In questo documento vengono descritti i contenuti di sicurezza di OS X Lion 10.7.2 e l'aggiornamento di sicurezza 2011-006, che è possibile scaricare e installare tramite le preferenze Aggiornamento Software o dalla pagina Download di Apple.
Per proteggere i propri clienti, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Per ulteriori informazioni consulta il sito web sulla sicurezza dei prodotti Apple.
Per informazioni sulla chiave PGP per la sicurezza dei prodotti Apple consulta l'articolo "Come usare la chiave PGP per la sicurezza dei prodotti Apple".
Quando possibile, vengono utilizzati gli ID CVE per fornire ulteriori informazioni sulle vulnerabilità.
Per informazioni su altri aggiornamenti di sicurezza consulta l'articolo "Aggiornamenti di sicurezza Apple".
OS X Lion 10.7.2 e aggiornamento di sicurezza 2011-006
-
Apache
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: sono presenti diverse vulnerabilità in Apache.
Descrizione: l'aggiornamento di Apache alla versione 2.2.20 consente di risolvere diverse vulnerabilità, la più grave delle quali potrebbe portare all'interruzione del servizio. CVE-2011-0419 non interessa i sistemi OS X Lion. Per ulteriori informazioni, consulta il sito web di Apache all'indirizzo http://httpd.apache.org/.
ID CVE
CVE-2011-0419
CVE-2011-3192
-
Applicazione Firewall
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: l'esecuzione di un binario con nome pericoloso potrebbe comportare l'esecuzione di codice arbitrario con privilegi elevati.
Descrizione: si verificava un problema di vulnerabilità a livello di stringa del formato nella registrazione del debug del Firewall.
ID CVE
CVE-2011-0185: segnalazione anonima
-
ATS
Disponibile per: OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: la visualizzazione o il download di un documento contenente un font pericoloso incorporato potrebbe comportare l'esecuzione di codice arbitrario.
Descrizione: si verificava un problema di signedness nella gestione dei font di Tipo 1 in ATS. Questo problema non interessa i sistemi precedenti a OS X Lion.
ID CVE
CVE-2011-3437
-
ATS
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: la visualizzazione o il download di un documento contenente un font pericoloso incorporato potrebbe comportare l'esecuzione di codice arbitrario.
Descrizione: si verificava un problema di accesso alla memoria fuori intervallo nella gestione dei font di Tipo 1 in ATS. Il problema non interessa i sistemi OS X Lion.
ID CVE
CVE-2011-0229: Will Dormann di CERT/CC
-
ATS
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: per le applicazioni che usano l'API ATSFontDeactivate potrebbe verificarsi una chiusura improvvisa o l'esecuzione di codice arbitrario.
Descrizione: si verificava un overflow del buffer nell'API ATSFontDeactivate.
ID CVE
CVE-2011-0230: Steven Michaud di Mozilla
-
BIND
Disponibile per: OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: sono presenti diverse vulnerabilità in BIND 9.7.3.
Descrizione: si verificavano diversi problemi di interruzione del servizio in BIND 9.7.3. I problemi sono stati risolti aggiornando BIND alla versione 9.7.3-P3.
ID CVE
CVE-2011-1910
CVE-2011-2464
-
BIND
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: sono presenti diverse vulnerabilità in BIND.
Descrizione: si verificavano diversi problemi di interruzione del servizio in BIND. I problemi sono stati risolti aggiornando BIND alla versione 9.6-ESV-R4-P3.
ID CVE
CVE-2009-4022
CVE-2010-0097
CVE-2010-3613
CVE-2010-3614
CVE-2011-1910
CVE-2011-2464
-
Certificate Trust Policy
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: i certificati principali sono stati aggiornati.
Descrizione: alcuni certificati attendibili sono stati aggiunti all'elenco dei root di sistema. Sono stati aggiornati diversi certificati esistenti alla versione più recente. L'elenco completo dei root di sistema riconosciuti può essere visualizzato tramite l'applicazione Accesso Portachiavi.
