Over de beveiligingsinhoud van beveiligingsupdate 2008-003 / Mac OS X 10.5.3

Beveiligingsupdate 2008-003 / Mac OS X v10.5.3

• AFP-server
  

  CVE-ID: CVE-2008-1027

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: bestanden die niet zijn aangewezen voor delen, kunnen extern worden geopend

  Beschrijving: AFP-server heeft niet gecontroleerd of een bestand of directory die moest worden aangeboden zich in een map bevond die was aangewezen voor delen. Een verbonden gebruiker of gast kan alle bestanden of mappen openen waarvoor hij of zij toestemming heeft, zelfs als deze zich niet in mappen bevinden die zijn aangewezen voor delen. Deze update verhelpt het probleem doordat de toegang wordt geweigerd tot bestanden en mappen die zich niet bevinden in een map die is aangewezen voor delen. Dank aan Alex deVries en Robert Rich voor het melden van deze kwestie.

• Apache
  

  CVE-ID: CVE-2005-3352, CVE-2005-3357, CVE-2006-3747, CVE-2007-1863, CVE-2007-3847, CVE-2007-4465, CVE-2007-5000, CVE-2007-6388

  Beschikbaar voor: Mac OS X Server v10.4.11

  Impact: meerdere kwetsbaarheden in Apache 2.0.55

  Beschrijving: Apache wordt bijgewerkt naar versie 2.0.63 om diverse kwetsbaarheden op te lossen, waarvan het ernstigste probleem kan leiden tot cross-site scripting. Nadere informatie is beschikbaar via de website van Apache op http://httpd.apache.org. Apache 2.0.x wordt alleen geleverd bij systemen met Mac OS X Server v10.4.x. Mac OS X v10.5.x en Mac OS X Server v10.5.x worden geleverd met Apache 2.2.x. De problemen die van invloed waren op Apache 2.2.x, zijn opgelost in Beveiligingsupdate 2008-002 voor Mac OS X v10.5.2 en Mac OS X Server v10.5.2.

• AppKit
  

  CVE-ID: CVE-2008-1028

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11

  Impact: openen van een kwaadwillig vervaardigd bestand kan het onverwacht afsluiten van het programma of uitvoering van willekeurige code tot gevolg hebben.

  Beschrijving: bij de verwerking van documentbestanden in AppKit doet zich een implementatieprobleem voor. Het openen van een kwaadwillig vervaardigd bestand in een editor waarin AppKit wordt gebruikt (zoals Teksteditor), kan het onverwacht afsluiten van het programma of uitvoering van willekeurige code tot gevolg hebben. Deze update verhelpt dit probleem door een verbeterde controle van documentbestanden uit te voeren. Dit probleem is niet van invloed op systemen met Mac OS X 10.5 of hoger. Dank aan Rosyna van Unsanity voor het melden van deze kwestie.

• Apple Pixlet Video
  

  CVE-ID: CVE-2008-1577

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: het bekijken van een kwaadwillig vervaardigd filmbestand kan leiden tot het onverwacht afsluiten van een programma of uitvoering van willekeurige code.

  Beschrijving: bij de verwerking van bestanden met de Pixlet-codec doen zich meerdere problemen met geheugenbeschadiging voor. Het openen van een kwaadwillig vervaardigd filmbestand kan het onverwacht beëindigen van de toepassing of het uitvoeren van kwaadwillige code veroorzaken. Deze update verhelpt dat probleem door middel van verbeterde bounds checking.

• ATS
  

  CVE-ID: CVE-2008-1575

  Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: het afdrukken van een PDF-document dat een kwaadwillig vervaardigd ingebed lettertype bevat, kan leiden tot uitvoering van willekeurige code

  Beschrijving: bij de verwerking van ingebedde lettertypen in PDF-bestanden op de ATS-server doet zich een probleem met geheugenbeschadiging voor. Het afdrukken van een PDF-document dat een kwaadwillig vervaardigd lettertype bevat, kan leiden tot uitvoering van willekeurige code. Deze update verhelpt het probleem door een extra controle van ingebedde lettertypen uit te voeren. Computersystemen vóór Mac OS X v10.5 hebben geen last van dit probleem. Dank aan Melissa O'Neill van het Harvey Mudd College voor het melden van deze kwestie.

