Om sikkerhedsindholdet af sikkerhedsopdatering 2008-003 / Mac OS X 10.5.3

  • Dato for seneste ændring: 28 maj, 2008
  • Artikel: HT1897

Oversigt

Dette dokument beskriver sikkerhedsindholdet i sikkerhedsopdatering 2008-003 / Mac OS X 10.5.3, som kan hentes og installeres via Softwareopdatering eller fra Apple Downloads.

For at beskytte vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en fuldstændig undersøgelse har fundet sted, og relevante programrettelser eller versioner er tilgængelige. Hvis du vil læse mere om Apple Produktsikkerhed, kan du besøge webstedet Apple Produktsikkerhed.

Gå til "Sådan bruges PGP-nøglen til Apple Produktsikkerhed" for at få oplysninger om PGP-nøglen til Apple Produktsikkerhed.

Hvor det er muligt, anvendes CVE-ID'er til at angive sikkerhedshullerne for yderligere oplysninger.

Gå til "Apple Sikkerhedsopdateringer", hvis du vil læse om andre sikkerhedsopdateringer.

Berørte produkter

Produktsikkerhed

Sikkerhedsopdatering 2008-003 / Mac OS X v10.5.3

  • AFP-server

    CVE-ID: CVE-2008-1027

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: Arkiver, der ikke er angivet til deling, kan åbnes eksternt

    Beskrivelse: AFP-server undersøgte ikke om et arkiv eller bibliotek befandt sig i en mappe angivet til deling. En tilsluttet bruger eller gæst kan åbne alle arkiver eller mapper, som personen har tilladelser til, selv om de ikke findes i mapper, der er angivet til deling. Denne opdatering retter problemet ved at nægte adgang til filer og mapper, der ikke findes i en mappe, som er angivet til deling. Tak til Alex deVries og Clara Rich, som har rapporteret dette problem.

  • Apache

    CVE-ID: CVE-2005-3352, CVE-2005-3357, CVE-2006-3747, CVE-2007-1863, CVE-2007-3847, CVE-2007-4465, CVE-2007-5000, CVE-2007-6388

    Tilgængelig til: Mac OS X Server v10.4.11

    Virkning: Flere svagheder i Apache 2.0.55

    Beskrivelse: Apache er opdateret til version 2.0.63 for at rette flere svagheder, hvor den mest alvorlig kan medføre scripting på tværs af websteder. Yderligere oplysninger findes på Apache-webstedet på http://httpd.apache.org. Apache 2.0.x leveres kun med Mac OS X Server v10.4.x-systmer. Mac OS X v10.5.x og Mac OS X Server v10.5.x leveres med Apache 2.2.x. Problemerne i Apache 2.2.x blev rettet i sikkerhedsopdatering 2008-002 til Mac OS X v10.5.2 og Mac OS X Server v10.5.2.

  • AppKit

    CVE-ID: CVE-2008-1028

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Virkning: Åbning af et arkiv med skadelig software kan føre til uventet programnedbrud eller vilkårlig kørsel af kode

    Beskrivelse: Implementeringsproblem ved AppKit-behandling af dokumentarkiver. Åbning af et arkiv med skadelig software i en editor, der bruger AppKit, f.eks. TextEditor, kan føre til uventet programnedbrud eller vilkårlig kørsel af kode. Denne opdatering retter·problemet ved hjælp af forbedret validering af dokumentarkiver. Dette problem påvirker ikke systemer med Mac OS X 10.5 eller senere. Tak til Rosyna fra Unsanity, som har rapporteret dette problem.

  • Apple Pixlet Video

    CVE-ID: CVE-2008-1577

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: Åbning af et filmarkiv med skadelig software kan føre til uventet programnedbrud eller vilkårlig kørsel af kode

    Beskrivelse: Problemer med hukommelsesnedbrud ved håndtering af arkiver med Pixlet codec. Åbning af et filmarkiv med skadelig software kan føre til uventet programnedbrud eller vilkårlig kørsel af kode. Denne opdatering korrigerer problemet gennem en forbedret kontrol af bindinger.

  • ATS

    CVE-ID: CVE-2008-1575

    Tilgængelig til: Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: Udskrivning af et PDF-dokument med indlejret skrifttype med skadelig software kan medføre vilkårlig kørsel af kode

    Beskrivelse: Hukommelsesnedbrud ved Apple Type Services-serverbehandling af indlejrede skrifttyper i PDF-filer. Udskrivning af et PDF-dokument med skrifttype med skadelig software kan medføre vilkårlig kørsel af kode. Denne opdatering retter·problemet ved at udføre yderligere validering af indlejrede skrifttyper. Dette problem berører ikke systemer tidligere end Mac OS X v10.5. Tak til O'Neill fra Harvey Mudd College, som har rapporteret dette problem.