-
CFNetwork
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: Safari potrebbe memorizzare cookie che non è configurato per accettare.
Descrizione: si verificava un problema di sincronizzazione nella gestione delle politiche relative ai cookie di CFNetwork. Le preferenze relative ai cookie di Safari potevano non essere rispettate e i siti web potevano configurare cookie che altrimenti verrebbero bloccati. Questo aggiornamento risolve il problema migliorando la gestione della memorizzazione dei cookie.
ID CVE
CVE-2011-0231: Martin Tessarek, Steve Riggins di Geeks R Us, Justin C. Walker e Stephen Creswell
-
CFNetwork
Disponibile per: OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: la visita a un sito web pericoloso potrebbe comportare la divulgazione di dati sensibili.
Descrizione: si verificava un problema nella gestione dei cookie HTTP in CFNetwork. Durante l'accesso a un URL HTTP o HTTPS pericoloso, CFNetwork poteva inviare per errore i cookie di un dominio a un server esterno. Questo problema non interessa i sistemi precedenti a OS X Lion.
ID CVE
CVE-2011-3246: Erling Ellingsen di Facebook
-
CoreFoundation
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: l'accesso a un sito web o a un messaggio email pericoloso potrebbe comportare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un problema di danneggiamento della memoria nella gestione della tokenizzazione di stringhe in CoreFoundation. Il problema non interessa i sistemi OS X Lion. Questo aggiornamento risolve il problema migliorando il controllo dei limiti.
ID CVE
CVE-2011-0259: Apple
-
CoreMedia
Disponibile per: OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: l'accesso a un sito web pericoloso potrebbe comportare la divulgazione di dati video da un altro sito.
Descrizione: si verificava un problema multiorigine nella gestione dei reindirizzamenti cross-site in CoreMedia. Questo problema è stato risolto migliorando il tracking delle origini.
ID CVE
CVE-2011-0187: Nirankush Panchbhai e Microsoft Vulnerability Research (MSVR)
-
CoreMedia
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: la visualizzazione di un file video pericoloso potrebbe provocare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificavano diversi problemi di danneggiamento della memoria nella gestione dei file video in QuickTime. Questi problemi non interessano i sistemi OS X Lion.
ID CVE
CVE-2011-0224: Apple
-
CoreProcesses
Disponibile per: OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: una persona in grado di accedere fisicamente a un sistema potrebbe superare in parte il blocco dello schermo.
Descrizione: una finestra del sistema, ad esempio quella di richiesta della password VPN visualizzata con lo schermo bloccato, poteva accettare sequenze di tasti premuti quando lo schermo era bloccato. Questo problema è stato risolto impedendo alle finestre del sistema di richiedere la pressione di tasti con lo schermo bloccato. Questo problema non interessa i sistemi precedenti a OS X Lion.
ID CVE
CVE-2011-0260: Clint Tseng dell'università di Washington, Michael Kobb e Adam Kemp
-
CoreStorage
Disponibile per: OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: la conversione a FileVault non elimina tutti i dati esistenti.
Descrizione: dopo aver attivato FileVault, circa 250 MB all'inizio del volume non venivano crittografati sul disco in un'area inutilizzata. Solo i dati presenti nel volume prima dell'attivazione di FileVault non venivano crittografati. Questo problema è stato risolto cancellando quest'area durante l'attivazione di FileVault e al primo utilizzo di un volume crittografato per il quale si verifica questo problema. Questo problema non interessa i sistemi precedenti a OS X Lion.
ID CVE
CVE-2011-3212: Judson Powers di ATC-NY
-
File System
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: un malintenzionato che dispone di una posizione privilegiata sulla rete potrebbe manipolare i certificati HTTPS portando alla divulgazione di informazioni sensibili.
