Apple güvenlik güncellemeleri (03 Ekim 2003 - 11 Ocak 2005)

Bu belgede, Apple ürünleri için 03 Ekim 2003 ve 11 Ocak 2005 tarihleri arasında kullanıma sunulan güvenlik güncellemeleri açıklanmaktadır.

Önemli: Daha sonraki (daha yeni) güvenlik güncellemeleri hakkında bilgi almak için "Apple güvenlik güncellemeleri" başlıklı makaleye bakın.

Önceki güvenlik güncellemeleri hakkında bilgi almak için "Apple Güvenlik Güncellemeleri: Ağustos 2003 ve Öncesi" başlıklı makaleye bakın.

Apple, müşterilerimizi korumak amacıyla tam denetim gerçekleştirilene ve gerekli yamalar veya sürümler kullanıma sunulana kadar güvenlik sorunlarını açıklamaz, tartışmaz ya da onaylamaz. Apple Ürün Güvenliği hakkında daha fazla bilgi edinmek için Apple, Inc. Ürün Güvenliği Olay Yanıtı web sitesine bakın.

Apple Ürün Güvenliği PGP Anahtarı

Daha fazla bilgi için "Apple Ürün Güvenliği PGP Anahtarı'nı kullanma" başlıklı makaleye bakın.

Güvenlik güncellemeleri

Güvenlik güncellemeleri, ilk olarak ortaya çıktıkları yazılım sürümüne göre aşağıda listelenmiştir. Daha fazla bilgi sağlamak amacıyla güvenlik açıkları mümkün olduğunca CVE Kimliği ile belirtilir.

iTunes 4.7.1

İlgili sürümler: Mac OS X, Microsoft Windows XP, Microsoft Windows 2000

CVE-ID: CAN-2005-0043

Etki: Kötü amaçlı çalma listeleri iTunes'un çökmesine ve rastgele kod yürütülmesine neden olabilir.

Açıklama: iTunes, sık kullanılan çeşitli çalma listesi biçimlerini destekler. iTunes 4.7.1, m3u ve pls çalma listesi dosyalarının ayrıştırılmasında, iTunes'un önceki sürümlerinin çökmesine ve rastgele kod yürütmesine olanak sağlayabilecek bir arabellek taşmasını düzeltir. Bu sorunu keşfettiği için Sean de Regge (seanderegge[at]hotmail.com) ve bize bildirdiği için iDEFENSE Labs'e teşekkür ederiz.

Güvenlik Güncellemesi 2004-12-02

Apache

İlgili sürümler: Mac OS X Server v10.3.6, Mac OS X Server v10.2.8

CVE-ID: CAN-2004-1082

Etki: Apache mod_digest_apple kimlik doğrulaması, tekrarlama saldırılarına karşı savunmasız.

Açıklama: Mac OS X Server'a özgü mod_digest_apple, Apache'nin mod_digest özelliğini temel alır. Mod_digest sürümündeki bir tekrarlama sorunu için Apache (CAN-2003-0987) yazılımının 1.3.31 ve 1.3.32 sürümlerinde birden fazla düzeltme yapılmıştır. Bu güncelleme, Apache 1.3.32 sürümünde yapılan değişiklikleri kullanarak mod_digest_apple kimlik doğrulamasındaki tekrarlama sorununu düzeltir.

Apache

İlgili sürümler: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

CVE-ID: CAN-2003-0020, CAN-2003-0987, CAN-2004-0174, CAN-2004-0488, CAN-2004-0492, CAN-2004-0885, CAN-2004-0940

Etki: Apache ve mod_ssl'de yerel ayrıcalık yükseltme, uzaktan servis reddi ve bazı değiştirilmiş konfigürasyonlarda rastgele kod yürütülmesi de dahil olmak üzere birden fazla güvenlik açığı.

Açıklama: Apache Group, 1.3.29 ve 1.3.33 sürümleri arasındaki bir dizi güvenlik açığını giderdi. Apache 1.3 için Apache Group güvenlik sayfasına http://www.apacheweek.com/features/security-13 adresinden ulaşılabilir. Apache'nin önceden yüklenmiş olan sürümü 1.3.29 idi. Varsayılan Apache yüklemesi mod_ssl özelliğini etkinleştirmez. Bu güncelleme, Apache'yi 1.3.33 sürümüne ve eşlik eden mod_ssl'i 2.8.22 sürümüne güncelleyerek ilgili tüm sorunları giderir.

Apache

İlgili sürümler: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

CVE-ID: CAN-2004-1083

Etki: Apache konfigürasyonları ".DS_Store" dosyalarına veya ".ht" ile başlayan dosyalara erişimi tamamen engellemiyordu.

Açıklama: Varsayılan Apache konfigürasyonu, ".ht" ile başlayan dosyalara erişimi, büyük/küçük harfe duyarlı bir şekilde engeller. Apple HFS+ dosya sistemi, dosya erişimini büyük/küçük harfe duyarlı olmayan bir şekilde gerçekleştirir. Finder da web sayfalarına hizmet vermek için kullanılan konumlardaki dosyaların adlarını içeren .DS_Store dosyaları oluşturabilir. Bu güncelleme, Apache konfigürasyonunu büyük/küçük harften bağımsız olarak ".ht" veya ".DS_S" ile başlayan tüm dosyalara erişimi kısıtlayacak şekilde değiştirir. Daha fazla...

Apache

İlgili sürümler: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

CVE-ID: CAN-2004-1084

Etki: Dosya verileri ve kaynak çatalı içeriği, HTTP aracılığıyla normal Apache dosya işleyicileri atlanarak alınabilir.

Açıklama: Apple HFS+ dosya sistemi, dosyaların birden fazla veri akışına sahip olmasına izin verir. Bu veri akışlarına özel dosya adları kullanılarak doğrudan erişilebilir. Özel olarak oluşturulmuş bir HTTP isteği, Apache dosya işleyicisini atlayıp dosya verilerine veya kaynak çatalı içeriğine doğrudan erişebilir. Bu güncelleme Apache konfigürasyonunu, özel dosya adları aracılığıyla yapılan dosya verileri veya kaynak çatal içeriği isteklerini reddedecek şekilde değiştirir. Daha fazla bilgi için bu belgeye bakın. Bu sorunu bildirdiği için NetSec'e teşekkür ederiz.

Apache 2

İlgili sürümler: Mac OS X Server v10.3.6, Mac OS X Server v10.2.8

CVE-ID: CAN-2004-0747, CAN-2004-0786, CAN-2004-0751, CAN-2004-0748

Etki: Değiştirilmiş Apache 2 konfigürasyonları, yerel kullanıcılar için ayrıcalık yükseltmesine ve uzaktan servis reddine izin verebilir.

Açıklama: Müşteri tarafından değiştirilmiş ve AllowOverride özelliği etkinleştirilmiş bir Apache 2 konfigürasyonu, yerel bir kullanıcının Apache (www) kullanıcısı olarak rastgele kod yürütmesine izin verebilir. Değiştirilmemiş bir konfigürasyon bu soruna karşı savunmasız değildir. Bu güncelleme, Apache'deki belirli istek türlerinin sunucuyu çökertmesine imkan tanıyabilecek hataları da giderir. Apache, 2.0.52 sürümüne güncellendi. Apache 2, yalnızca Mac OS X Server ile gönderilir ve varsayılan olarak kapalıdır.

Appkit

İlgili sürümler: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

CVE-ID: CAN-2004-1081

Etki: Güvenli bir metin alanına girilen karakterler aynı pencere oturumundaki diğer uygulamalar tarafından okunabilir.

Açıklama: Bazı durumlarda güvenli metin giriş alanı, güvenli girişi doğru şekilde etkinleştirmez. Bu, aynı pencere oturumundaki diğer uygulamaların bazı giriş karakterlerini ve klavye etkinliklerini görmesine olanak sağlayabilir. Güvenli metin alanlarına giriş artık tuşa basma bilgilerinin sızmasını önleyecek şekilde etkinleştirilir.

Appkit

İlgili sürümler: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

CVE-ID: CAN-2004-0803, CAN-2004-0804, CAN-2004-0886

Etki: Tam sayı taşmaları ve tiff dosyalarının işlenmesindeki yetersiz aralık kontrolü, rastgele kod yürütülmesine veya servis reddine olanak sağlayabilir.

Açıklama: tiff görüntülerinin kodlarının çözülmesindeki kusurlar belleğin üzerine yazabilir, çökmeye neden olan aritmetik hatalara neden olabilir veya rastgele kod yürütülmesine izin verebilir. Bu güncelleme, tiff görüntülerinin işlenmesindeki sorunları düzeltir.

Cyrus IMAP

İlgili sürüm: Mac OS X Server v10.3.6

CVE-ID: CAN-2004-1089

Etki: Cyrus IMAP ile Kerberos kimlik doğrulaması kullanılırken, kimliği doğrulanmış bir kullanıcı aynı sistemdeki diğer posta kutularına yetkisiz erişim elde edebilir.

Açıklama: Cyrus IMAP sunucusuyla Kerberos kimlik doğrulama mekanizması kullanılırken bir kullanıcı, kimlik doğrulaması yaptıktan sonra posta kutuları arasında geçiş yapabilir ve aynı sistemdeki diğer posta kutularına erişebilir. Bu güncelleme, posta kutusunu kimliği doğrulanmış olan kullanıcıya bağlar. Sunucuya özgü bu sorun, Mac OS X Server 10.2.8 sürümünde mevcut değildir. Bu sorunu bildirdiği için johan.gradvall@gothia.se'ye teşekkür ederiz.