  • CFNetwork

    CVE-ID: CVE-2008-1580

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: Besøg på et websted med skadelig software kan medføre tab af følsomme oplysninger

    Beskrivelse: Problem med beskyttelse af oplysninger ved håndtering af SSL-klientcertifikat i Safari. Når en webserver udsteder en klientcertifikatanmodning, afsendes det første klientcertifikat i nøgleringen automatisk, hvilket kan medføre ubeskyttede certifikatetoplysninger. Denne opdatering retter problemet ved at spørge brugeren, før certifikatet sendes.

  • CoreFoundation

    CVE-ID: CVE-2008-1030

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: Programmers brug af CFData API kan under særlige forhold føre til uventet programnedbrud eller vilkårlig kørsel af kode

    Beskrivelse: Et heltalsoverløb ved CoreFoundation-håndtering af CFData-objekter kan medføre et stakbufferoverløb. Et program, der kalder CFDataReplaceBytes med et ugyldigt længdeargument, kan uventet afbrydes eller medføre vilkårlig kørsel af kode. Denne opdatering retter problemet ved at udføre yderligere validering af længdeparametre.

  • CoreGraphics

    CVE-ID: CVE-2008-1031

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: Åbning af et PDF-arkiv med skadelig software kan føre til uventet programnedbrud eller vilkårlig kørsel af kode

    Beskrivelse: Ikke initialiseret variabel ved CoreGraphic-håndtering af PDF-arkiver. Åbning af et PDF-arkiv med skadelig software kan føre til uventet programnedbrud eller vilkårlig kørsel af kode. Denne opdatering retter problemet ved hjælp af korrekt initialisering af pointere.

  • CoreTypes

    CVE-ID: CVE-2008-1032

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: Brugere bliver ikke advaret, før potentielt skadelige indholdstyper åbnes

    Beskrivelse: Denne opdatering udvider systemets liste med indholdstyper, der vil blive markeret som potentielt skadelige under bestemte forhold, f.eks. når de hentes fra en webside. Selv om disse indholdstyper ikke køres automatisk, kan de føre til kørsel af skadelig software, hvis de åbnes manuelt. Denne opdatering forbedrer systemets evne til at give·brugere besked, før typer, der bruges af Automator, Help, Safari og Terminal, håndteres. På Mac OS X v10.4 leveres denne funktion af Download Validation. På Mac OS X v10.5 leveres denne funktion af Quarantine-funktionen. Tak til Brian Mastenbrook, som har rapporteret dette problem.

  • CUPS

    CVE-ID: CVE-2008-1033

    Tilgængelig til: Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: Udskrivning til adgangskodebeskyttede printere med fejlfindingslogger slået til kan medføre ubeskyttede følsomme oplysninger

    Beskrivelse: Problem ved CUPS-planlæggerens kontrol af godkendelsesmiljøvariablerne, når fejlfindingslogger er slået til. Dette kan føre til afsløring af brugernavn, domæne og adgangskode, når der udskrives på en adgangskodebeskyttet printer. Denne opdatering retter problemet ved at validere miljøvariabler korrekt. Problemet berører ikke systemer før Mac OS X v10.5 med installeret 2008-002-sikkerhedsopdatering.

  • Flash Player Plug-in

    CVE-ID: CVE-2007-5275, CVE-2007- 6243, CVE-2007- 6637, CVE-2007-6019, CVE-2007-0071, CVE-2008-1655, CVE-2008-1654

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: Åbning af Flash-indhold med skadelig software kan føre til vilkårlig kørsel af kode

    Beskrivelse: Flere problemer i Adobe Flash Player-tilbehør, hvor den alvorligste kan føre til vilkårlig kørsel af kode. Denne opdatering retter problemet ved at opdatere til version 9.0.124.0. Yderligere oplysninger er tilgængelige på Adobe-webstedet på http://www.adobe.com/support/security/bulletins/apsb08-11.html

  • Help Viewer

    CVE-ID: CVE-2008-1034

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Virkning: En URL-adresse til et hjælpemne med skadelig software kan føre til uventet programnedbrud eller vilkårlig kørsel af kode

    Beskrivelse: Et heltalsoverløb ved Help Viewer-håndtering af URL-adresser til hjælpemner kan medføre et stakbufferoverløb. Åbning af URL-adresser til hjælpemner med skadelig software kan føre til uventet programnedbrud eller vilkårlig kørsel af kode. Denne opdatering korrigerer problemet gennem en forbedret kontrol af bindinger. Dette problem påvirker ikke systemer med Mac OS X 10.5 eller senere. Tak til Paul Haddad fra PTH Consulting, som har rapporteret dette problem.