Descrizione: si verificava un problema nella gestione dei volumi WebDAV su server HTTPS. Se il server presentava una catenadi certificati che non poteva essere verificata automaticamente, veniva visualizzato un avviso e la connessione veniva interrotta. Se l'utente faceva clic sul pulsante "Continua" nella finestra dell'avviso, tutti i certificati venivano accettati alla successiva connessione al server. Un malintenzionato con una posizione privilegiata sulla rete poteva manipolare la connessione per ottenere informazioni sensibili o agire per conto dell'utente sul server. Questo aggiornamento risolve il problema verificando che il certificato ricevuto alla seconda connessione sia lo stesso certificato presentato originariamente all'utente.
ID CVE
CVE-2011-3213: Apple
-
IOGraphics
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: una persona in grado di accedere fisicamente a un sistema potrebbe essere in grado di superare il blocco dello schermo.
Descrizione: si verificava un problema con il blocco dello schermo durante l'uso con i monitor Apple Cinema Display. Quando viene richiesta la password per riattivare il sistema dallo stato di stop, una persona in grado di accedere fisicamente al sistema poteva riuscire a effettuare l'accesso senza immettere la password. Questo aggiornamento risolve il problema verificando che la schermata di blocco venga attivata correttamente quando il monitor è in stop. Il problema non interessa i sistemi OS X Lion.
ID CVE
CVE-2011-3214: Apple
-
Server iChat
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: un malintenzionato remoto potrebbe fare in modo che il server Jabber consumi eccessivamente le risorse del sistema.
Descrizione: si verificava un problema nella gestione delle entità esterne XML in jabberd2, un server per il protocollo XMPP (Extensible Messaging and Presence Protocol). jabber2 espande le entità esterne per le richieste in entrata. In questo modo, un malintenzionato può consumare le risorse di sistema in modo molto rapido, impedendo al servizio di autenticare gli utenti del server. Questo aggiornamento risolve il problema disattivando l'espansione delle entità per le richieste in entrata.
ID CVE
CVE-2011-1755
-
Kernel
Disponibile per: OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: in grado di accedere fisicamente al sistema potrebbe riuscire ad accedere alla password dell'utente.
Descrizione: un errore logico nella protezione DMA del kernel consentiva il DMA FireWire alla finestra di accesso, all'avvio e alla chiusura, ma non con lo schermo bloccato. Questo aggiornamento risolve il problema impedendo il DMA FireWire in tutti i casi in cui l'utente non ha effettuato l'accesso.
ID CVE
CVE-2011-3215: Passware, Inc.
-
Kernel
Disponibile per: OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: un utente senza privilegi potrebbe essere in grado di eliminare i file di un altro utente in una directory condivisa.
Descrizione: si verificava un errore logico nella gestione dell'eliminazione dei file da parte del kernel in directory con sticky bit.
ID CVE
CVE-2011-3216: Gordon Davisson di Crywolf, Linc Davis, R. Dormer, Allan Schmid e Oliver Jeckel di brainworks Training
-
libsecurity
Disponibile per: OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: l'accesso a un sito web o a un messaggio email pericoloso potrebbe comportare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un errore di gestione durante l'analisi di un'estensione non standard in un elenco di certificati revocati.
ID CVE
CVE-2011-3227: Richard Godbee di Virginia Tech
-
Mailman
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: sono presenti diverse vulnerabilità in Mailman 2.1.14.
Descrizione: si verificavano diversi problemi di scripting cross-site in Mailman 2.1.14. Questi problemi sono stati risolti migliorando la codifica dei caratteri nell'output HTML. Ulteriori informazioni sono disponibili sul sito di Mailman alla pagina http://mail.python.org/pipermail/mailman-announce/2011-February/000158.html. Questo problema non interessa i sistemi OS X Lion.
ID CVE
CVE-2011-0707
-
MediaKit
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: l'apertura di un'immagine disco pericolosa potrebbe provocare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificavano diversi problemi di danneggiamento della memoria nella gestione delle immagini disco. Questi problemi non interessano i sistemi OS X Lion.