HIToolbox

İlgili sürümler: Mac OS X v10.3.6, Mac OS X Server v10.3.6

CVE-ID: CAN-2004-1085

Etki: Kullanıcılar kiosk modundaki uygulamalardan çıkabilirler.

Açıklama: Özel bir tuş kombinasyonu, kullanıcıların kiosk modunda bile çıkmaya zorlama penceresini açmalarına olanak sağlıyordu. Bu güncelleme, tüm çıkmaya zorlama tuş kombinasyonlarının kiosk modundayken çalışmasını engeller. Bu sorun Mac OS X v10.2.8 veya Mac OS X Server v10.2.8 sürümlerinde mevcut değildir. Bu sorunu bildirdiği için Boulder'daki Colorado Üniversitesi'nden Glenn Blauvelt'e teşekkür ederiz.

Kerberos

İlgili sürümler: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

CVE-ID: CAN-2004-0642, CAN-2004-0643, CAN-2004-0644, CAN-2004-0772

Etki: Kerberos kimlik doğrulaması kullanıldığında olası bir servis reddine maruz kalma.

Açıklama: MIT, bir servis reddi ve üç çift serbest bırakma hatasını gideren yeni bir Kerberos sürümü yayınladı. Mac OS X, çift serbest bırakma hatalarına karşı koruma içerir. Bu güncelleme, servis reddi sorununa yönelik düzeltmeyi uygular. Önlem olarak, çift serbest bırakma yamaları da uygulanmıştır. Bu sorunu bildirdiği ve düzeltmeler sağladığı için MIT Kerberos Geliştirme Ekibi'ne teşekkür ederiz.

Postfix

İlgili sürümler: Mac OS X v10.3.6, Mac OS X Server v10.3.6

CVE-ID: CAN-2004-1088

Etki: CRAM-MD5'in kullanıldığı Postfix, uzak bir kullanıcının kimliğini uygun şekilde doğrulamadan posta göndermesine olanak sağlayabilir.

Açıklama: Gönderenlerin kimliğini doğrulamak için CRAM-MD5'i kullanan Postfix sunucuları bir tekrarlama saldırısına karşı savunmasızdı. Bazı şartlar altında, bir kullanıcının kimliğini başarıyla doğrulamak için kullanılan kimlik bilgileri, kısa bir süre için yeniden kullanılabilir. Kullanıcıların kimliğini doğrulamak için kullanılan CRAM-MD5 algoritması, tekrarlama zaman aralığını önleyecek şekilde güncellendi. Bu sorun Mac OS X v10.2.8 veya Mac OS X Server v10.2.8 sürümlerinde mevcut değildir. Bu sorunu bildirdiği için Morgan Stanley'den Victor Duchovni'ye teşekkür ederiz.

PSNormalizer

İlgili sürümler: Mac OS X v10.3.6, Mac OS X Server v10.3.6

CVE-ID: CAN-2004-1086

Etki: PostScript - PDF dönüştürme işlemindeki bir arabellek taşması, rastgele kod yürütülmesine olanak sağlayabilir.

Açıklama: PostScript - PDF dönüştürme işlemindeki bir arabellek taşması, rastgele kod yürütülmesine olanak sağlayabilir. Bu güncelleme, arabellek taşmasını önlemek için PostScript - PDF dönüştürme kodunu düzeltir. Bu sorun Mac OS X v10.2.8 veya Mac OS X Server v10.2.8 sürümlerinde mevcut değildir.

QuickTime Streaming Server

İlgili sürümler: Mac OS X Server v10.3.6, Mac OS X Server v10.2.8

CVE-ID: CAN-2004-1123

Etki: Özel olarak oluşturulmuş istekler servis reddine neden olabilir.

Açıklama: QuickTime Streaming Server, DESCRIBE İstekleri işlenirken servis reddi saldırısına karşı savunmasızdı. Bu güncelleme, bu isteklerin işlenmesini düzeltir. Bu sorunu bildirdiği için iDEFENSE'e teşekkür ederiz.

Safari

İlgili sürümler: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

CVE-ID: CAN-2004-1121

Etki: Özel olarak oluşturulmuş HTML, Safari durum çubuğunda yanıltıcı bir URI görüntüleyebilir.

Açıklama: Safari, durum çubuğunda bir bağlantının hedefiyle aynı olmayan bir URI görüntülemesi için kandırılabilir. Bu güncelleme Safari'yi, artık seçildiğinde etkinleştirilecek URI'ı görüntüleyecek şekilde düzeltir.

Safari

İlgili sürümler: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

CVE-ID: CAN-2004-1122

Etki: Birden fazla tarayıcı penceresi etkinleştirildiğinde, Safari kullanıcıları hangi pencerenin açılır pencereyi etkinleştirdiği konusunda yanlış yönlendirilebilir.

Açıklama: Birden fazla Safari penceresi açıkken, dikkatli bir şekilde zamanlanan bir açılır pencere, kullanıcının bu pencerenin farklı bir site tarafından etkinleştirildiğini düşünmesine yol açabilir. Bu güncelleme ile Safari, artık açılır pencereyi diğer tüm tarayıcı pencerelerinin önünde etkinleştiren bir pencere yerleştirir. Bu sorunu bildirdiği için Secunia Research'e teşekkür ederiz.

Terminal

İlgili işletim sistemleri: Mac OS X v10.3.6 ve Mac OS X Server v10.3.6

CVE-ID: CAN-2004-1087

Etki: Terminal, 'Güvenli Klavye Girişi' etkin değilken bu özelliğin etkin olduğunu gösterebilir.

Açıklama: Terminal.app başlatılırken 'Güvenli Klavye Girişi' menü ayarı, düzgün bir şekilde geri yüklenmiyordu. Etkinleştirilmemiş olsa bile 'Güvenli Klavye Girişi' seçeneğinin yanında bir onay işareti görüntüleniyordu. Bu güncelleme, 'Güvenli Klavye Girişi' davranışını düzeltir. Bu sorun Mac OS X v10.2.8 veya Mac OS X Server v10.2.8 sürümlerinde mevcut değildir. Bu sorunu bildirdiği için Red Shed Software'den Jonathan "Wolf" Rentzsch'a teşekkür ederiz.

iCal 1.5.4

CVE-ID: CAN-2004-1021

Etki: Yeni iCal takvimleri, onay almadan alarm ekleyebilir.

Açıklama: iCal takvimlerinde olayların alarmlar yoluyla bildirilmesi söz konusu olabilir. Bu alarmlar programları açabilir ve e-posta gönderebilir. iCal, alarmlar içeren takvimler içe aktarılırken veya açılırken bir uyarı penceresi gösterecek şekilde güncellendi. iCal 1.5.4, Mac OS X 10.2.3 veya sonraki sürümlerde kullanılabilir. Bu sorunu bildirdiği için aaron@vtty.com'a teşekkür ederiz.

Güvenlik Güncellemesi 2004-10-27

Apple Remote Desktop

İlgili sürümler: Mac OS X 10.3.x ile Apple Remote Desktop Client 1.2.4

CVE-ID: CAN-2004-0962

Etki: Bir uygulama oturum açma penceresinin arkasında başlatılabilir ve root olarak çalışabilir.

Açıklama: Aşağıdaki koşullara sahip bir sistem için:

• Apple Remote Desktop istemcisi yüklenmiş

• İstemci sistemindeki bir kullanıcı, Uygulamaları açma ve uygulamalardan çıkma ayrıcalığıyla etkinleştirilmiş

• ARD kullanıcısının kullanıcı adı ve parolası biliniyor

• Kullanıcılar Arası Hızlı Geçiş etkinleştirilmiş

• Bir kullanıcı oturum açmış ve oturum açma penceresi, Kullanıcılar Arası Hızlı Geçiş yoluyla etkin

Başka bir sistemdeki Apple Remote Desktop Administrator uygulaması istemcide bir GUI uygulaması başlatmak için kullanılırsa GUI uygulaması, oturum açma penceresinin arkasında root olarak çalışır. Bu güncelleme, oturum açma penceresi etkinken Apple Remote Desktop uygulamasının uygulamaları başlatmasını önler. Bu güvenlik iyileştirmesi, Apple Remote Desktop v2.1'de de mevcuttur. Bu sorun Mac OS X 10.3 sürümünden önceki sistemleri etkilemez. Bu sorunu bildirdikleri için Andrew Nakhla ve Secunia Research'e teşekkür ederiz.

QuickTime 6.5.2

CVE ID: CAN-2004-0988

İlgili sürümler: Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME ve Microsoft Windows 98

Etki: Bir HTML ortamında, kötüye kullanılabilecek bir tam sayı taşması.

Açıklama: Taşan küçük bir tamsayının işaret uzantısı, bellek taşıma işlevine çok büyük bir sayının aktarılmasına neden olabilir. Düzeltme, küçük tam sayının taşmasını önler. Bu sorun, Mac OS X için QuickTime sistemlerinden mevcut değildir. Bu sorunu bildirdiği için Next Generation Security Software Ltd. Şirketi'nden John Heasman'a teşekkür ederiz.

CVE-ID: CAN-2004-0926

İlgili sürümler: Mac OS X v10.3.x, Mac OS X Server v10.3.x, Mac OS X v10.2.8, Mac OS X Server v10.2.8, Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME ve Microsoft Windows 98

Etki: Bir yığın arabellek taşması, saldırganların rastgele kod yürütmesine olanak sağlayabilir.