  • iCal

    CVE-ID: CVE-2008-1035

    Tilgængelig til: Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: Åbning af et iCalendar-arkiv i iCal med skadelig software kan føre til uventet programnedbrud eller vilkårlig kørsel af kode

    Beskrivelse: Problem med 'use-after-free' ved iCal-programmets håndtering af iCalendar-arkiver (normalt ".ics"). Åbning af et iCalendar-arkiv i iCal med skadelig software kan føre til uventet programnedbrud eller vilkårlig kørsel af kode. Denne opdatering retter problemet ved at forbedre henvisningsoptælling i den påvirkede kode. Dette problem berører ikke systemer før Mac OS X v10.5. Tak til Rodrigo Carvalho fra Core Security Technologies, som har rapporteret problemet.

  • Internationale komponenter til Unicode

    CVE-ID: CVE-2008-1036

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: Besøg på visse websteder kan føre til tab af følsomme oplysninger

    Beskrivelse: Konverteringsproblem ved ICU-håndtering af visse tegnkodninger. Bestemte ugyldige tegnsekvenser vises muligvis ikke i det konverterede resultat, hvilket kan påvirke indholdsfiltre. Besøg på et websted med skadelig software kan medføre scripting på tværs af websteder og tab af følsomme oplysninger. Denne opdatering retter problemet ved at udskifte ugyldige tegnsekvenser med et basistegn.

  • Billedoverførsel

    CVE-ID: CVE-2008-1571

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Virkning: Åbning af en URL-adresse med skadelig software kan medføre ubeskyttede oplysninger

    Beskrivelse: Stiproblem i integreret webserver i Billedoverførsel. Dette kan medføre til ubeskyttede arkiver på serversystemet. Denne opdatering korrigerer problemet gennem en forbedret håndtering af URL-adresser. Dette problem påvirker ikke systemer med Mac OS X v10.5 eller senere.

  • Billedoverførsel

     

    CVE-ID: CVE-2008-1572

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Virkning: En lokal bruger kan manipulere arkiver med rettigheder·for en anden bruger, der bruger Billedoverførsel

    Beskrivelse: Ubeskyttet arkivhåndtering ved håndtering af midlertidige arkiver i Billedoverførsel. Dette kan give en lokal bruger mulighed for at overskrive arkiver med rettighederne for en anden bruger, der bruger Billedoverførsel, eller mulighed for at åbne indholdet af billeder, der tilpasses. Denne opdatering korrigerer problemet gennem en forbedret håndtering af midlertidige arkiver. Dette problem påvirker ikke systemer med Mac OS X v10.5 eller senere.

  • ImageIO

     

    CVE-ID: CVE-2008-1573

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: Visning af BMP- eller GIF-billeder med skadelig software kan medføre ubeskyttede oplysninger

    Beskrivelse: Grænseoverskridende hukommelseslæsning kan forekomme ved BMP- og GIF-billedafkodning, hvilket kan medføre ubeskyttet indhold i hukommelsen. Denne opdatering korrigerer problemet ved at udføre yderligere validering af BMP- og GIF-billeder. Tak til Gynvael Coldwind fra Hispasec, som har rapporteret dette problem.

  • ImageIO

     

    CVE-ID: CVE-2007-5266, CVE-2007-5268, CVE-2007-5269

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: Flere svagheder i libpng version 1.2.18

    Beskrivelse: Flere svagheder findes i libpng version 1.2.18, hvor den mest alvorlige kan medføre en ekstern tjenesteafvisning. Denne opdatering retter problemet ved at opdaterer til version 1.2.24. Yderligere oplysninger er tilgængelige på libpng-webstedet på http://www.libpng.org/pub/png/libpng.html

  • ImageIO

     

    CVE-ID: CVE-2008-1574

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: Visning af et skadeligt tilpasset JPEG2000-billedarkiv kan føre til uventet programnedbrud eller vilkårlig kørsel af kode

    Beskrivelse: Et heltalsoverløb ved håndtering af JPEG2000-billedarkiver kan medføre et stakbufferoverløb. Visning af et JPEG2000-billedarkiv med skadelig software kan føre til uventet programnedbrud eller vilkårlig kørsel af kode. Denne opdatering korrigerer dette problem ved hjælp af yderligere validering af JPEG2000-billeder.

  • Kernel

     

    CVE-ID: CVE-2008-0177

    Tilgængelig til: Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: En ekstern angriber kan muligvis udløse et uventet systemnedbrud

    Beskrivelse: Uregistreret fejlforhold ved håndtering af pakker med IPComp header. En angriber kan udløse et uventet systemnedbrud ved at sende en pakke med skadelig software til et system, der er konfigureret til at bruge IPSec eller IPv6. Denne opdatering retter problemet ved hjælp af korrekt registrering af fejlforholdet.