ID CVE
CVE-2011-3217: Apple
-
Open Directory
Disponibile per: OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: qualsiasi utente potrebbe avere accesso alla password di un altro utente locale.
Descrizione: si verificava un problema di controllo dell'accesso in Open Directory. Questo problema non interessa i sistemi precedenti a OS X Lion.
ID CVE
CVE-2011-3435: Arek Dreyer di Dreyer Network Consultants, Inc e Patrick Dunstan di defenseindepth.net
-
Open Directory
Disponibile per: OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: un utente autenticato potrebbe modificare la password dell'account senza dover immettere la password attuale.
Descrizione: si verificava un problema di controllo dell'accesso in Open Directory. Questo problema non interessa i sistemi precedenti a OS X Lion.
ID CVE
CVE-2011-3436: Patrick Dunstan di defenceindepth.net
-
Open Directory
Disponibile per: OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: un utente potrebbe essere in grado di accedere senza dover immettere la password.
Descrizione: quando Open Directory era associato a un server LDAPv3 che usa RFC2307 o una mappatura personalizzata in base alla quale non esiste un attributo AuthenticationAuthority per l'utente, un utente LDAP poteva accedere senza dover immettere la password. Questo problema non interessa i sistemi precedenti a OS X Lion.
ID CVE
CVE-2011-3226: Jeffry Strunk dell'University of Texas at Austin, Steven Eppler della Colorado Mesa University, Hugh Cole-Baker e Frederic Metoz dell'Institut de Biologie Structurale
-
PHP
Disponibile per: OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: la visualizzazione di un file PDF pericoloso potrebbe provocare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un problema di signedness nella gestione dei font di tipo 1 in FreeType. Il problema è stato risolto aggiornando FreeType alla versione 2.4.6 e non interessa i sistemi precedenti a OS X Lion. Ulteriori informazioni sono disponibili sul sito web di FreeType all'indirizzo http://www.freetype.org/.
ID CVE
CVE-2011-0226
-
PHP
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: sono presenti diverse vulnerabilità in libpng 1.4.3.
Descrizione: l'aggiornamento di libpng alla versione 1.5.4 consente di risolvere diverse vulnerabilità, la più grave delle quali poteva comportare l'esecuzione di codice arbitrario. Per ulteriori informazioni consulta il sito web di libpng all'indirizzo http://www.libpng.org/pub/png/libpng.html.
ID CVE
CVE-2011-2690
CVE-2011-2691
CVE-2011-2692
-
PHP
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: sono presenti diverse vulnerabilità in PHP 5.3.4.
Descrizione: l'aggiornamento di PHP alla versione 5.3.6 consente di risolvere diverse vulnerabilità, la più grave delle quali poteva comportare l'esecuzione di codice arbitrario. Questi problemi non interessano i sistemi OS X Lion. Per ulteriori informazioni consulta il sito web di PHP all'indirizzo http://www.php.net.
ID CVE
CVE-2010-3436
CVE-2010-4645
CVE-2011-0420
CVE-2011-0421
CVE-2011-0708
CVE-2011-1092
CVE-2011-1153
CVE-2011-1466
CVE-2011-1467
CVE-2011-1468
CVE-2011-1469
CVE-2011-1470
CVE-2011-1471
-
postfix
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: sono presenti diverse vulnerabilità in Postfix.
Descrizione: Postfix è aggiornato alla versione 2.5.14 per risolvere diverse vulnerabilità, la più grave delle quali poteva consentire a un malintenzionato con una posizione privilegiata sulla rete di manipolare la sessione di posta per ottenere informazioni sensibili dal traffico criptato. Questi problemi non interessano i sistemi OS X Lion. Ulteriori informazioni sono disponibili sul sito web di Postfix alla pagina http://www.postfix.org/announcements/postfix-2.7.3.html.