Açıklama: BMP görüntü türündeki kod çözme kusurları, yığın belleğin üzerine yazabilir ve bir görüntüde gizlice rastgele kod yürütülmesine olanak sağlayabilir. Bu, Güvenlik Güncellemesi 2004-09-30 ile kullanıma sunulan güvenlik geliştirmesinin aynısıdır ve bu QuickTime güncellemesi kapsamındaki ek sistem konfigürasyonlarında dağıtılabilir.

Güvenlik Güncellemesi 2004-09-30 (10/04/2004 tarihinde yayınlanmıştır)

AFP Server

İlgili sürümler: Mac OS X v10.3.5 ve Mac OS X Server v10.3.5

CVE-ID: CAN-2004-0921

Etki: Bir konuğun AFP disk bölümlerinin bağlantısını kesmesine izin veren bir servis reddi

Açıklama: Bir konuk tarafından bağlanan bir AFP disk bölümü, SessionDestroy paketlerini değiştirerek aynı sunucudaki kimliği doğrulanmış kullanıcı bağlamalarını sonlandırmak için kullanılabilir. Bu sorun, Mac OS X v10.3 veya Mac OS X Server v10.3 sürümünden önceki sistemleri etkilemez.

AFP Server

İlgili sürümler: Mac OS X v10.3.5 ve Mac OS X Server v10.3.5

CVE-ID: CAN-2004-0922

Etki: Salt yazılır AFP Bırakma Kutusu, okuma-yazma olarak ayarlanabilir.

Açıklama: Konuk tarafından bağlanan bir AFP birimindeki salt yazma Bırakma Kutusu bazen, konuk grubu kimliğinin yanlış ayarlanması nedeniyle okuma-yazma olarak ayarlanabilir. Bu sorun, Mac OS X v10.3 veya Mac OS X Server v10.3 öncesindeki sistemleri etkilemez.

CUPS

İlgili sürümler: Mac OS X v10.3.5, Mac OS X Server v10.3.5, Mac OS X v10.2.8, Mac OS X Server v10.2.8

CVE-ID: CAN-2004-0558

Etki: Yazdırma sisteminin kilitlenmesine neden olan servis reddi

Açıklama: CUPS'te Internet Printing Protocol'ün (IPP) uygulanması, IPP bağlantı noktasına belirli bir UDP paketi gönderildiğinde kilitlenebilir.

CUPS

İlgili sürümler: Mac OS X v10.3.5, Mac OS X Server v10.3.5, Mac OS X v10.2.8, Mac OS X Server v10.2.8

CVE-ID: CAN-2004-0923

Etki: Kullanıcı parolalarının yerel olarak açığa çıkması

Açıklama: Kimliği doğrulanmış belirli uzaktan yazdırma yöntemleri, yazdırma sistemi günlük dosyalarındaki kullanıcı parolalarını açığa çıkarabilir. Bu sorunu bildirdiği için Glasgow Caledonian Üniversitesi'nin IT Hizmetleri bölümünden Gary Smith'e teşekkür ederiz.

NetInfo Manager

İlgili sürümler: Mac OS X v10.3.5 ve Mac OS X Server v10.3.5

CVE-ID: CAN-2004-0924

Etki: Hesap durumunun yanlış gösterilmesi

Açıklama: NetInfo Manager izlencesi "root" hesabını etkinleştirebilir ancak tek bir "root" oturum açma işleminden sonra NetInfo Manager hesabı devre dışı bırakmak için kullanılamaz ve hesap hatalı bir şekilde devre dışı bırakılmış gibi görünür. Bu sorun, Mac OS X v10.3 veya Mac OS X Server v10.3 öncesindeki sistemleri etkilemez.

postfix

İlgili sürümler: Mac OS X v10.3.5 ve Mac OS X Server v10.3.5

CVE-ID: CAN-2004-0925

Etki: SMTPD AUTH etkinleştirildiğinde servis reddi

Açıklama: Postfix'te SMTPD AUTH etkinleştirildiğinde, kullanıcı adını içeren bir arabellek kimlik doğrulama girişimleri arasında doğru şekilde temizlenmez. Yalnızca en uzun kullanıcı adlarına sahip kullanıcılar kimlik doğrulaması yapabilir. Bu sorun, Mac OS X v10.3 veya Mac OS X Server v10.3 öncesindeki sistemleri etkilemez. Bu sorunu bildirdiği için EyeSee360'dan Michael Rondinelli'ye teşekkür ederiz.

QuickTime

İlgili sürümler: Mac OS X v10.3.5, Mac OS X Server v10.3.5, Mac OS X v10.2.8, Mac OS X Server v10.2.8

CVE-ID: CAN-2004-0926

Etki: Bir yığın arabellek taşması, saldırganların rastgele kod yürütmesine olanak sağlayabilir.

Açıklama: BMP görüntü türündeki kod çözme kusurları, yığın belleğin üzerine yazabilir ve bir görüntüde gizlice rastgele kod yürütülmesine olanak sağlayabilir.

ServerAdmin

İlgili sürümler: Mac OS X Server v10.3.5 ve Mac OS X Server v10.2.8

CVE-ID: CAN-2004-0927

Etki: ServerAdmin ile İstemci-Sunucu iletişimi, kaydedilen oturumların kodu çözülerek okunabilir.

Açıklama: ServerAdmin ile İstemci-Sunucu iletişiminde SSL kullanılır. Tüm sistemler, kendisinden imzalı aynı örnek sertifika yüklü olarak gelir. Bu sertifika değiştirilmemişse ServerAdmin iletişiminin şifresi çözülebilir. Düzeltme, mevcut kendinden imzalı sertifikayı, yerel ve benzersiz bir şekilde oluşturulmuş bir sertifikayla değiştirir. Bu sorunu bildirdiği için 4am Media, Inc. şirketinden Michael Bartosh'a teşekkür ederiz.

Güvenlik Güncellemesi 2004-09-16

iChat

CVE-ID: CAN-2004-0873

Etki: Uzaktan iChat katılımcıları, tıklandığında yerel programları başlatabilecek "bağlantılar" gönderebilir.

Açıklama: Uzaktaki Bir iChat katılımcısı, yerel sistemdeki bir programa referans veren bir "bağlantı" gönderebilir. "Bağlantı" üzerine tıklanarak etkinleştirilirse ve "bağlantı" yerel bir programı işaret ediyorsa program çalıştırılır. iChat, bu tür "bağlantıların" programı çalıştırmak yerine programı görüntüleyen bir Finder penceresi açacak şekilde değiştirildi. Bu sorunu bildirdiği için aaron@vtty.com'a teşekkür ederiz.

İlgili sürümler: Bu güncelleme, aşağıdaki iChat sürümleri için kullanılabilir:

- IChat AV v2.1 (Mac OS X 10.3.5 veya sonraki sürümler)

- IChat AV v2.0 (Mac OS X 10.2.8)

- IChat 1.0.1 (Mac OS X 10.2.8)

Güvenlik Güncellemesi 2004-09-07

Bu Güvenlik Güncellemesi, aşağıdaki sistem sürümleri için kullanılabilir:

- Mac OS X 10.3.4

- Mac OS X 10.3.5

- Mac OS X Server 10.3.4

- Mac OS X Server 10.3.5

- Mac OS X 10.2.8

- Mac OS X Server 10.2.8

İpucu: Aşağıda referans verilen CVE-ID'ler hakkında daha fazla bilgi için http://www.cve.mitre.org/ sayfasına bakın.

Bileşen: Apache 2

CVE-ID'ler: CAN-2004-0493, CAN-2004-0488

İlgili sürümler: Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Etki: Olası bir Servis Reddine maruz kalma

Açıklama: Apache Kuruluşu, Apache 2.0.50 sürümünü yayınlamıştır. Bu sürüm, birkaç servis reddi güvenlik açığını giderir. Apache'yi, yalnızca Mac OS X Server ile gönderilen ve varsayılan olarak kapalı olan 2.0.50 sürümüne güncelledik.

Bileşen: CoreFoundation

CVE-ID: CAN-2004-0821

İlgili sürümler: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Etki: CoreFoundation kullanan ayrıcalıklı programların, kullanıcı tarafından sağlanan bir kitaplığı yüklemesi sağlanabilir.

Açıklama: CoreFoundation CFPlugIn özelliklerini kullanan paketler, eklenti yürütülebilir dosyalarının otomatik olarak yüklenmesine yönelik talimatlar içerebilir. Özel olarak hazırlanmış bir paket ile bu durum, ayrıcalıklı programlar için de gerçekleşebilir ve yerel ayrıcalık yükseltmesine izin verebilir. Artık CoreFoundation, yüklenmiş yürütülebilir dosyaya sahip paketler için, yürütülebilir dosyaların otomatik olarak yüklenmesini önler. Bu sorunu bildirdiği için Kikuchi Masashi'ye (kik@ms.u-tokyo.ac.jp) teşekkür ederiz.

Bileşen: CoreFoundation

CVE-ID: CAN-2004-0822

İlgili sürümler: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Etki: Bir ortam değişkeni, ayrıcalık yükseltmesiyle sonuçlanabilecek bir arabellek taşmasına neden olacak şekilde manipüle edilebilir.

Açıklama: Bir ortam değişkeni manipüle edilerek bir programın, yerel bir saldırganın rastgele kod yürütmesine imkan tanıması sağlanabilir. Bu açıktan, yalnızca yerel bir hesaba erişim sağlandığında yararlanılabilir. Bu ortam değişkeni için geçerlilik kontrolleri artık daha sıkı gerçekleştirilmektedir. Bu sorunu bildirdiği için aaron@vtty.com'a teşekkür ederiz.

