Sprachen

Über den Sicherheitsinhalt des Sicherheits-Updates 2008-004 und Mac OS X 10.5.4

In diesem Dokument wird der Sicherheitsinhalt des Sicherheits-Updates 2008-004 und MacOS X 10.5.4 beschrieben. Dies kann über Software-Aktualisierung oder von Apple Downloads geladen und installiert werden.

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Programmkorrekturen oder Versionen verfügbar sind. Nähere Informationen zur Apple Produktsicherheit finden Sie auf der Website Produktsicherheit von Apple.

Informationen zum Apple Produktsicherheits-PGP-Schlüssel finden Sie hier: "So verwenden Sie den Apple Produktsicherheits-PGP-Schlüssel".

Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE IDs verwendet.

Informationen zu weiteren Security Updates finden Sie unter "Apple Sicherheits-Updates".

 

Sicherheits-Update 2008-004 und Mac OS X v10.5.4

  • Alias Manager

    CVE-ID: CVE-2008-2308

    Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11

    Symptom: Ein Alias, der in böser Absicht erstellte Volume-Informationen enthält, kann eine unerwartete Programmbeendigung oder die Ausführung willkürlichen Codes verursachen.

    Beschreibung: Bei der Verarbeitung von AFP-Volume-Informationen in einer Alias-Datenstruktur tritt ein Speicherfehler auf. Das Auflösen eines Alias, der in böser Absicht erstellte Volume-Informationen enthält, kann zu einer unerwarteten Programmbeendigung oder zur Ausführung willkürlichen Codes führen. Mit diesem Update wird das Problem durch eine zusätzliche Validierung der Alias-Datenstrukturen behoben. Von diesem Problem sind ausschließlich Intel-basierte Systeme betroffen, auf denen Mac OS X 10.5.1 oder früher ausgeführt wird.

  • CoreTypes

    CVE-ID: CVE-2008-2309

    Verfügbar für: Mac OS X 10.4.11, MAC OS X Server 10.4.11, Mac OS X 10.5 bis Mac OS X 10.5.3, Mac OS X Server 10.5 bis Mac OS X Server 10.5.3

    Symptom: Benutzer werden vor dem Öffnen potenziell unsicherer Inhaltstypen nicht gewarnt.

    Beschreibung: Diese Aktualisierung fügt der Systemliste der Inhaltstypen .xht- und .xhtm-Dateien hinzu, die unter bestimmten Umständen als potenziell unsicher markiert werden, z. B. wenn sie von einer Webseite heruntergeladen werden. Diese Inhaltstypen werden zwar nicht automatisch gestartet, ein manuelles Öffnen kann jedoch zur Ausführung einer in böser Absicht erstellten Payload führen. Diese Aktualisierung verbessert die Fähigkeit des Systems, Benutzer zu benachrichtigen, bevor .xht- unhd .xhtm-Dateien verarbeitet werden. In Mac OS X 10.4 wird dies durch die Funktion "Download Validation" gewährleistet. In Mac OS X 10.5 wird dies durch die Quarantänefunktion gewährleistet. Wir danken Brian Mastenbrook für die Meldung dieses Problems.

  • c++filt

    CVE-ID: CVE-2008-2310

    Verfügbar für: Mac OS X 10.5 bis 10.5.3, Mac OS X Server 10.5 bis 10.5.3

    Symptom: Die Weitergabe einer in böswilliger·Absicht erstellten Zeichenkette zu c++filt kann zu einer unerwarteten Programmbeendigung oder zur willkürlichen Code-Ausführung führen.

    Beschreibung: Ein Formatzeichenketten-Problem besteht in c++filt, einem Debugging-Werkzeug zur Sichtbarmachung (Demangling) von C++- und Java-Symbolen. Die Weitergabe einer in bösartiger Absicht erstellen Zeichenkette an c++filt kann eine unerwartete Programmbeendigung oder die Ausführung willkürlichen Codes verursachen. Das vorliegende Update löst dieses Problem durch eine verbesserte Handhabung von Formatzeichenketten. Dieses Problem hat keine Auswirkung auf Systeme, die älter als Mac OS X 10.5 sind.

  • Dienste starten

    CVE-ID: CVE-2008-2311

    Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11

    Symptom: Der Besuch einer in bösartiger Absicht erstellten Website kann zur Ausführung willkürlichen Codes führen

    Beschreibung: Eine Wettlaufsituation exisitiert bei der Download-Validierung symbolischer Links, wenn sich das Ziel des Links innerhalb des engen Zeitfenfensters der Validierung ändert. Wenn die Einstellung "Sichere Dateien öffnen" in Safari aktiviert ist, kann durch den Besuch einer in bösartiger Absicht erstellten Website eine Datei auf dem System des Benutzers geöffnet werden, so dass willkürlicher Code ausgeführt wird. In dieser Aktualisierung wird das Problem durch Ausführen einer zusätzlichen Validierung von geladenen Dateien behoben. Systeme, auf denen Mac OS X 10.5 oder neuer ausgeführt wird, sind von diesem Problem nicht betroffen.