ID CVE
CVE-2011-0411
CVE-2011-1720
-
python
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: sono presenti diverse vulnerabilità in python.
Descrizione: erano presenti diverse vulnerabilità in python, la più grave delle quali poteva comportare l'esecuzione di codice arbitrario. Questo aggiornamento risolve il problema applicando le patch del progetto python. Ulteriori informazioni sono disponibili sul sito web di python all'indirizzo http://www.python.org/download/releases/.
ID CVE
CVE-2010-1634
CVE-2010-2089
CVE-2011-1521
-
QuickTime
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: la visualizzazione di un file video pericoloso potrebbe provocare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificavano diversi problemi di danneggiamento della memoria nella gestione dei file video in QuickTime.
ID CVE
CVE-2011-3228: Apple
-
QuickTime
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: la visualizzazione di un file video pericoloso potrebbe provocare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un overflow del buffer di heap nella gestione degli atom STSC nei file video in QuickTime. Il problema non interessa i sistemi OS X Lion.
ID CVE
CVE-2011-0249: Matt "j00ru" Jurczyk, collaboratore della Zero Day Initiative di TippingPoint
-
QuickTime
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: la visualizzazione di un file video pericoloso potrebbe provocare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un overflow del buffer di heap nella gestione degli atom STSS nei file video in QuickTime. Il problema non interessa i sistemi OS X Lion.
ID CVE
CVE-2011-0250: Matt "j00ru" Jurczyk, collaboratore della Zero Day Initiative di TippingPoint
-
QuickTime
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: la visualizzazione di un file video pericoloso potrebbe provocare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un overflow del buffer di heap nella gestione degli atom STSZ nei file video in QuickTime. Il problema non interessa i sistemi OS X Lion.
ID CVE
CVE-2011-0251: Matt "j00ru" Jurczyk, collaboratore della Zero Day Initiative di TippingPoint
-
QuickTime
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: la visualizzazione di un file video pericoloso potrebbe provocare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un overflow del buffer di heap nella gestione degli atom STTS nei file video in QuickTime. Il problema non interessa i sistemi OS X Lion.
ID CVE
CVE-2011-0252: Matt "j00ru" Jurczyk, collaboratore della Zero Day Initiative di TippingPoint
-
QuickTime
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: un malintenzionato che dispone di una posizione privilegiata sulla rete potrebbe inserire script nel dominio locale durante la visualizzazione del modello HTML.
Descrizione: si verificava un problema di scripting cross-site nell'export "Salva per il web" di QuickTime Player. I documenti con i modelli HTML generati da questa funzione facevano riferimento a un file di script proveniente da un'origine non crittografata. Un malintenzionato che disponeva di una posizione privilegiata sulla rete poteva inserire script pericolosi nel dominio locale durante la visualizzazione in locale di un file di modello. Il problema è stato risolto rimuovendo il riferimento allo script online. Il problema non interessa i sistemi OS X Lion.
ID CVE
CVE-2011-3218: Aaron Sigel di vtty.com
-
QuickTime
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: la visualizzazione di un file video pericoloso potrebbe provocare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un overflow del buffer nella gestione dei file video con codifica H.264 in QuickTime.
ID CVE
CVE-2011-3219: Damian Put, collaboratore della Zero Day Initiative di TippingPoint
-
QuickTime
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: la visualizzazione di un file video pericoloso potrebbe comportare la divulgazione di contenuti presenti in memoria.
Descrizione: si verificava un problema di accesso alla memoria non inizializzata durante la gestione dei gestori di dati URL nei file video in QuickTime.
ID CVE
CVE-2011-3220: Luigi Auriemma, collaboratore della Zero Day Initiative di TippingPoint
-
QuickTime
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: la visualizzazione di un file video pericoloso potrebbe provocare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un problema di implementazione nella gestione della gerarchia di atom nei file video in QuickTime.