Bileşen: IPsec

CVE-ID: CAN-2004-0607

İlgili sürümler: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Etki: Sertifikalar kullanılırken, kimliği doğrulanmamış ana bilgisayarlar bir IPSec bağlantısı iletebilir.

Açıklama: Uzak ana bilgisayarların kimliğini doğrulamak için X.509 sertifikalarını kullanacak şekilde yapılandırıldığında, sertifika doğrulama hatası anahtar değişimini iptal etmez. Mac OS X, varsayılan olarak IPSec sertifikaları kullanmaz. Bu nedenle, bu sorun yalnızca elle yapılandırılmış sistemleri etkiler. IPSec artık bir sertifika doğrulama hatası oluşursa anahtar değişimini doğrular ve iptal eder.

Bileşen: Kerberos

CVE-ID: CAN-2004-0523

İlgili sürümler: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Etki: MIT Kerberos 5 (krb5) 1.3.3 ve önceki sürümler için krb5_aname_to_localname'deki birden fazla arabellek taşması, uzaktaki saldırganların rastgele kod yürütmesine izin verebilir.

Açıklama: Arabellek taşmasından, yalnızca edu.mit.Kerberos dosyasında "auth_to_local_names" veya "auth_to_local" desteği de yapılandırılmışsa yararlanılabilir. Apple bunu varsayılan olarak etkinleştirmez. Güvenlik düzeltmesi geri taşınmış ve Kerberos'un Mac OS X sürümlerine uygulanmıştır. Kerberos'un Mac OS X ve Mac OS X Server sürümü, VU#350792 (CAN-2004-0772) numaralı CERT güvenlik açığı notunda bildirilen son "çift serbest bırakma" sorunundan etkilenmez. Bizi bu sorun hakkında bilgilendirdiği için MIT Kerberos Geliştirme Ekibi'ne teşekkür ederiz.

Bileşen: lukemftpd

CVE-ID: CAN-2004-0794

İlgili sürümler: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Etki: Kimliği doğrulanmış uzak bir saldırganın servis reddine neden olmasına veya rastgele kod yürütmesine izin verebilecek bir yarış durumu.

Açıklama: FTP servisi etkinleştirilmişse ve uzaktaki bir saldırgan doğru şekilde kimlik doğrulaması yapabilirse bir yarış durumu, saldırganın FTP servisini durdurmasına veya rastgele kod yürütmesine izin verir. Çözüm, lukemftpd FTP servisini tnftpd ile değiştirmektir. Lukemftp, Mac OS X Server'da yüklüdür ancak etkinleştirilmemiştir; bunun yerine xftp kullanılır. Bu sorunu bildirdiği için NetBSD Foundation'dan Luke Mewburn'e teşekkür ederiz.

Bileşen: OpenLDAP

CVE-ID: CAN-2004-0823

İlgili sürümler: Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Etki: Bir crypt parolası düz metin parolası gibi kullanılabilir.

Açıklama: Eski LDAP uygulamalarıyla geriye dönük uyumluluk, bir crypt parolasının userPassword özelliğinde saklanmasına izin verir. Bazı kimlik doğrulama geçerlilik kontrolü şemaları, bu değeri düz metin parolası gibi kullanabilir. Düzeltme, belirsizliği ortadan kaldırır ve şifreleme parolası olarak her zaman bu tür bir alanı kullanır. Bu sorun Mac OS X 10.2.8 sürümünde ortaya çıkmaz. Bu sorunu bildirdiği için Kayak Software Corporation'dan Steve Revilak'a teşekkür ederiz.

Bileşen: OpenSSH

CVE-ID: CAN-2004-0175

İlgili sürümler: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Etki: Kötü amaçlı bir ssh/scp sunucusu yerel dosyaların üzerine yazabilir.

Açıklama: scp programındaki bir dizin geçişi güvenlik açığı, kötü amaçlı bir uzak sunucunun yerel dosyaların üzerine yazmasına izin verir. Güvenlik düzeltmesi geri taşınmış ve OpenSSH'in Mac OS X sürümlerine uygulanmıştır.

Bileşen: PPPDialer

CVE-ID: CAN-2004-0824

İlgili sürümler: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Etki: Kötü amaçlı bir kullanıcı sistem dosyalarının üzerine yazabilir ve bu da yerel ayrıcalık yükseltmesine neden olabilir.

Açıklama: PPP bileşenleri, herkes tarafından yazılabilir bir konumda saklanan bir dosyaya güvenli olmayan erişimler gerçekleştiriyordu. Düzeltme, günlük dosyalarını herkes tarafından yazılamayan bir konuma taşır.

Bileşen: QuickTime Streaming Server

İlgili sürümler: Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0825

Etki: QuickTime Streaming Server'ın yeniden başlatılmasını gerektiren bir servis reddi

Açıklama: Belirli bir istemci işlemleri dizisi, QuickTime Streaming Server üzerinde bir kilitlenmeye neden olabilir. Düzeltme, bu kilitlenme durumunu ortadan kaldırmak için kodu günceller.

Bileşen: rsync

CVE-ID: CAN-2004-0426

İlgili sürümler: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Etki: Rsync arka plan modunda çalıştırıldığında, chroot seçeneği ayarlanmadığı sürece uzaktaki bir saldırgan modül yolunun dışına yazabilir.

Açıklama: 2.6.1 sürümünden önce rsync, chroot seçeneği kapalıyken bir okuma/yazma arka plan programı çalıştırılırken yolları düzgün bir şekilde temizlemiyordu. Düzeltme, rsync'i 2.6.2 sürümüne günceller.

Bileşen: Safari

CVE-ID: CAN-2004-0361

İlgili sürümler: Mac OS X 10.2.8, Mac OS X Server 10.2.8

Etki: Negatif boyuttaki bir JavaScript dizisi, Safari'nin belleğe sınırların dışında erişim sağlamasına ve uygulamanın çökmesine neden olabilir.

Açıklama: Nesneleri negatif boyutla ayrılmış bir JavaScript dizisinde depolamak belleğin üzerine yazılabilir. Safari artık, bir dizi ayırma işlemi başarısız olursa JavaScript programlarını işlemeyi durdurur. Bu güvenlik iyileştirmesi daha önce Safari 1.0.3 sürümünde kullanıma sunulmuştur ve Mac OS X 10.2.8 işletim sisteminde, Safari'nin bu sürümünü yüklememiş müşteriler için ek bir koruma katmanı olarak uygulanmaktadır. Bu, Mac OS X 10.2.8 sürümüne özel bir düzeltmedir ve sorun Mac OS X 10.3 veya sonraki sürümlerde mevcut değildir.

Bileşen: Safari

CVE-ID: CAN-2004-0720

İlgili sürümler: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Etki: Güvenilmeyen bir web sitesi, başka bir alan adı tarafından kullanılması amaçlanan bir çerçeveye içerik ekleyebilir.

Açıklama: Birden fazla çerçeve kullanan bir web sitesinin bazı çerçeveleri, önce kötü amaçlı bir sitenin ziyaret edilmesi halinde, kötü amaçlı sitedeki içeriklerle değiştirilebilir. Düzeltme, saldırıyı engelleyen bir dizi üst/alt kuralı getirir.

Bileşen: SquirrelMail

CVE-ID: CAN-2004-0521

İlgili sürümler: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Etki: 1.4.3 RC1 sürümünden önce SquirrelMail, uzak saldırganların yetkisiz SQL ifadeleri yürütmesine izin veriyordu.

Açıklama: 1.4.3 RC1 sürümünden önce SquirrelMail, yetkisiz SQL ifadelerinin çalıştırılmasına izin veren SQL (injection) saldırılarına karşı savunmasızdı. Düzeltme, SquirrelMail'i 1.4.3a sürümüne günceller

Bileşen: tcpdump

CVE-ID'ler: CAN-2004-0183, CAN-2004-0184

İlgili sürümler: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Etki: Kötü amaçlarla oluşturulmuş paketler, çalışan bir tcpdump'ın çökmesine neden olabilir.

Açıklama: ISAKMP paketlerine ilişkin ayrıntılı yazdırma işlevleri doğru sınır denetimi gerçekleştirmez ve çökmeyle sonuçlanabilecek sınır dışında okumaya neden olur. Düzeltme, tcpdump'ı 3.8.3 sürümüne günceller.

Mac OS X 10.3.5

İpucu: Aşağıda referans verilen CVE-ID'ler hakkında daha fazla bilgi için http://www.cve.mitre.org/ sayfasına bakın.

libpng (Portable Network Graphics)

CVE-ID'ler: CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599

Etki: Kötü amaçlı PNG görüntüleri uygulamanın çökmesine neden olabilir ve rastgele kod yürütebilir.

Açıklama: PNG görüntülerini okumak ve yazmak için kullanılan referans arşivinde bir dizi arabellek taşması, boş işaretçi dereferansları ve tam sayı taşması tespit edilmiştir. Bu güvenlik açıkları, Mac OS X işletim sistemindeki CoreGraphics ve AppKit çerçeveleri tarafından kullanılan libpng ile düzeltilmiştir. Bu güncelleme yüklendikten sonra, bu çerçeveler aracılığıyla PNG görüntü biçimini kullanan uygulamalar bu kusurlara karşı korunur.

Safari:

CVE-ID'ler: CAN-2004-0743

Etki: Özel bir durumda ileri/geri düğmelerini kullanarak gezinme, form verilerini bir GET URL'sine tekrar gönderebilir.