• CFNetwork
  

  CVE-ID: CVE-2008-1580

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: bezoek aan een kwaadwillende website kan leiden tot de bekendmaking van vertrouwelijke informatie.

  Beschrijving: bij de verwerking van SSL-clientcertificaten in Safari doet zich een probleem voor met de bekendmaking van informatie. Wanneer een webserver een clientcertificaatverzoek doet, wordt het eerste clientcertificaat dat wordt gevonden in de sleutelhanger automatisch verzonden, wat mogelijk kan leiden tot bekendmaking van de informatie in het certificaat. Deze update verhelpt het probleem door de gebruiker te vragen om een bevestiging voordat het certificaat wordt verzonden.

• CoreFoundation
  

  CVE-ID: CVE-2008-1030

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: het gebruik van de CFData-API op bepaalde manieren in toepassingen kan leiden tot het onverwacht beëindigen van de toepassing of het uitvoeren van willekeurige code

  Beschrijving: een integer overflow bij de verwerking van CFData-objecten in CoreFoundation kan leiden tot een heap buffer overflow. Wanneer een toepassing CFDataReplaceBytes aanroept met een ongeldig lengteargument, kan dit leiden tot het onverwacht beëindigen van de toepassing of het uitvoeren van willekeurige code. Deze update verhelpt dit probleem door extra controle van lengteparameters uit te voeren.

• CoreGraphics
  

  CVE-ID: CVE-2008-1031

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: openen van een kwaadwillig vervaardigd PDF-bestand kan het onverwacht afsluiten van het programma of uitvoering van willekeurige code tot gevolg hebben.

  Beschrijving: bij de verwerking van PDF-bestanden in CoreGraphics doet zich een probleem voor met een niet-geïnitialiseerde variabele. Het openen van een kwaadwillig vervaardigd PDF-bestand kan het onverwacht beëindigen van de toepassing of het uitvoeren van kwaadwillige code veroorzaken. Deze update verhelpt het probleem door een juiste initialisatie van pointers.

• CoreTypes
  

  CVE-ID: CVE-2008-1032

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: gebruikers worden niet gewaarschuwd voordat bepaalde mogelijk onveilige inhoudstypen worden geopend

  Beschrijving: met deze update wordt de systeemlijst met inhoudstypen die worden gemarkeerd als mogelijk onveilig onder bepaalde omstandigheden uitgebreid, bijvoorbeeld wanneer de bestanden van een webpagina worden gedownload. Hoewel deze inhoudstypen niet automatisch worden gestart, kunnen ze wel leiden tot de uitvoering van een schadelijke payload als ze handmatig worden geopend. Deze update verbetert het vermogen van het systeem om gebruikers te waarschuwen voordat inhoudstypen worden verwerkt die worden gebruikt door Automator, Help, Safari en Terminal. In Mac OS X v10.4 wordt deze functionaliteit geleverd door de functie voor downloadvalidatie. In Mac OS X v10.5 wordt deze functionaliteit geleverd door de quarantainefunctie. Dank aan Brian Mastenbrook voor het melden van deze kwestie.

• CUPS
  

  CVE-ID: CVE-2008-1033

  Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: afdrukken op printers met wachtwoordbeveiliging terwijl het bijhouden van logbestanden voor foutopsporing is ingeschakeld, kan mogelijk leiden tot de bekendmaking van vertrouwelijke informatie

  Beschrijving: bij de controle van de omgevingsvariabelen voor identiteitscontrole in de CUPS-planningsfunctie doet zich een fout voor wanneer het bijhouden van logbestanden voor foutopsporing is ingeschakeld. Dit kan leiden tot bekendmaking van de gebruikersnaam, het domein en het wachtwoord bij het afdrukken op een printer met wachtwoordbeveiliging. Deze update verhelpt het probleem door omgevingsvariabelen correct de controleren. Computersystemen vóór Mac OS X v10.5 waarop Beveiligingsupdate 2008-002 is geïnstalleerd, hebben geen last van dit probleem.