ID CVE
CVE-2011-3221: un ricercatore anonimo, collaboratore della Zero Day Initiative di TippingPoint
-
QuickTime
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: la visualizzazione di un documento FlashPix pericoloso potrebbe provocare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un overflow del buffer nella gestione dei file FlashPix in QuickTime.
ID CVE
CVE-2011-3222: Damian Put, collaboratore della Zero Day Initiative di TippingPoint
-
QuickTime
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: la visualizzazione di un file video pericoloso potrebbe provocare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un overflow del buffer nella gestione dei file FLIC in QuickTime.
ID CVE
CVE-2011-3223: Matt "j00ru" Jurczyk, collaboratore della Zero Day Initiative di TippingPoint
-
File server SMB
Disponibile per: OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: un ospite potrebbe sfogliare le cartelle condivise.
Descrizione: si verificava un problema di controllo dell'accesso nel file server SMB. La disattivazione dell'accesso degli ospiti al record del punto di condivisione per una cartella impediva all'utente "_sconosciuto" di sfogliare il punto di condivisione, ma non agli ospiti (utente "nessuno"). Questo problema è stato risolto applicando il controllo dell'accesso all'utente ospite. Questo problema non interessa i sistemi precedenti a OS X Lion.
ID CVE
CVE-2011-3225
-
Tomcat
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: sono presenti diverse vulnerabilità in Tomcat 6.0.24.
Descrizione: l'aggiornamento di Tomcat alla versione 6.0.32 risolve diverse vulnerabilità, la più grave delle quali poteva comportare un attacco tramite script da altri siti. Tomcat è fornito solo sui sistemi Mac OS X Server. Il problema non interessa i sistemi OS X Lion. Per ulteriori informazioni, visita il sito web di Tomcat all'indirizzo http://tomcat.apache.org/.
ID CVE
CVE-2010-1157
CVE-2010-2227
CVE-2010-3718
CVE-2010-4172
CVE-2011-0013
CVE-2011-0534
-
Documentazione per l'utente
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: un malintenzionato che dispone di una posizione privilegiata sulla rete potrebbe manipolare i contenuti dell'aiuto di App Store, provocando l'esecuzione di codice arbitrario.
Descrizione: i contenuti dell'aiuto di App Store erano aggiornati su HTTP. Questo aggiornamento risolve il problema aggiornando i contenuti dell'aiuto di App Store su HTTPS. Il problema non interessa i sistemi OS X Lion.
ID CVE
CVE-2011-3224: Aaron Sigel di vtty.com e Brian Mastenbrook
-
Server web
Disponibile per: Mac OS X Server 10.6.8
Impatto: i clienti potrebbero non essere in grado di accedere ai servizi web per i quali è necessaria l'autenticazione digest.
Descrizione: è stato risolto un problema con la gestione dell'autenticazione digest HTTP. Gli utenti potrebbero non essere in grado di accedere alle risorse del server anche se la configurazione del server dovrebbe consentirlo. Questo problema non rappresenta un rischio per la sicurezza ed è stato risolto per facilitare l'utilizzo di meccanismi di autenticazione più rigorosi. Questo problema non interessa i sistemi che eseguono OS X Lion Server.
-
X11
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 e 10.7.1, OS X Lion Server 10.7 e 10.7.1
Impatto: sono presenti diverse vulnerabilità in libpng.
Descrizione: erano presenti diverse vulnerabilità in libpng, la più grave delle quali poteva comportare l'esecuzione di codice arbitrario. Questi problemi sono stati risolti aggiornando libpng alla versione 1.5.4 su sistemi con OS Lion e alla versione 1.2.46 su sistemi con Mac OS X 10.6. Per ulteriori informazioni consulta il sito web di libpng all'indirizzo http://www.libpng.org/pub/png/libpng.html.
ID CVE
CVE-2011-2690
CVE-2011-2691
CVE-2011-2692