Açıklama: Bu, bir web formunun sunucuya, GET yöntemi URL'sine HTTP yönlendirmesi yapan bir POST yöntemi kullanılarak gönderildiği durumlar için geçerlidir. İleri/geri düğmelerinin kullanılması, Safari'nin form verilerini GET URL'sine yeniden göndermesine (re-POST) neden olur. Safari, bu durumda ileri/geri düğmeleriyle gezinmenin yalnızca bir GET yöntemiyle sonuçlanacağı şekilde değiştirildi. Bu sorunu bildirdiği için Harvard Üniversitesi FAS Bilgisayar Hizmetleri'nden Rick Osterberg'e teşekkür ederiz.

TCP/IP Networking:

CVE-ID'ler: CAN-2004-0744

Etki: Kötü amaçlarla oluşturulmuş IP parçaları, ağın normal çalışmasını engelleyecek şekilde, çok fazla sistem kaynağı kullanabilir.

Açıklama: "Gül Saldırısı", sistem kaynaklarını kullanmak için tasarlanmış ve özel olarak oluşturulmuş bir IP parçaları dizisini tanımlar. TCP/IP'nin uygulanması, kullanılan kaynakları sınırlayacak şekilde değiştirilmiş ve bu servis reddi saldırısı önlenmiştir. "Gül saldırısı" hakkındaki bir tartışmada yer alan Ken Hollis (gandalf@digital.net) ve Chuck McAuley'e (chuck-at-lemure-dot-net) teşekkür ederiz.

Güvenlik Güncellemesi 2004-08-09 (Mac OS X 10.3.4 ve 10.2.8)

İpucu: Aşağıda referans verilen CVE-ID'ler hakkında daha fazla bilgi için http://www.cve.mitre.org/ sayfasına bakın.

libpng (Portable Network Graphics)

CVE-ID'ler: CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599

Etki: Kötü amaçlı PNG görüntüleri uygulamaların çökmesine neden olabilir ve rastgele kod yürütebilir.

Açıklama: PNG görüntülerini okumak ve yazmak için kullanılan referans arşivinde bir dizi arabellek taşması, boş işaretçi dereferansları ve tam sayı taşması tespit edilmiştir. Bu güvenlik açıkları, Mac OS X işletim sistemindeki CoreGraphics ve AppKit çerçeveleri tarafından kullanılan libpng ile düzeltilmiştir. Bu güncelleme yüklendikten sonra, bu çerçeveler aracılığıyla PNG görüntü biçimini kullanan uygulamalar bu kusurlara karşı korunur.

Güvenlik Güncellemesi 2004-06-07 (Mac OS X 10.3.4 ve 10.2.8)

Güvenlik Güncellemesi 2004-06-07 bir dizi güvenlik iyileştirmesi sunar ve tüm Macintosh kullanıcıları için önerilir. Bu güncellemenin amacı, bir uygulamayı belge eşlemeleri veya web adresi (URL) aracılığıyla ilk kez açarken sizi uyararak güvenliği artırmaktır. Yeni uyarı iletişim kutusunun açıklamasını da içeren daha fazla bilgi için lütfen bu makaleye bakın. Güvenlik Güncellemesi 2004-06-07 aşağıdaki sistem sürümleri için kullanılabilir:

- Mac OS X 10.3.4 "Panther"

- Mac OS X Server 10.3.4 "Panther"

- Mac OS X 10.2.8 "Jaguar"

- Mac OS X Server 10.2.8 "Jaguar"

LaunchServices

CVE-ID: CAN-2004-0538

Etki: LaunchServices, uygulamaları otomatik olarak kaydeder ve bu, sistemin beklenmedik uygulamaları çalıştırması için kullanılabilir.

Tartışma: LaunchServices, uygulamaları bulan ve açan bir sistem bileşenidir. Bu sistem bileşeni, yalnızca daha önce sistemde açıkça çalıştırılmış uygulamaları açacak şekilde değiştirilmiştir. Daha önce açıkça çalıştırılmamış bir uygulamayı çalıştırmayı denemek, kullanıcının bir uyarı almasına neden olur. Daha fazla bilgiye bu makaleden ulaşılabilir.

Bileşen: DiskImageMounter

CVE-ID: Bu yalnızca ek bir önleyici tedbir olduğundan CVE ID verilmemiştir.

Etki: disk:// URL türü, http protokolünü kullanarak anonim bir uzak dosya sistemini bağlar.

Tartışma: disk://URL türünün kaydı, uzak disk görüntü dosyası sistemlerini otomatik olarak bağlama girişimlerine karşı önleyici bir tedbir olarak sistemden kaldırıldı.

Safari

CVE-ID: CAN-2004-0539

Etki: "Finder'da Göster" düğmesi, indirilen belirli dosyaları açar ve bazı durumlarda indirilen uygulamaların yürütülmesine yol açar.

Tartışma: "Finder'da Göster" düğmesi artık dosyaları Finder penceresinde gösterir ve açmaya çalışmaz. Sorun Mac OS X 10.2.8 "Jaguar" veya Mac OS X Server 10.2.8 "Jaguar" için geçerli olmadığından bu değişiklik yalnızca Mac OS X 10.3.4 "Panther" ve Mac OS X Server 10.3.4 "Panther" sistemlerinde kullanılabilir.

Terminal

CVE-ID: Geçerli değil

Etki: Alternatif kapı numarasıyla telnet:// URL'si kullanma girişimleri başarısız oluyor.

Tartışma: telnet:// URL'sinde alternatif bir kapı numarasının belirtilmesine olanak sağlayan bir değişiklik yapıldı. Bu, CAN-2004-0485 için son düzeltmeyle kaldırılmış olan işlevi geri yükler.

Mac OS X 10.3.4

• NFS: CAN-2004-0513 için düzeltme sağlayarak sistem aramalarını takip ederken günlüğe kaydetmeyi iyileştirir. Bu sorunu bildirdiği için David Brown'a (dave@spoonguard.org) teşekkür ederiz.

• LoginWindow: CAN-2004-0514 için düzeltme sağlayarak dizin hizmetleri aramalarının işlenmesini iyileştirir.

• LoginWindow: CAN-2004-0515 için düzeltme sağlayarak konsol günlük dosyalarının işlenmesini iyileştirir. Bu sorunu bildirdiği için aaron@vtty.com'a teşekkür ederiz.

• Packaging: CAN-2004-0516 için düzeltme sağlayarak paket yükleme komut dosyalarını iyileştirir. Bu sorunu bildirdiği için aaron@vtty.com'a teşekkür ederiz.

• Packaging: CAN-2004-0517 için düzeltme sağlayarak paket yükleme sırasında işlem kimliklerinin işlenmesini iyileştirir. Bu sorunu bildirdiği için aaron@vtty.com'a teşekkür ederiz.

• TCP/IP: CAN-2004-0171 için düzeltme sağlayarak sıralamaya uymayan TCP paketlerinin işlenmesini iyileştirir.

• AppleFileServer: CAN-2004-0518 için düzeltme sağlayarak SSH kullanımını ve hata raporlamalarını iyileştirir.

• Terminal: CAN-2004-0485 için düzeltme sağlayarak URL'lerin işlenmesini iyileştirir. Bu sorunu bildirdiği için Reno© Puls'a (rpuls@gmx.net) teşekkür ederiz.

Not: Mac OS X 10.3.4, Güvenlik Güncellemesi 2004-04-05 ve Güvenlik Güncellemesi 2004-05-03'ü içerir.

Mac OS X 10.3.3 "Panther" ve Mac OS X 10.3.3 Server için Güvenlik Güncellemesi 2004-05-24

• HelpViewer: CAN-2004-0486 için düzeltme sağlayarak HelpViewer’ın yalnızca kendi başlattığı komut dosyalarını işlemesini sağlar. Bu sorunu bildirdiği için lixlpixel'e Not: Bu güncelleme Mac OS X 10.3.4 ve Mac OS X 10.3.4 Server sürümlerine de yüklenebilir

Mac OS X 10.2.8 "Jaguar" ve Mac OS X 10.2.8 Server için Güvenlik Güncellemesi 2004-05-24

• HelpViewer: CAN-2004-0486 için düzeltme sağlayarak HelpViewer’ın yalnızca kendi başlattığı komut dosyalarını işlemesini sağlar. Bu sorunu bildirdiği için lixlpixel'e

• Terminal: CAN-2004-0485 için düzeltme sağlayarak Terminal içinde URL işlemeyi iyileştirir. Bu sorunu bildirdiği için Renf © Puls'a

Mac OS X 10.3.3 "Panther" ve Mac OS X 10.3.3 Server için Güvenlik Güncellemesi 2004-05-03

• AppleFileServer: CAN-2004-0430 için düzeltme sağlayarak uzun parolaların işlenmesini iyileştirir. Bu sorunu bildirdiği için @stake'ten Dave G.'ye teşekkür ederiz.

• Apache 2: CAN-2003-0020, CAN-2004-0113 ve CAN-2004-0174 için düzeltme sağlamak üzere Apache 2'yi 2.0.49 sürümüne günceller.

• CoreFoundation: CAN-2004-0428 için düzeltme sağlayarak bir ortam değişkeninin işlenmesini iyileştirir. Bu sorunu bildirdiği için aaron@vtty.com'a teşekkür ederiz.

• IPsec: CAN-2004-0155 ve CAN-2004-0403 için düzeltme sağlayarak VPN tünellerinin güvenliğini artırır. Mac OS X'teki IPsec, CAN-2004-0392 karşısında savunmasız değildir.

Güvenlik Güncellemesi 2004-04-05, bu güvenlik güncellemesine dahil edilmiştir.