• Flash Player-plugin
  

  CVE-ID: CVE-2007-5275, CVE-2007- 6243, CVE-2007- 6637, CVE-2007-6019, CVE-2007-0071, CVE-2008-1655, CVE-2008-1654

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: wanneer u Flash-inhoud opent die met verkeerde intenties is geschreven, kan dat leiden tot de uitvoering van willekeurige code.

  Beschrijving: de Flash Player-plugin bevat meerdere problemen, waarvan het ernstigste probleem kan leiden tot de uitvoering van willekeurige code. Deze update verhelpt het probleem door het programma bij te werken naar versie 9.0.124.0. Meer informatie is verkrijgbaar via de website van Adobe op http://www.adobe.com/support/security/bulletins/apsb08-11.html

• Help-viewer
  

  CVE-ID: CVE-2008-1034

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11

  Impact: een kwaadwillige help:topic-URL kan leiden tot het onverwacht beëindigen van een toepassing of het uitvoeren van willekeurige code

  Beschrijving: een integer underflow in de verwerking van help:topic-URL's in de Help-viewer kan leiden tot een buffer overflow. Het openen van een kwaadwillige help:topic-URL kan leiden tot het onverwacht beëindigen van een toepassing of het uitvoeren van willekeurige code. Deze update verhelpt dat probleem door middel van verbeterde bounds checking. Dit probleem is niet van invloed op systemen met Mac OS X 10.5 of hoger. Dank aan Paul Haddad van PTH Consulting voor het melden van deze kwestie.

• iCal
  

  CVE-ID: CVE-2008-1035

  Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: openen van een kwaadwillig vervaardigd iCalendar-bestand in iCal kan het onverwacht afsluiten van het programma of uitvoering van willekeurige code tot gevolg hebben.

  Beschrijving: bij de verwerking van iCalendar-bestanden (meestal met de extensie '.ics') door de iCal-toepassing doet zich een probleem voor bij gebruik na een gratis periode. Openen van een kwaadwillig vervaardigd iCalendar-bestand in iCal kan het onverwacht afsluiten van een programma of de uitvoering van willekeurige code tot gevolg hebben. Deze update verhelpt het probleem door reference counting in de betreffende code te verbeteren. Computersystemen vóór Mac OS X v10.5 hebben geen last van dit probleem. Dank aan Rodrigo Carvalho van Core Security Technologies voor het melden van deze kwestie.

• ICU
  

  CVE-ID: CVE-2008-1036

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: het bezoeken van bepaalde websites kan mogelijk leiden tot de bekendmaking van vertrouwelijke informatie

  Beschrijving: bij de verwerking van bepaalde tekencoderingen in ICU doet zich een conversieprobleem voor. Bepaalde ongeldige tekenreeksen worden mogelijk niet weergegeven in de geconverteerde uitvoer, en dit kan van invloed zijn op inhoudsfilters. Het bezoeken van een kwaadwillig vervaardigde website kan leiden tot cross-site scripting en de bekendmaking van vertrouwelijke informatie. Deze update verhelpt het probleem door ongeldige tekenreeksen te vervangen door een terugvalteken.

• Fotolader
  

  CVE-ID: CVE-2008-1571

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11

  Impact: openen van een kwaadwillig vervaardigde URL kan leiden tot de bekendmaking van informatie

  Beschrijving: op de ingesloten webserver van Fotolader doet zich een pad-traversal-probleem voor. Dit kan leiden tot de bekendmaking van lokale bestanden op het serversysteem. Deze update verhelpt dat probleem door middel van een verbeterde verwerking van URL's. Dit probleem is niet van invloed op systemen met Mac OS X v10.5 of hoger.

