight váratlanul adatokat menthetett egy külső merevlemezre
Leírás: A Spotlight egy hibája lehetővé tette, hogy az indexelés során egy külső merevlemezre írható legyen a memóriatartalom. Hatékonyabb memóriakezeléssel küszöbölték ki a problémát.
CVE-azonosító
CVE-2014-8832: F-Secure
SpotlightIndex
A következőkhöz érhető el: OS X Yosemite 10.10 és 10.10.1
Érintett terület: A Spotlight megjeleníthette a nem a felhasználó tulajdonában lévő fájlokat is
Leírás: Deszerializálási probléma állt fenn az engedély-gyorsítótárak Spotlight általi kezelésében. Egy Spotlight-lekérdezést futtató felhasználó olyan keresési eredményeket kaphatott, amelyek általuk nem elérhető fájlokat is tartalmaztak. Hatékonyabb határérték-ellenőrzéssel hárítottuk el a problémát.
CVE-azonosító
CVE-2014-8833: David J Peacock, független technológiai tanácsadó
sysmond
A következőkhöz érhető el: OS X Mavericks 10.9.5, OS X Yosemite 10.10 és 10.10.1
Érintett terület: A rosszindulatú alkalmazások tetszőleges kódot hajthattak végre gyökérszintű jogosultságokkal
Leírás: Típustévesztési biztonsági rés állt fenn a sysmondban, amely lehetővé tette helyi alkalmazásoknak, hogy magasabb jogosultságot szerezzenek. Hatékonyabb típusellenőrzéssel hárították el a problémát.
CVE-azonosító
CVE-2014-8835: Ian Beer (Google Project Zero)
UserAccountUpdater
A következőkhöz érhető el: OS X Yosemite 10.10 és 10.10.1
Érintett terület: A nyomtatáshoz kapcsolódó beállításfájlok bizalmas adatokat tartalmazhattak a PDF-dokumentumokról
Leírás: Az OS X Yosemite v10.10 kijavított egy hibát a Nyomtatás felületen létrehozott, jelszóval védett PDF-fájlok kezelésében, amely lehetővé tette, hogy jelszavak szerepeljenek a nyomtatási beállításfájlokban. A frissítés eltávolítja a felesleges adatokat a nyomtatási beállításfájlokból.
CVE-azonosító
CVE-2014-8834: Apple
Megjegyzés: Az OS X Yosemite 10.10.2 tartalmazza a Safari 8.0.3 biztonsági változásjegyzékét.
A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.