Om sikkerhetsoppdatering 2006-003
Dette dokumentet beskriver sikkerhetsoppdatering 2006-003, som kan lastes ned og installeres med Programvareoppdatering, eller fra Apple-nedlastinger.
Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelige. Du finner mer informasjon om Apple-produktsikkerhet på nettstedet for Apple-produktsikkerhet.
Mer informasjon finnes her: Slik bruker du PGP-nøkkelen for Apple-produktsikkerhet.
Der det er mulig, brukes CVE-ID-er som referanse til sårbarhetene, slik at man kan finne mer informasjon.
Mer informasjon om andre sikkerhetsoppdateringer finnes her: Apple-sikkerhetsoppdateringer.
Sikkerhetsoppdatering 2006-003
AppKit
CVE-ID: CVE-2006-1439
Tilgjengelig for: Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Tegn som er tastet inn i et sikkert tekstfelt kan leses av andre programmer i samme vindusøkt
Beskrivelse: Under visse omstendigheter, når man bytter mellom tekstinntastingsfelt, kan NSSecureTextField feile i å aktivere sikker hendelsesinndata på nytt. Dette kan gjøre det mulig for andre programmer i samme vindusøkt å se enkelte inntastingstegn og tastaturhendelser. Denne oppdateringen løser problemet ved å sikre at sikker hendelsesinndata blir riktig aktivert. Dette problemet berører ikke eldre systemer enn Mac OS X v10.4.
AppKit, ImageIO
CVE-ID: CVE-2006-1982, CVE-2006-1983, CVE-2006-1984
Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Visning av et ondsinnet utformet GIF- eller TIFF-bilde kan føre til utføring av vilkårlig kode
Beskrivelse: Håndteringen av feilformet GIF- eller TIFF-bilde kan føre til utføring av vilkårlig kode ved analyse av et ondsinnet utformet bilde. Dette påvirker programmer som bruker ImageIO- (Mac OS X v10.4 Tiger) eller AppKit-rammeverket (Mac OS X v10.3 Panther) for å lese bilder. Denne oppdateringen løser problemet ved å utføre ytterligere validering av TIFF- og GIF-bilder.
BOM
CVE-ID: CVE-2006-1985
Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Utvidelse av en arkivfil kan føre til utføring av vilkårlig kode
Beskrivelse: Ved nøye å lage en arkivfil (for eksempel et Zip-arkiv) som inneholder lange filstinavn, kan en angriper utløse en heap-bufferoverskridelse i BOM. Dette kan føre til utføring av vilkårlig kode. BOM brukes til å håndtere arkiver i Finder og andre programmer. Denne oppdateringen løser problemet ved å håndtere grenseforholdene riktig
BOM
CVE-ID: CVE-2006-1440
Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Utvidelse av en ondsinnet arkivfil kan føre til opprettelse eller overskriving av vilkårlige filer
Beskrivelse: Et problem med håndteringen av symbolske koblinger for katalogtraversering som finnes i arkiver, kan føre til at BOM oppretter eller overskriver filer på vilkårlige steder som er tilgjengelige for brukeren som utvider arkivet. BOM håndterer arkiver på vegne av Finder og andre programmer. Denne oppdateringen løser problemet ved å sikre at filer som utvides fra et arkiv ikke plasseres utenfor destinasjonsmappen.
CFNetwork
CVE-ID: CVE-2006-1441
Tilgjengelig for: Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Besøk på ondsinnede nettsteder kan føre til utføring av vilkårlig kode
Beskrivelse: En heltalls-overflyt i håndteringen av stykkvis overføringstilstand kan føre til utføring av vilkårlig kode CFNetwork brukes av Safari og andre programmer. Denne oppdateringen løser problemet ved å utføre ekstra validering. Dette problemet berører ikke systemer som er eldre enn Mac OS X v10.4.
ClamAV
CVE-ID: CVE-2006-1614, CVE-2006-1615, CVE-2006-1630
Tilgjengelig for: Mac OS X Server v10.4.6
Virkning: Behandling av ondsinnet utformede e-postmeldinger med ClamAV kan føre til utføring av vilkårlig kode
Beskrivelse: Virussøkningsprogramvaren ClamAV er oppdatert for å inkorporere sikkerhetskorrigeringer i den nyeste utgivelsen. ClamAV ble introdusert i Mac OS X Server v10.4 for e-postsøk. Det mest alvorlige av disse problemene kan føre til utføring av vilkårlig kode med ClamAV-privilegier. For mer informasjon, se prosjektets nettsted på http://www.clamav.net.
CoreFoundation
CVE-ID: CVE-2006-1442
Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Registrering av en utroverdig pakke kan føre til utføring av vilkårlig kode
Beskrivelse: Under visse omstendigheter blir pakker implisitt registrert av programmer eller systemet. En funksjon i pakke-API-en gjør det mulig for dynamiske biblioteker å lastes og kjøres når en pakke blir registrert, selv om klientprogrammet ikke ber om det eksplisitt. Som et resultat kan vilkårlig kode kjøres fra en utroverdig pakke uten eksplisitt brukerinteraksjon. Denne oppdateringen løser problemet ved kun å laste og utføre biblioteker fra pakken på riktig tidspunkt.