Mac OS X 10.2.8 "Jaguar" ve Mac OS X 10.2.8 Server için Güvenlik Güncellemesi 2004-05-03

• AppleFileServer: CAN-2004-0430 için düzeltme sağlayarak uzun parolaların işlenmesini iyileştirir. Bu sorunu bildirdiği için @stake'ten Dave G.'ye teşekkür ederiz.

• Apache 2: CAN-2003-0020, CAN-2004-0113 ve CAN-2004-0174 için düzeltme sağlamak üzere Apache 2'yi 2.0.49 sürümüne günceller.

• CoreFoundation: CAN-2004-0428 için düzeltme sağlayarak bir ortam değişkeninin işlenmesini iyileştirir. Bu sorunu bildirdiği için aaron@vtty.com'a teşekkür ederiz.

• IPsec: CAN-2004-0155 ve CAN-2004-0403 için düzeltme sağlayarak VPN tünellerinin güvenliğini artırır. Mac OS X'teki IPsec, CAN-2004-0392 karşısında savunmasız değildir.

• Server Settings daemon: CAN-2004-0429 için düzeltme sağlayarak büyük isteklerin işlenmesini iyileştirir.

Güvenlik Güncellemesi 2004-04-05, bu güvenlik güncellemesine dahil edilmiştir.

QuickTime 6.5.1

• CAN-2004-0431 için düzeltme sağlayarak hatalı biçimlendirilmiş bir .mov (film) dosyasını oynatmanın QuickTime uygulamasının sonlandırılmasına neden olabileceği bir sorunu çözer.

Mac OS X 10.3.3 "Panther" ve Mac OS X 10.3.3 Server için Güvenlik Güncellemesi 2004-04-05

• CUPS Printing: CAN-2004-0382 için düzeltme sağlayarak yazdırma sisteminin güvenliğini artırır. Bu, altta yatan Yazdırma sistemini etkilemeyen bir konfigürasyon dosyası değişikliğidir. Bu sorunu bildirdiği için aaron@vtty.com'a teşekkür ederiz.

• libxml2: CAN-2004-0110 için düzeltme sağlayarak tek tip kaynak yer işaretleyicilerinin işlenmesini iyileştirir.

• Mail: CAN-2004-0383 için düzeltme sağlayarak HTML formatlı e-postaların işlenmesini iyileştirir. Bu sorunu bildirdiği için aaron@vtty.com'a teşekkür ederiz.

• OpenSSL: CAN-2004-0079 ve CAN-2004-0112 için düzeltme sağlayarak şifreleme seçeneklerinin işlenmesini iyileştirir.

Mac OS X 10.2.8 "Jaguar" ve Mac OS X 10.2.8 Server için Güvenlik Güncellemesi 2004-04-05

• CUPS Printing: CAN-2004-0382 için düzeltme sağlayarak yazdırma sisteminin güvenliğini artırır. Bu sorunu bildirdiği için aaron@vtty.com'a teşekkür ederiz.

Güvenlik Güncellemesi 2004-01-26, bu güvenlik güncellemesine dahil edilmiştir. Güvenlik Güncellemesi 2004-04-05'te Panther için sağlanan ek güvenlik iyileştirmeleri, 10.2 platformunu etkilemez.

Mac OS X 10.3.2 "Panther" ve Mac OS X 10.3.2 Server için Güvenlik Güncellemesi 2004-02-23

• CoreFoundation: CAN-2004-0168 için düzeltme sağlayarak bildirim günlüğünü iyileştirir. Bu sorunu bildirdiği için aaron@vtty.com'a teşekkür ederiz.

• DiskArbitration: CAN-2004-0167 için düzeltme sağlayarak yazılabilir çıkarılabilir ortamların başlatılmasını daha güvenli hale getirir. Bu sorunu bildirdiği için aaron@vtty.com'a teşekkür ederiz.

• IPsec: CAN-2004-0164 için düzeltme sağlayarak anahtar değişiminin kontrolünü iyileştirir.

• Point-to-Point-Protocol: CAN-2004-0165 için düzeltme sağlayarak hata iletilerinin işlenmesini iyileştirir. Bu sorunu bildirdikleri için @stake'ten Dave G. ve Secure Network Operations'tan (SRT) Justin Tibbs'e teşekkür ederiz.

• tcpdump: CAN-2003-0989, CAN-2004-0055, ve CAN-2004-0057 için düzeltme sağlamak üzere tcpdump'ı 3.8.1 sürümüne ve libpcap'i 0.8.1 sürümüne günceller

• QuickTime Streaming Server: CAN-2004-0169 için düzeltme sağlayarak istek verilerinin denetlenmesini iyileştirir. Bu sorunu bildirdiği için iDEFENSE Labs'e teşekkür ederiz. Diğer platformlar için Streaming Server güncellemelerine http://developer.apple.com/darwin/ adresinden ulaşılabilir.

Mac OS X 10.2.8 "Jaguar" ve Mac OS X 10.2.8 Server için Güvenlik Güncellemesi 2004-02-23

• DiskArbitration: CAN-2004-0167 için düzeltme sağlayarak yazılabilir çıkarılabilir ortamların başlatılmasını daha güvenli hale getirir. Bu sorunu bildirdiği için aaron@vtty.com'a teşekkür ederiz.

• IPsec: CAN-2004-0164 için düzeltme sağlayarak anahtar değişiminin kontrolünü iyileştirir.

• Point-to-Point-Protocol: CAN-2004-0165 için düzeltme sağlayarak hata iletilerinin işlenmesini iyileştirir. Bu sorunu bildirdikleri için @stake'ten Dave G. ve Secure Network Operations'tan (SRT) Justin Tibbs'e teşekkür ederiz.

• Safari: CAN-2004-0166 için düzeltme sağlayarak durum çubuğundaki URL'lerin görüntülenmesini iyileştirir.

• QuickTime Streaming Server: CAN-2004-0169 için düzeltme sağlayarak istek verilerinin denetlenmesini iyileştirir. Bu sorunu bildirdiği için iDEFENSE Labs'e teşekkür ederiz. Diğer platformlar için Streaming Server güncellemelerine http://developer.apple.com/darwin/ adresinden ulaşılabilir.

Mac OS X 10.2.8 Server için Güvenlik Güncellemesi 2004-01-26, bu güvenlik güncellemesine dahil edilmiştir.

Mac OS X 10.1.5 "Puma" ve Mac OS X 10.1.5 Server için Güvenlik Güncellemesi 2004-01-26

• Mail: CAN-2004-0085 için düzeltme sağlayarak Apple'ın posta uygulaması için güvenlik geliştirmeleri sunar.

Mac OS X 10.2.8 "Jaguar" ve Mac OS X 10.2.8 Server için Güvenlik Güncellemesi 2004-01-26

• AFP Server: 2003-12-19 güvenlik güncellemesi üzerinden AFP'yi iyileştirir.

• Apache 1.3: CAN-2003-0542 için düzeltme sağlayarak Apache web sunucusunun mod_alias ve mod_rewrite modüllerindeki bir arabellek taşmasını giderir.

• Apache 2: (Yalnızca sunucuya yüklenir) CAN-2003-0542 ve CAN-2003-0789 için düzeltme sağlamak üzere Apache 2.0.47'yi 2.0.48 sürümüne günceller. Güncellemeyle ilgili ayrıntılı bilgiler için bkz. http://www.apache.org/dist/httpd/Announcement2.html

• Classic: CAN-2004-0089 için düzeltme sağlayarak çevre değişkenlerinin işlenmesini iyileştirir. Bu sorunu bildirdiği için @stake'ten Dave G.'ye teşekkür ederiz.

• Mail: CAN-2004-0085 için düzeltme sağlayarak Apple'ın posta uygulamasına güvenlik geliştirmeleri sunar.

• Safari: CAN-2004-0092 için düzeltme sağlayarak Safari web tarayıcısı için güvenlik geliştirmeleri sunar.

• System Configuration: CAN-2004-0087 ve CAN-2004-0088 için düzeltme sağlayarak Sistem Konfigürasyonu alt sisteminin yönetici olmayan uzak kullanıcıların ağ ayarlarını değiştirmesine ve konfigürasyon değişiklikleri yapmasına izin verdiği bir sorunu giderir. Bu sorunları bildirdiği için @stake'ten Dave G.'ye teşekkür ederiz.

Güvenlik Güncellemesi 2003-12-19, bu güvenlik güncellemesine dahil edilmiştir. Jaguar bu sorunlardan etkilenmediği için Mac OS X 10.3.2 "Panther" için Güvenlik Güncellemesi 2004-01-26'da yer alan ek güvenlik iyileştirmeleri, Jaguar'a yönelik bu güncellemede yer almamaktadır.

Mac OS X 10.3.2 "Panther" ve Mac OS X Server 10.3.2 için Güvenlik Güncellemesi 2004-01-26

• Apache 1.3: CAN-2003-0542 için düzeltme sağlayarak Apache web sunucusunun mod_alias ve mod_rewrite modüllerindeki bir arabellek taşmasını giderir.

• Apache 2: (Yalnızca sunucuya yüklenir) CAN-2003-0542 ve CAN-2003-0789 için düzeltme sağlamak üzere Apache 2.0.47'yi 2.0.48 sürümüne günceller. Güncellemeyle ilgili ayrıntılı bilgiler için bkz. http://www.apache.org/dist/httpd/Announcement2.html.

• Classic: CAN-2004-0089 için düzeltme sağlayarak çevre değişkenlerinin işlenmesini iyileştirir. Bu sorunu bildirdiği için @stake'ten Dave G.'ye teşekkür ederiz.

