À propos du contenu sécuritaire de Mac OS X 10.5.2 et de la mise à jour Security Update 2008-001
Résumé
Ce document décrit le contenu sécuritaire de Mac OS X 10.5.2 et de la mise à jour Security Update 2008-001, qui peut être téléchargée et installée via les préférences Mise à jour de logiciels ou les Téléchargements Apple.
Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été menée et que des correctifs ou mises à jour ne sont pas mis à disposition. Pour en savoir plus sur la sécurité des produits Apple, consultez la page Sécurité produit d’Apple.
Pour plus d’informations sur la clé PGP de sécurité des produits Apple, consultez l’article « Comment utiliser la clé PGP de sécurité des produits Apple ».
Lorsque cela est possible, des références CVE sont utilisées afin de référencer les vulnérabilités pour plus d’informations.
Pour connaître les autres mises à jour de sécurité, consultez l’article « Mises à jour de sécurité Apple ».
Produits concernés
Mac OS X Server 10.4, Mac OS X Server 10.5, Mac OS X 10.5, Mac OS X 10.4.11, Mac OS X 10.5.1
Mac OS X v10.5.2 / Security Update 2008-001
-
Services de répertoires
Références CVE : CVE-2007-0355
Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11
Conséquences : un utilisateur local peut exécuter un code quelconque avec des privilèges système
Description : il existe un dépassement de la mémoire tampon de la pile dans le démon SLP (Service Location Protocol), qui peut permettre à un utilisateur local d’exécuter un code quelconque avec des privilèges système. Cette mise à jour résout le problème via une amélioration des contrôles de limitation des zones adressables. Ce problème a été décrit sur le site web Month of Apple Bugs (MOAB-17-01-2007). Il est absent dans les systèmes exécutant Mac OS X v10.5 ou ultérieur. Nous remercions Kevin Finisterre de Netragard pour avoir signalé ce problème.
-
Foundation
Références CVE : CVE-2008-0035
Disponible pour : Mac OS X v10.5 et v10.5.1, Mac OS X Server v10.5 et v10.5.1
Conséquences : l’accès à une URL construite de manière malveillante peut conduire à un blocage d’application ou à l’exécution de code quelconque
Description : il existe un problème de corruption de la mémoire au niveau de la gestion par Safari des URL. En poussant un utilisateur à accéder à une URL construite de manière malveillante, un attaquant peut provoquer un blocage inattendu d’application ou l’exécution de code quelconque. Cette mise à jour résout le problème en réalisant des validations supplémentaires sur les URL. Ce risque est absent dans les systèmes antérieurs à Mac OS X v10.5.
-
Launch Services
Références CVE : CVE-2008-0038
Disponible pour : Mac OS X v10.5 et v10.5.1, Mac OS X Server v10.5 et v10.5.1
Conséquences : une application supprimée du système peut continuer à être lancée via une sauvegarde Time Machine
Description : Launch Services est une API permettant d’ouvrir des applications ou leurs fichiers de données ou encore des URL de manière similaire au Finder ou au Dock. Les utilisateurs s’attendent à ce que la désinstallation d’une application de leur système l’empêche d’être lancée. Toutefois, lorsqu’une application a été désinstallée du système, Launch Services peut autoriser son lancement si elle est présente dans une sauvegarde Time Machine. Cette mise à jour résout le problème en n’autorisant pas le lancement d’applications directement depuis une sauvegarde Time Machine. Ce risque est absent dans les systèmes antérieurs à Mac OS X v10.5. Nous remercions Steven Fisher de Discovery Software Ltd. et Ian Coutier pour avoir signalé ce problème.
-
Mail
Références CVE : CVE-2008-0039
Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11
Conséquences : l’ouverture d’une URL présente dans un message peut conduire à l’exécution de code quelconque
Description : il existe dans la gestion par Mail des URL de type file:// un problème d’implémentation pouvant permettre le lancement, sans avertissement préalable, d’applications quelconques lorsqu’un utilisateur clique sur une URL dans un message. Cette mise à jour résout le problème en affichant l’emplacement du fichier dans le Finder au lieu de le lancer. Ce risque est absent dans les systèmes exécutant Mac OS X v10.5 ou ultérieur.
-
NFS
Références CVE : CVE-2008-0040
Disponible pour : Mac OS X v10.5 et v10.5.1, Mac OS X Server v10.5 et v10.5.1
Conséquences : si le système est utilisé en tant que client ou serveur NFS, un attaquant distant peut provoquer un arrêt inattendu du système ou l’exécution de code quelconque
Description : il existe un problème de corruption de la mémoire au niveau de la gestion par NFS des chaînes mbuf. Si le système est utilisé en tant que client ou serveur NFS, un serveur NFS construit de manière malveillante peut provoquer un arrêt inattendu du système ou l’exécution de code quelconque. Cette mise à jour résout le problème par une gestion améliorée des chaînes mbuf. Ce risque est absent dans les systèmes antérieurs à Mac OS X v10.5. Nous remercions Oleg Drokin de Sun Microsystems pour avoir signalé ce problème.