  • Net-SNMP

    CVE-ID: CVE-2008-0960

    Verfügbar für: Mac OS X 10.4.11, MAC OS X Server 10.4.11, Mac OS X 10.5 bis Mac OS X 10.5.3, Mac OS X Server 10.5 bis Mac OS X Server 10.5.3

    Symptom: Ein entfernter Angreifer kann ein identifiziertes SNMPv3-Paket vortäuschen

    Beschreibung: Ein Problem exisitiert in der SNMPv3-Identizierung von Net-SNMP, wodurch in böser Absicht erstellte Pakete die Identifizierungsprüfung umgehen können. Diese Aktualisierung behebt das Problem, indem eine zusätzliche Validierung von SNMPv3-Paketen erfolgt. Weitere Informationen finden Sie auf http://www.kb.cert.org/vuls/id/878044

  • Ruby

    CVE-ID: CVE-2008-2662, CVE-2008-2663, CVE-2008-2664, CVE-2008-2725, CVE-2008-2726

    Verfügbar für: Mac OS X 10.4.11, MAC OS X Server 10.4.11, Mac OS X 10.5 bis Mac OS X 10.5.3, Mac OS X Server 10.5 bis Mac OS X Server 10.5.3

    Symptom: Das Ausführen eines Ruby-Skript, das eine nicht vertrauenwürdige Eingabe verwendet, um auf Zeichenketten oder Arrays zuzugreifen, kann zu einer unerwarteten Programmbeendigung oder zur Ausführung willkürlichen Codes führen.

    Beschreibung: Bei der Behandlung von Zeichenketten und Arrays durch Ruby treten mehrere Speicherprobleme auf, von denen das größte zur Ausführung willkürlichen Codes führen kann. Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind.

  • Ruby

    CVE-ID: CVE-2008-1145

    Verfügbar für: Mac OS X 10.4.11, MAC OS X Server 10.4.11, Mac OS X 10.5 bis Mac OS X 10.5.3, Mac OS X Server 10.5 bis Mac OS X Server 10.5.3

    Symptom: Wenn WEBrick ausgeführt wird, kann ein entfernter Angreifer auf Dateien zugreifen, die durch die Option "NondisclosureName" von Webrick geschützt sind.

    Beschreibung: Die Option "Nondisclosure Name" im Ruby WEBrick Toolkit wird verwendet, um Zugriff auf Dateien einzuschränken. Die Anforderung eines Dateinamens, der unerwartete Großschreibung verwendet, kann die Einschränkung "Nondisclosure Name" umgehen. Mit dieser Aktualisierung wird das Problem durch die zusätzliche Überprüfung von Dateinamen behoben. Weitere Informationen erhalten Sie auf http://www.ruby-lang.org/en/news/2008/03/03/webrick-file-access-vulnerability/ Das in den Hinweisen beschriebene Directory-Traversal-Problem hat keine Auswirkungen für Mac OS X.

  • SMB File Server

    CVE-ID: CVE-2008-1105

    Verfügbar für: Mac OS X 10.4.11, MAC OS X Server 10.4.11, Mac OS X 10.5 bis Mac OS X 10.5.3, Mac OS X Server 10.5 bis Mac OS X Server 10.5.3

    Symptom: Entfernte Angreifer können eine unerwartete Programmbeendigung oder die Ausführung willkürlichen Codes verursachen.

    Beschreibung: Die Verarbeitung von SMB-Paketen kann zu einem Pufferüberlauf führen. Das Senden in bösartiger Absicht erstellter SMB-Pakete an einen SMB-Server oder die Verbindung zu einem in bösartiger Absicht erstellten SMB-Server kann zu einer unerwarteten Programmbeendigung oder zur Ausführung willkürlichen Codes führen. Mit dieser Aktualisierung wird das Problem behoben, indem eine verbesserte Abgrenzungsüberprüfung der Länge empfangener SMB-Pakete erfolgt. Wir danken Alin Rad Pop von Secunia Research für die Meldung dieses Problems.