• Fotolader

   

  CVE-ID: CVE-2008-1572

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11

  Impact: een lokale gebruiker kan bestanden manipuleren met de bevoegdheden van een andere gebruiker die Fotolader gebruikt

  Beschrijving: bij de verwerking van tijdelijke bestanden in Fotolader doet zich een onveilige bestandsbewerking voor. Hierdoor kan een lokale gebruiker mogelijk bestanden overschrijven met de bevoegdheden van een andere gebruiker die Fotolader gebruikt, of toegang krijgen tot de inhoud van afbeeldingen waarvan het formaat wordt gewijzigd. Deze update verhelpt dit probleem door een verbeterde verwerking van tijdelijke bestanden. Dit probleem is niet van invloed op systemen met Mac OS X v10.5 of hoger.

• ImageIO

   

  CVE-ID: CVE-2008-1573

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: weergave van een kwaadwillig vervaardigde BMP- of GIF-afbeelding kan leiden tot de bekendmaking van informatie

  Beschrijving: er kan een geheugenlezing buiten het bereik plaatsvinden in de decoderings-engine voor BMP- en GIF-afbeeldingen, wat mogelijk kan leiden tot de bekendmaking van inhoud in het geheugen. Deze update verhelpt dit probleem door extra controle van DMP- en GIF-afbeeldingen uit te voeren. Dank aan Gynvael Coldwind van Hispasec voor het melden van deze kwestie.

• ImageIO

   

  CVE-ID: CVE-2007-5266, CVE-2007-5268, CVE-2007-5269

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: meerdere kwetsbaarheden in libpng versie 1.2.18

  Beschrijving: libpng versie 1.2.18 bevat meerdere kwetsbaarheden, waarvan het ernstigste probleem kan leiden tot een externe denial-of-service. Deze update verhelpt dit probleem door het programma bij te werken naar versie 1.2.24. Meer informatie is verkrijgbaar via de website van libpng op http://www.libpng.org/pub/png/libpng.html

• ImageIO

   

  CVE-ID: CVE-2008-1574

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: weergave van een kwaadwillig vervaardigde JPEG2000-afbeelding kan het onverwacht afsluiten van het programma of uitvoering van willekeurige code tot gevolg hebben.

  Beschrijving: een integer overflow bij de verwerking van JPEG2000-afbeeldingen kan leiden tot een heap buffer overflow. Weergave van een kwaadwillig vervaardigde JPEG2000-afbeelding kan het onverwacht afsluiten van het programma of uitvoering van willekeurige code tot gevolg hebben. Deze update verhelpt het probleem door een extra controle van JPEG2000-afbeeldingen.

• Kernel

   

  CVE-ID: CVE-2008-0177

  Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: een externe aanvaller kan ervoor zorgen dat het systeem onverwachts wordt uitgeschakeld.

  Beschrijving: bij de verwerking van pakketten met een IPComp-header doet zich een niet-gedetecteerde fouttoestand voor. Door een kwaadwillig vervaardigd pakket te versturen naar een systeem dat is geconfigureerd voor het gebruik van IPSec of IPv6, kan een aanvaller mogelijk ervoor zorgen dat het systeem onverwachts wordt uitgeschakeld. Deze update verhelpt het probleem door de fouttoestand correct te detecteren.

• Kernel

   

  CVE-ID: CVE-2007-6359

  Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: een lokale gebruiker kan ervoor zorgen dat het systeem onverwachts wordt uitgeschakeld.

  Beschrijving: bij de verwerking van codehandtekeningen in de functie cs_validate_page van de kernel doet zich een null pointer-dereferentie voor. Hierdoor kan een lokale gebruiker het systeem onverwachts uitschakelen. Deze update verhelpt heit probleem door een extra controle van codehandtekeningen uit te voeren. Deze kwestie heeft geen invloed op systemen vóór Mac OS X v10.5.