• Mail: CAN-2004-0086 için düzeltme sağlayarak Apple'ın posta uygulamasına güvenlik geliştirmeleri sunar. Bu sorunu bildirdiği için Jim Roepcke'ye teşekkür ederiz.

• Safari: CAN-2004-0092 için düzeltme sağlayarak Safari web tarayıcısı için güvenlik geliştirmeleri sunar.

• System Configuration: CAN-2004-0087 için düzeltme sağlayarak Sistem Konfigürasyonu alt sisteminin, yönetici olmayan uzak kullanıcıların ağ ayarlarını değiştirmesine izin verdiği bir sorunu giderir. Bu sorunları bildirdiği için @stake'ten Dave G.'ye teşekkür ederiz.

• Windows File Sharing: CAN-2004-0090 için düzeltme sağlayarak Windows dosya paylaşımının düzgün şekilde kapanmama sorununu giderir.

• Güvenlik Güncellemesi 2003-12-19, bu güvenlik güncellemesine dahil edilmiştir. Panther bu sorunlardan etkilenmediği için Mac OS X 10.2.8 "Jaguar" için Güvenlik Güncellemesi 2004-01-26'de yer alan ek güvenlik iyileştirmeleri, Panther'e yönelik bu güncellemede yer almamaktadır.

Mac OS X 10.2.8 "Jaguar" ve Mac OS X 10.2.8 Server için Güvenlik Güncellemesi 2003-12-19

• AppleFileServer: CAN-2003-1007 için düzeltme sağlayarak hatalı oluşturulmuş isteklerin işlenmesini iyileştirir.

• cd9660.util: CAN-2003-1006 için düzeltme sağlayarak cd9660.util dosya sistemi izlencesindeki arabellek taşması güvenlik açığı sorununu giderir. Bu sorunu bildirdiği için Secure Network Operations'tan KF'ye teşekkür ederiz.

• Directory Services: CAN-2003-1009 için düzeltme sağlar. Varsayılan ayarlar, bilgisayarın yerel alt ağında kötü amaçlı bir DHCP sunucusu olması durumunda yanlışlıkla bağlantı kurulmasını önlemek için değiştirildi. Daha fazla bilgiye, Apple'ın http://docs.info.apple.com/article.html?artnum=32478 başlıklı Bilgi Bankası makalesinden ulaşılabilir. Bu sorunu bildirdiği için William A. Carrel'a teşekkür ederiz.

• Fetchmail: CAN-2003-0792 için düzeltme sağlar. Belirli koşullar altında fetchmail'in kararlılığını artıran güncellemeler sunar.

• fs_usage: CAN-2003-1010 için düzeltme sağlar. fs_usage aracı, yerel bir ayrıcalık yükseltme güvenlik açığını önlemek için iyileştirildi. Bu araç, sistem performansı bilgilerini toplamak için kullanılır ve çalıştırılması için yönetici ayrıcalıkları gerekir. Bu sorunu bildirdiği için @stake'ten Dave G.'ye teşekkür ederiz.

• rsync: CAN-2003-0962 için düzeltme sağlamak üzere rsyncserver güvenliğini iyileştirir.

• System initialization: CAN-2003-1011 için düzeltme sağlar. Sistem başlatma işlemi, USB klavye kullanan bir sistemde root erişimini kısıtlayacak şekilde iyileştirildi.

Not: Mac OS X ve Mac OS X Server Jaguar sürümleri bu sorunlara karşı savunmasız olmadığından, "Panther için Güvenlik Güncellemesi 2003-12-19" bölümünde görünen aşağıdaki düzeltmeler, "Jaguar için Güvenlik Güncellemesi 2003-12-19" bölümüne dahil edilmemiştir:

- CAN-2003-1005: ASN.1 Decoding for PKI

- CAN-2003-1008: Ekran Koruyucu metin kırpmaları

Mac OS X 10.3.2 "Panther" ve Mac OS X 10.3.2 Server için Güvenlik Güncellemesi 2003-12-19

• ASN.1 Decoding for PKI: CAN-2003-1005 için düzeltme sağlayarak arızalı ASN.1 dizileri alınırken servis reddine neden olabilen bir sorunu giderir. Bu, CAN-2003-0851 ile ilişkili ancak ayrı bir sorundur.

• AppleFileServer: CAN-2003-1007 için düzeltme sağlayarak hatalı oluşturulmuş isteklerin işlenmesini iyileştirir.

• cd9660.util: CAN-2003-1006 için düzeltme sağlayarak cd9660.util dosya sistemi izlencesindeki arabellek taşması güvenlik açığı sorununu çözer. Bu sorunu bildirdiği için Secure Network Operations'tan KF'ye teşekkür ederiz.

• Directory Services: CAN-2003-1009numaralı sorunu düzeltir. Varsayılan ayarlar, bilgisayarın yerel alt ağında kötü amaçlı bir DHCP sunucusu olması durumunda yanlışlıkla bağlantı kurulmasını önlemek için değiştirildi. Daha fazla bilgiye, Apple'ın http://docs.info.apple.com/article.html?artnum=32478 başlıklı Bilgi Bankası makalesinden ulaşılabilir. Bu sorunu bildirdiği için William A. Carrel'a teşekkür ederiz.

• Fetchmail: CAN-2003-0792 için düzeltme sağlar. Belirli koşullar altında fetchmail'in kararlılığını artıran güncellemeler sunar.

• fs_usage: CAN-2003-1010 için düzeltme sağlar. fs_usage aracı, yerel bir ayrıcalık yükseltme güvenlik açığını önlemek için iyileştirildi. Bu araç, sistem performansı bilgilerini toplamak için kullanılır ve çalıştırılması için yönetici ayrıcalıkları gerekir. Bu sorunu bildirdiği için @stake'ten Dave G.'ye teşekkür ederiz.

• rsync: CAN-2003-0962 için düzeltme sağlamak üzere rsyncserver güvenliğini iyileştirir.

• Screen Saver: CAN-2003-1008 için düzeltme sağlar. Ekran Koruyucu oturum açma penceresi mevcut olduğunda artık masaüstüne veya bir uygulamaya kırpılmış metin yazmak mümkün değildir. Bu sorunu bildirdiği için Benjamin Kelly'ye teşekkür ederiz.

• System initialization: CAN-2003-1011 için düzeltme sağlar. Sistem başlatma işlemi, USB klavye kullanan bir sistemde root erişimini kısıtlayacak şekilde iyileştirildi.

Güvenlik Güncellemesi 2003-12-05

• Safari: CAN-2003-0975 için düzeltme sağlayarak Safari'nin bir kullanıcının çerez bilgilerine yalnızca yetkili web sitelerinin erişmesine izin vermesi sağlandı. Güncelleme, hem Mac OS X 10.3.1 hem Mac OS X 10.2.8 için kullanılabilir.

10.2.8 için güvenlik güncellemesi 2003-11-19

Apple'ın politikası, mümkün olan her yerde, geçmiş Mac OS X sürümlerindeki önemli güvenlik açıklarını hızla gidermektir. Güvenlik Güncellemesi 2003-11-19, Mac OS X 10.2'nin bu ölçütleri karşılayan çeşitli bileşenlerinde yapılan güncellemeleri içerir.

• gm4: CAN-2001-1411 için düzeltme sağlayarakgm4 izlencesindeki bir biçim dizesi güvenlik açığını giderir. gm4'e dayalı, ayarlanmış uid kök programları yoktur ve bu düzeltme, gelecekteki olası bir kötüye kullanımı engellemek için önleyici bir tedbirdir.

• groff: CVE-2001-1022 için düzeltme sağlayarak groff bileşeni resmindeki bir biçim dizesi güvenlik açığını düzeltir.

• Mail: CAN-2003-0881 için düzeltme sağlayarak bir hesap MD5 Challenge Response'u kullanacak şekilde yapılandırıldığında Mac OS X Mail uygulamasının artık düz metinle oturum açma işlemine geri dönmesini önler.

• OpenSSL: CAN-2003-0851 için düzeltme sağlayarak hatalı biçimlendirilmiş belirli ASN.1 dizilerinin ayrıştırılmasının artık daha güvenli bir şekilde işlenmesini sağlar.

• Personal File Sharing: CAN-2003-0878 için düzeltme sağlayarak Kişisel Dosya Paylaşımı etkinleştirildiğinde, slpd arka plan programının artık yükseltilmiş ayrıcalıklar elde etmek için /tmp dizininde root'a ait dosya oluşturmasını önler.

• QuickTime for Java: CAN-2003-0871 için düzeltme sağlayarak bir sisteme yetkisiz erişime izin verebilecek olası bir güvenlik açığını giderir.

• zlib: CAN-2003-0107 için düzeltme sağlar. MacOS X'te savunmasız gzprintf() işlevini kullanan bir işlev bulunmamakla birlikte, altta yatan zlib sorunu, bu kitaplığı kullanabilecek olası üçüncü taraf uygulamaları korumak için düzeltilmiştir.

Panther 10.3.1 için Güvenlik Güncellemesi 2003-11-19

• OpenSSL: 2003-0851 için düzeltme sağlayarak hatalı biçimlendirilmiş belirli ASN.1 dizilerinin ayrıştırılması artık daha güvenli bir şekilde işlenmesini sağlar.

• zlib: CAN-2003-0107 için düzeltme sağlar. MacOS X'te savunmasız gzprintf() işlevini kullanan bir işlev bulunmamakla birlikte, altta yatan zlib sorunu, bu kitaplığı kullanabilecek olası üçüncü taraf uygulamaları korumak için düzeltilmiştir.