  • Systemkonfiguration

    CVE-ID: CVE-2008-2313

    Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11

    Symptom: Ein lokaler Benutzer kann mithilfe der Zugriffsrechte neuer Benutzer möglicherweise willkürlichen Code ausführen

    Beschreibung: Ein lokaler Benutzer kann möglicherweise das Benutzervorlagen-Verzeichnis mit Dateien füllen, die Teil des Benutzerordners werden, wenn ein neuer Benutzer erstellt wird. Dies kann die Ausführung willkürlichen Codes mit den Zugriffsrechten des Benutzers zur Folge haben. Das vorliegende Update behebt das Problem durch restriktivere Berechtigungen für das Benutzervorlagen-Verzeichnis. Systeme, auf denen Mac OS X 10.5 oder neuer ausgeführt wird, sind von diesem Problem nicht betroffen. Dank an Andrew Mortensen von der University of Michigan, der dieses Problem gemeldet hat.

  • Tomcat

    CVE-ID: CVE-2005-3164, CVE-2007-1355, CVE-2007-2449, CVE-2007-2450, CVE-2007-3382, CVE-2007-3383, CVE-2007-5333, CVE-2007-3385, CVE-2007-5461

    Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11

    Symptom: Mehrere Schwachstellen in Tomcat 4.1.36

    Beschreibung: Tomcat Version 4.x ist auf Systemen mit Mac OS X v10.4.11 als Bundle vorhanden. Tomcat auf Mac OS X v10.4.11 wird auf Version 4.1.37 aktualisiert, um mehrere Schwachstellen zu beseitigen, von denen die schwerwiegendste zu Site-übergreifendem Scripting führen kann. Weitere Informationen finden Sie auf der Tomcat Website unter http://tomcat.apache.org/ Tomcat Version 6.x ist auf Systemen mit Mac OS X v10.5 als Bundle vorhanden.

  • VPN

    CVE-ID: CVE-2007-6276

    Verfügbar für: Mac OS X 10.5 bis 10.5.3, Mac OS X Server 10.5 bis 10.5.3

    Symptom: Entfernte Angreifer können möglicherweise eine unerwartete Programmbeendigung verursachen

    Beschreibung: Ein Problem "Unerlaubte Division durch 0" tritt bei der Behandlung von Informationen zur Lastverteilung durch den Virtual Private Network-Daemon auf. Die Verarbeitung von in bösartiger Absicht erstellten UDP-Paketen kann zu einer unerwarteten Programmbeendigung führen. Außerdem führt das Problem nicht zur willkürlichen Code-Ausführung. Mit diesem Update wird das Problem durch Ausführen einer zusätzlichen Validierung Informationen zur Lastverteilung behoben. Dieses Problem hat keine Auswirkung auf Systeme, die älter als Mac OS X 10.5 sind.

  • WebKit

    CVE-ID: CVE-2008-2307

    Verfügbar für: Mac OS X 10.5 bis 10.5.3, Mac OS X Server 10.5 bis 10.5.3

    Symptom: Der Besuch einer in böswilliger·Absicht erstellten Website kann zu einer unerwarteten Programmbeendigung oder zur willkürlichen Code-Ausführung führen.

    Beschreibung: Bei der Verarbeitung von JavaScript-Arrays in WebKit tritt ein Speicherfehler auf. Der Besuch einer in böser Absicht erstellten Website kann zu einer unerwarteten Programmbeendigung oder zur willkürlichen Code-Ausführung führen. Mit dieser Aktualisierung wird das Problem durch eine verbesserte Abgrenzungsüberprüfung behoben. Mit dieser Problembehebung wird die Version von Safari for Mac OS X v10.5.4 auf 3.1.2 aktualisiert. Für Mac OS X v10.4.11 und Windows XP / Vista wird dieses Problem in Safari v3.1.2 für diese Systeme behoben. Wir danken James Urquhart für die Meldung dieses Problems.

Wichtig: Der Hinweis auf Websites und Produkte Dritter dient ausschließlich informativen Zwecken und ist weder als Billigung noch als Empfehlung zu verstehen Apple übernimmt keine Verantwortung in Bezug auf die Auswahl, Leistung oder Verwendung von Informationen oder Produkten, die auf Websites Dritter angeboten werden. Apple stellt seinen Kunden diese Informationen nur als Serviceleistung zur Verfügung. Apple hat die Informationen, die auf diesen Sites angeboten werden, nicht geprüft und macht keine Angaben in Bezug auf deren Korrektheit und Zuverlässigkeit. Die Verwendung aller Informationen und Produkte, die im Internet angeboten werden, unterliegt bestimmten Risiken; Apple übernimmt diesbezüglich keine Verantwortung. Bitte haben Sie Verständnis dafür, dass Websites Dritter von Apple unabhängig sind und dass Apple keine Kontrolle über den Inhalt dieser Websites hat. Für weitere Informationen wenden Sie sich bitte an den Hersteller.

Zuletzt geändert: 04.06.2011
Hilfreich?
Ja
Nein
  • Last Modified: 04.06.2011
  • Article: HT2163
  • Views:

    495

Zusätzliche Supportinformationen zum Produkt