-
Open Directory
Disponible pour : Mac OS X v10.4.11, Mac OS X v10.4.11 Server
Conséquences : les demandes d’authentification NTLM peuvent échouer
Description : cette mise à jour corrige un problème non lié à la sécurité introduit dans Mac OS X v10.4.11. Une situation de concurrence dans Active Directory d’Open Directory peut provoquer l’arrêt de winbindd et entraîner l’échec des authentifications NTLM. Cette mise à jour résout le problème en corrigeant la condition de concurrence pouvant provoquer l’arrêt de winbindd. Ce problème ne concerne que les systèmes Mac OS X v10.4.11 configurés pour une utilisation avec Active Directory.
-
Contrôle parental
Références CVE : CVE-2008-0041
Disponible pour : Mac OS X v10.5 et v10.5.1, Mac OS X Server v10.5 et v10.5.1
Conséquences : la demande de déblocage d’un site web conduit à la divulgation d’informations
Description : lorsque défini pour gérer le contenu web, Contrôle parental contacte par inadvertance www.apple.com lors du déblocage d’un site web. Cela permet à un utilisateur distant de détecter les ordinateurs exécutant Contrôle parental. Cette mise à jour résout le problème en supprimant le trafic réseau sortant lors du déblocage d’un site web. Ce risque est absent dans les systèmes antérieurs à Mac OS X v10.5. Nous remercions Jesse Pearson pour avoir signalé ce problème.
-
Samba
Références CVE : CVE-2007-6015
Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 et v10.5.1, Mac OS X Server v10.5 et v10.5.1
Conséquences : un attaquant distant peut provoquer un blocage inattendu d’application ou l’exécution de code quelconque
Description : un dépassement de mémoire tampon de la pile peut se produire dans Samba lors du traitement de certaines demandes du service de noms NetBIOS. Si un système est configuré de façon explicite pour autoriser les ouvertures de session de domaine (domain logons), un blocage inattendu d’application ou l’exécution de code quelconque peut se produire lors du traitement d’une demande. Les systèmes Mac OS X Server configurés en tant que contrôleurs de domaine sont également concernés. Cette mise à jour résout le problème en appliquant le correctif Samba. Pour plus d’informations, consultez le site web de Samba à l’adresse http://www.samba.org/samba/history/security.html. Nous remercions Alin Rad Pop de Secunia Research pour avoir signalé ce problème.
-
Terminal
Références CVE : CVE-2008-0042
Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 et v10.5.1, Mac OS X Server v10.5 et v10.5.1
Conséquences : l’affichage d’une page web construite de manière malveillante peut conduire à l’exécution de code quelconque.
Description : il existe un problème de validation d’entrée dans le traitement des schémas URL gérés par Terminal.app. En poussant un utilisateur à consulter une page web construite de manière malveillante, un attaquant peut provoquer le lancement d’une application avec des arguments de ligne de commande contrôlés, ce qui peut conduire à l’exécution de code quelconque. Cette mise à jour résout le problème par une validation améliorée des URL. Nous remercions Olli Leppanen de Digital Film Finland et Brian Mastenbrook pour avoir signalé ce problème.
-
X11
Références CVE : CVE-2007-4568
Disponible pour : Mac OS X v10.5 et v10.5.1, Mac OS X Server v10.5 et v10.5.1
Conséquences : multiples vulnérabilités dans X11 X Font Server (XFS) 1.0.4
Description : il existe plusieurs vulnérabilités dans X11 X Font Server (XFS), la plus importante pouvant conduire à l’exécution de code quelconque. Cette mise à jour résout le problème en mettant à jour XFS avec la version 1.0.5. Vous trouverez des informations supplémentaires sur le site web de X.Org à l’adresse http://www.x.org/wiki/Development/Security.
-
X11
Références CVE : CVE-2008-0037
Disponible pour : Mac OS X v10.5 et v10.5.1, Mac OS X Server v10.5 et v10.5.1
Conséquences : la modification des réglages dans le volet des préférences Sécurité n’a aucun effet
Description : le serveur X11 n’interprète pas correctement sa préférence « Autoriser les connexions de clients réseau », ce qui peut provoquer l’autorisation par le serveur X11 des connexions depuis des clients réseau, même si la préférence est désactivée. Cette mise à jour résout le problème en veillant à ce que le serveur X11 interprète correctement cette préférence. Ce risque est absent dans les systèmes antérieurs à Mac OS X v10.5.
Important: les renseignements concernant des produits non fabriqués par Apple ne sont fournis qu’à titre indicatif et ne constituent ni une recommandation ni une approbation de la part d’Apple. Veuillez contacter le vendeur pour tout renseignement supplémentaire.