Güvenlik Güncellemesi 2003-11-04

• Terminal: CAN-2003-0913 için düzeltme sağlayarak Mac OS X 10.3 ve Mac OS X Server 10.3 sürümlerindeki Terminal uygulamasında, sisteme yetkisiz erişime izin verebilecek olası bir güvenlik açığını giderir. 10.3 öncesindeki Mac OS X sürümleri bu sorundan etkilenmez.

Güvenlik Güncellemesi 2003-10-28

• CAN-2003-0871 için düzeltme sağlayarak Mac OS X 10.3 ve Mac OS X Server 10.3 sürümlerinde QuickTime Java uygulamasında, sisteme yetkisiz erişime izin verebilecek olası bir güvenlik açığını giderir.

Mac OS X 10.3 Panther

• Finder: CAN-2003-0876 için düzeltme sağlayarak klasör izinlerinin, disk görüntüsü gibi bağlanmış bir disk bölümünden kopyalanırken korunamamasına yol açan bir sorunu düzeltir. Bu sorunu bulduğu için @stake'ten Dave G.'ye teşekkür ederiz.

• Kernel: CAN-2003-0877 için düzeltme sağlayarak bir sistem çekirdek dosyalar etkinleştirilmiş olarak çalışıyorsa etkileşimli kabuk erişimine sahip bir kullanıcının, rastgele dosyaların üzerine yazmasına ve root'a ait işlemler tarafından oluşturulan çekirdek dosyaları okumasına yol açan bir sorunu çözer. Bu, kimlik doğrulama bilgileri gibi hassas bilgilerin ele geçirilmesine neden olabilir. Çekirdek dosya oluşturma özelliği Mac OS X işletim sisteminde varsayılan olarak devre dışıdır. Bu sorunu bulduğu için @stake Inc. şirketinden Dave G.'ye teşekkür ederiz.

• slpd: CAN-2003-0878 için düzeltme sağlayarak Kişisel Dosya Paylaşımı etkinleştirildiğinde, slpd arka plan programının /tmp dizininde köke ait bir dosya oluşturabilmesine yol açan bir sorunu giderir. Bu, mevcut bir dosyanın üzerine yazabilir ve kullanıcının yükseltilmiş ayrıcalıklar elde etmesine olanak sağlayabilir. Kişisel Dosya Paylaşımı Mac OS X'te varsayılan olarak kapalıdır. Bu sorunu bulduğu için @Stake, Inc. şirketinden Dave G.'ye teşekkür ederiz.

• Kernel: CAN-2003-0895 için düzeltme sağlayarak yerel bir kullanıcının, uzun bir komut satırı serbest değişkeni belirterek Mac OS X çekirdeğinin çökmesine neden olabileceği bir sorunu giderir. Makine, birkaç dakika sonra kendi kendine yeniden başlatılır. Bu sorunu bulduğu için @stake, Inc. şirketinden Dave G.'ye teşekkür ederiz.

• ktrace: CVE-2002-0701 için düzeltme sağlayarak KTRACE çekirdek seçeneği aracılığıyla ktrace etkinleştirildiğinde yerel bir kullanıcının hassas bilgileri edinebileceği teorik bir güvenlik açığını giderir. Şu anda, bu soruna karşı savunmasız olduğu bilinen bir izlence yoktur.

• nfs: CVE-2002-0830 için düzeltme sağlayarak Ağ Dosya Sisteminde, uzak bir kullanıcının sistemin kilitlenmesine neden olan RPC iletileri gönderebilmesiyle ilgili bir sorunu giderir.

• zlib: CAN-2003-0107 için düzeltme sağlar.. Mac OSX'te savunmasız gzprintf() işlevini kullanan bir işlev bulunmamakla birlikte, altta yatan inzlib sorunu giderilmiştir.

• gm4: CAN-2001-1411 için düzeltme sağlayarakgm4 izlencesindeki bir biçim dizesi güvenlik açığını giderir. gm4'e dayalı, ayarlanmış uid kök programları yoktur ve bu düzeltme, gelecekteki olası bir kötüye kullanımı engellemek için önleyici bir tedbirdir.

• OpenSSH: CAN-2003-0386 için düzeltme sağlayarak "from=" ve "user@hosts" kısıtlamalarının sayısal olarak belirtilen IP adresleri için ters DNS aracılığıyla potansiyel olarak taklit edilebildiği bir sorunu giderir. Mac OS X 10.3, OpenSSH için yayınlanan önceki düzeltmeleri de içerir ve "ssh-V" komutu ile elde edilen OpenSSH sürümü şu şekildedir: OpenSSH_3.6.1p1+CAN-2003-0693, SSH protocols 1.5/2.0, OpenSSL 0x0090702f

• nidump: CAN-2001-1412 için düzeltme sağlayarak nidump izlencesinin oturum açma bilgilerini doğrulamak için kullanılan şifrelenmiş parolalara erişim sağladığı bir sorunu giderir.

• System Preferences: CAN-2003-0883 için düzeltme sağlayarak bir yönetici parolasıyla kimlik doğrulaması yapıldıktan sonra sistemin kısa bir süre için güvenli tercih bölmelerine erişim izni vermeye devam etmesine neden olan bir sorunu giderir. Bu, yerel bir kullanıcının normalde kullanamayacağı tercih bölmelerine erişmesine olanak sağlayabilir. Mac OS X 10.3 Güvenlik tercihlerinde artık "Require password to unlock each secure system preference" (Her bir güvenli sistem tercihinin kilidini açmak için parola gerektir) seçeneği sunulmaktadır. Bu sorunu bildirdiği için Anthony Holder'a teşekkür ederiz.

• TCP timestamp: CAN-2003-0882: için düzeltme sağlayarak TCP zaman damgasının sabit bir sayı ile başlatılma sorununu giderir. Bu, bir kişinin TCP paketlerindeki kimliğe göre sistemin ne kadar süre açık kaldığını keşfetmesine olanak sağlayabilir. Mac OS X 10.3 sürümünde TCP zaman damgası artık rastgele bir sayı ile başlatılmaktadır. Bu sorunu bildirdiği ve Darwin açık kaynak programı aracılığıyla bir düzeltme gönderdiği için Aaron Linville'e teşekkür ederiz.

• Mail: CAN-2003-0881 için düzeltme sağlayarak Mac OS X Mail uygulamasında bir hesap MD5 güvenli yanıtını kullanacak şekilde yapılandırılmışsa CRAM-MD5 kullanarak oturum açmaya çalıştığı ancak karma oturum açma başarısız olursa sessizce düz metne geri döndüğü bir sorunu giderir. Bu sorunu bildirdiği için Chris Adams'a teşekkür ederiz.

• Dock: CAN-2003-0880 için düzeltme sağlayarak sistem Tercihleri bölümündeki Klavye bölmesi aracılığıyla Tam Klavye Erişimi açıldığında, Dock işlevlerine Ekran Efektleri'nin arkasından kör bir şekilde erişilebilmesine yol açan bir sorun giderildi.

Mac OS X 10.2.8

• OpenSSL: CAN-2003-0543, CAN-2003-0544, CAN-2003-0545 için düzeltme sağlayarak belirli ASN.1 yapılarındaki ve sertifika doğrulama kodundaki olası sorunları giderir. Güncellemeyi hızlı ve güvenilir bir şekilde sunmak için en son OpenSSL arşivinin tamamı değil, yalnızca yukarıda listelenen CVE ID'lere yönelik yamalar uygulanmıştır. Bu nedenle, Mac OS X 10.2.8 sürümünde "openssl version" komutuyla elde edilen OpenSSL sürümü şu şekildedir: OpenSSL 0.9.6i Feb 19 2003

• OpenSSL: CAN-2003-0693, CAN-2003-0695 ve CAN-2003-0682 için düzeltme sağlayarak OpenSSH'in 3.7.1 öncesindeki sshd sürümlerinde arabellek yönetimi hatalarını giderir. Güncellemeyi hızlı ve güvenilir bir şekilde sunmak için OpenSSH 3.7.1 için tüm yamalar değil, yalnızca yukarıda listelenen CVE-ID'lere yönelik yamalar uygulanmıştır. Bu nedenle, Mac OS X 10.2.8'de "ssh-V" komutu ile elde edilen OpenSSH sürümü şu şekildedir: OpenSSH_3.4p1+CAN-2003-0693, SSH protocols 1.5/2.0, OpenSSL 0x0090609f

• sendmail: CAN-2003-0694 ve CAN-2003-0681 için düzeltme sağlayarak adres ayrıştırmasındaki arabellek taşması ve kural kümesi ayrıştırmasındaki olası bir arabellek taşması sorununu giderir.

• fb_realpath(): CAN-2003-0466 için düzeltme sağlayarak fb_realpath() işlevindeki, saldırganların rastgele kod yürütmesine izin verebilecek "artı/eksi 1 sapma" (off-by-one) hatasını giderir.

• arplookup(): CAN-2003-0804 için düzeltme sağlar. arplookup() işlevi, yerel bir bağlantıdaki rotalar için ARP isteklerini önbelleğe alır. Yalnızca yerel bir alt ağda, bir saldırganın çekirdek belleğini tüketecek ve servis reddine yol açacak yeterli sayıda sahte ARP isteği göndermesi mümkündür.

Önceki güvenlik güncellemeleri hakkında bilgi edinmek için "Apple Güvenlik Güncellemeleri: Ağustos 2003 ve Öncesi" başlıklı makaleye bakın.