  • Kernel

     

    CVE-ID: CVE-2007-6359

    Tilgængelig til: Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: En lokal bruger kan muligvis udløse et uventet systemnedbrud

    Beskrivelse: Null-pointerforskel ved kernel-håndtering af kodesignaturer i funktionen cs_validate_page. Dette kan muligvis give en lokal bruger mulighed for at udløse et uventet systemnedbrud. Denne opdatering retter·problemet ved at udføre yderligere validering af kodesignaturer. Dette problem påvirker ikke systemer før Mac OS X v10.5.

  • Log ind-vindue

     

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Virkning: Indstillinger til administreret klient kan muligvis ikke anvendes

    Beskrivelse: Denne opdatering retter et problem, der ikke omhandler sikkerhed, fra sikkerhedsopdatering 2007-004. Pga. en race-betingelse kan log ind-vinduet muligvis ikke sætte udvalgte indstillinger til at fejle på systemer, der administreres af administreret klient til Mac OS X (MCX). Denne opdatering retter problemet ved at fjerne race-betingelsen i håndteringen af administrerede indstillinger. Dette problem påvirker ikke systemer med Mac OS X v10.5.

  • Mail

     

    CVE-ID: CVE-2008-1576

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Virkning: Afsendelse af e-post via en SMTP-server over IPv6 kan medføre uventet programnedbrud, afsløring af oplysninger eller vilkårlig kørsel af kode

    Beskrivelse: Ikke initialiseret buffer i Mail. Når e-post sendes via en SMTP-server over IPv6, kan Mail muligvis bruge en buffer med hukommelse, der kun er delvist initialiseret, hvilket kan føre til afsløring af følsomme oplysninger til beskedmodtagere og postserveradministratorer. Dette kan også potentielt føre til et uventet programnedbrud eller vilkårlig kørsel af kode. Denne opdatering retter problemet ved at initialiserer variablen korrekt. Dette problem påvirker ikke systemer med Mac OS X v10.5 eller senere. Tak til Derek Morr fra Pennsylvania State University, som har rapporteret dette problem.

  • ruby

     

    CVE-ID: CVE-2007-6612

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: En ekstern angriber kan muligvis læse vilkårlige arkiver

    Beskrivelse: Mongrel er opdateret til version 1.1.4 for at rette et problem ved biblioteksgennemløb i DirHandler, der kan føre til afsløring af følsomme oplysninger. Yderligere oplysninger er tilgængelige på Mongrel-webstedet på http://mongrel.rubyforge.org

  • Enkelt log ind

     

    CVE-ID: CVE-2008-1578

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.2, Mac OS X Server v10.5 til v10.5.2

    Virkning: Adgangskoder leveret til sso_util kan læses af andre brugere

    Beskrivelse: Kommandolinjeværktøjet sso_util krævede, at adgangskoder blev leveret til dens argumenter, hvilket medførte at adgangskoderne kunne læses af andre lokale brugere. Adgangskoderne, der kunne læses, var brugernes, administratorernes og adgangskoden til KDC-administration. Denne opdatering gør adgangskodeparameteren valgfri, og sso_util vil spørge om en eventuel nødvendig adgangskode. Tak til Geoff Franks fra Hauptman Woodward Institute, som rapporterede dette problem.

  • Wiki Server

     

    CVE-ID: CVE-2008-1579

    Tilgængelig til: Mac OS X Server v10.5 til v10.5.2

    Virkning: En ekstern angriber kan muligvis bestemme gyldige brugernavne på servere, hvor Wiki Server er slået til

    Beskrivelse: Afsløring af oplysninger i Wiki Server, når en ikke-eksisterende blog forsøges åbnet. En angriber kan bruge oplysningerne i fejlmeddelelsen til at finde frem til lokale brugernavne. Denne opdatering rette problemet ved hjælp af forbedret håndtering af fejlmeddelelser. Dette problem berører ikke systemer tidligere end Mac OS X v10.5. Tak til Don Rainwater fra University of Cincinnati, som har rapporteret dette problem.

 

Important: Mention of third-party websites and products is for informational purposes only and constitutes neither an endorsement nor a recommendation. Apple assumes no responsibility with regard to the selection, performance or use of information or products found at third-party websites. Apple provides this only as a convenience to our users. Apple has not tested the information found on these sites and makes no representations regarding its accuracy or reliability. There are risks inherent in the use of any information or products found on the Internet, and Apple assumes no responsibility in this regard. Please understand that a third-party site is independent from Apple and that Apple has no control over the content on that website. Please contact the vendor for additional information.

Not helpful Somewhat helpful Helpful Very helpful Solved my problem