• LoginWindow

   

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11

  Impact: de voorkeuren van de beheerde client worden mogelijk niet toegepast

  Beschrijving: deze update verhelpt een probleem dat werd geïntroduceerd in Beveiligingsupdate 2007-004, dat geen verband houdt met de beveiliging. Vanwege een race-conditie worden bepaalde voorkeuren in LoginWindow mogelijk niet toegepast op systemen die worden beheerd met de beheerde client voor Mac OS X (MCX). Deze update verhelpt het probleem door de race-conditie weg te nemen bij de verwerking van beheerde voorkeuren. Dit probleem is niet van invloed op systemen met Mac OS X v10.5.

• Mail

   

  CVE-ID: CVE-2008-1576

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11

  Impact: versturen van e-mail via een SMTP-server via IPv6 kan leiden tot het onverwacht beëindigen van de toepassing, de bekendmaking van informatie of het uitvoeren van willekeurige code

  Beschrijving: in Mail doet zich een probleem voor met een niet-geïnitialiseerde buffer. Bij het versturen van e-mail via een SMTP-server via IPv6, kan in Mail een buffer worden gebruikt die gedeeltelijk niet-geïnitialiseerd geheugen bevat, wat kan leiden tot de bekendmaking van vertrouwelijke informatie aan de ontvangers van berichten en beheerders van mailservers. Dit kan ook leiden tot het onverwacht beëindigen van de toepassing of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door de variabele correct te initialiseren. Dit probleem is niet van invloed op systemen met Mac OS X v10.5 of hoger. Dank aan Derek Morr van de Pennsylvania State University voor het melden van deze kwestie.

• ruby

   

  CVE-ID: CVE-2007-6612

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: een externe aanvaller kan mogelijk willekeurige bestanden lezen

  Beschrijving: Mongrel wordt bijgewerkt naar versie 1.1.4 om een probleem met directory-traversal in DirHandler op te lossen wat kan leiden tot de bekendmaking van vertrouwelijke informatie. Nadere informatie is beschikbaar via de website van Mongrel op http://mongrel.rubyforge.org.

• Eenmalige aanmelding

   

  CVE-ID: CVE-2008-1578

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.2, Mac OS X Server v10.5 tot en met v10.5.2

  Impact: wachtwoorden die worden verstrekt aan sso_util zijn zichtbaar voor andere lokale gebruikers

  Beschrijving: het opdrachtregelgereedschap sso_util vereist dat wachtwoorden aan het gereedschap worden doorgegeven in de bijbehorende argumenten, waardoor de wachtwoorden mogelijk zichtbaar zijn voor andere lokale gebruikers. De zichtbare wachtwoorden zijn onder andere de wachtwoorden van gebruikers, beheerders en het wachtwoord voor KDC-beheer. Deze update maakt de wachtwoordparameter optioneel en zorgt ervoor dat sso_util indien nodig om het wachtwoord vraagt. Dank aan Geoff Franks van het Hauptman Woodward Institute voor het melden van deze kwestie.

• Wiki Server

   

  CVE-ID: CVE-2008-1579

  Beschikbaar voor: Mac OS X Server v10.5 tot en met v10.5.2

  Impact: een externe aanvaller kan geldige gebruikersnamen bepalen op servers waarop Wiki Server is geactiveerd

  Beschrijving: in Wiki Server doet zich een probleem voor met de bekendmaking van informatie wanneer een niet-bestaand blog wordt geopend. Door de informatie in het foutbericht te gebruiken, kan een aanvaller het bestaan van lokale gebruikersnamen afleiden. Deze update verhelpt dit probleem door een verbeterde verwerking van foutberichten. Computersystemen vóór Mac OS X v10.5 hebben geen last van dit probleem. Dank aan Don Rainwater van de University of Cincinnati voor het melden van deze kwestie.