CoreFoundation
CVE-ID: CVE-2006-1443
Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Strengkonverteringer til filsystemrepresentasjon kan føre til utføring av vilkårlig kode
Beskrivelse: En heltallsunderflyt under behandlingen av en grensebetingelse i CFStringGetFileSystemRepresentation kan føre til utføring av vilkårlig kode. Programmer som bruker denne API-en eller en av de relaterte API-ene, for eksempel NSFileManagers getFileSystemRepresentation:maxLength:withPath:, kan utløse problemet og føre til utføring av vilkårlig kode. Denne oppdateringen løser problemet ved å håndtere grenseforholdene riktig
CoreGraphics
CVE-ID: CVE-2006-1444
Tilgjengelig for: Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Tegn som er tastet inn i et sikkert tekstfelt kan leses av andre programmer i samme vindussesjon
Beskrivelse: Quartz Event Services gir programmer muligheten til å observere og endre lavnivå brukerinndatahendelser. Vanligvis kan programmer ikke fange hendelser når sikker hendelsesinndata er aktivert. Imidlertid, hvis «Enable access for assistive devices» (Aktiver tilgang for hjelpeenheter) er på, kan Quartz Event Services brukes til å fange opp hendelser selv når sikker hendelsesinndata er aktivert. Denne oppdateringen løser problemet ved å filtrere hendelser når sikker hendelsesinndata er aktivert. Dette problemet påvirker ikke systemer som er eldre enn Mac OS X v10.4. Takk til Damien Bobillot som rapporterte dette problemet.
Finder
CVE-ID: CVE-2006-1448
Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Å starte et internett-plasseringsobjekt kan føre til utføring av vilkårlig kode
Beskrivelse: Internett-plasseringsobjekter er enkle URL-beholdere som kan referere til http://-, ftp://- og file://-URL-er, samt noen få andre URL-oppsett. Disse ulike typer internett-plasseringsobjekter er visuelt forskjellige og ment å være trygge å starte eksplisitt. Imidlertid kan oppsettet til nettadressen være annerledes enn internett-plasseringstypen. Som et resultat kan en angriper muligens overbevise en bruker om å starte et angivelig ufarlig element (for eksempel en internett-plassering, http://), med den konsekvens at et annet nettadresseoppsett faktisk brukes. Under visse omstendigheter kan dette føre til utføring av vilkårlig kode. Denne oppdateringen løser problemene ved å begrense nettadresseoppsettet basert på internett-plasseringstypen
FTPServer
CVE-ID: CVE-2006-1445
Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: FTP-operasjoner utført av autentiserte FTP-brukere kan føre til utføring av vilkårlig kode
Beskrivelse: Flere problemer i FTP-serverens håndtering av stinavn kan resultere i en bufferoverflyt. En ondsinnet, autentisert bruker kan muligens utløse denne overflyten, noe som kan føre til utføring av vilkårlig kode med FTP-serverens rettigheter. Denne oppdateringen løser problemet ved å håndtere grenseforholdene riktig
Flash Player
CVE-ID: CVE-2005-2628, CVE-2006-0024
Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Avspilling av Flash-innhold kan føre til utføring av vilkårlig kode
Beskrivelse: Adobe Flash Player inneholder kritiske sårbarheter som kan føre til utføring av vilkårlig kode når spesialutformede filer lastes. Mer informasjon er tilgjengelig via Adobe-nettstedet på http://www.adobe.com/devnet/security/security_zone/apsb06-03.html. Denne oppdateringen løser problemet ved å inkludere Flash Player-versjon 8.0.24.0.
ImageIO
CVE-ID: CVE-2006-1552
Tilgjengelig for: Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Visning av ondsinnet utformet JPEG-bilde kan føre til utføring av vilkårlig kode
Beskrivelse: En heltalls-overflyt i behandlingen av JPEG-metadata kan resultere i en heap-bufferoverflyt. Ved nøye å utforme et bilde med feilformet JPEG-metadata, kan en angriper muligens forårsake utføring av vilkårlig kode når bildet vises. Oppdateringen løser problemet ved å utføre ytterligere validering av bilder. Dette problemet påvirker ikke systemer som er eldre enn Mac OS X v10.4. Takk til Brent Simmons fra NewsGator Technologies, Inc. for rapportering av dette problemet.
Keychain
CVE-ID: CVE-2006-1446
Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Et program kan muligens bruke Keychain-elementer når Keychain er låst
Beskrivelse: Når en Keychain er låst, er det ikke mulig for programmer å få tilgang til Keychain-elementene den inneholder uten først å be om at Keychain låses opp. Imidlertid kan et program som har fått en referanse til et Keychain-element før Keychain låses, under visse omstendigheter kunne fortsette å bruke det Keychain-elementet uavhengig av om Keychain er låst eller ulåst. Denne oppdateringen løser problemet ved å avvise forespørsler om å bruke Keychain-elementer når Keychain er låst. Takk til Tobias Hahn ved HU Berlin for rapportering av dette problemet.
LaunchServices
CVE-ID: CVE-2006-1447
Tilgjengelig for: Mac OS X v10.4.6, ogMac OS X Server v10.4.6
Virkning: Visning av et ondsinnet nettsted kan føre til vilkårlig kjøring av kode
Beskrivelse: Lange filnavnutvidelser kan forhindre at nedlastingsvalidering korrekt bestemmer hvilket program et element kan åpnes med. Som et resultat kan en angriper muligens omgå nedlastingsvalidering og få Safari til å automatisk åpne usikre innhold hvis alternativet «Åpne "sikre" filer etter nedlasting» er aktivert og visse programmer ikke er installert. Denne oppdateringen løser problemet ved å forbedre kontrollen av filnavnsekstensjonen. Dette problemet berører ikke eldre systemer enn Mac OS X v10.4.
libcurl
CVE-ID: CVE-2005-4077
Tilgjengelig for: Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Håndtering av nettadresser i libcurl kan føre til utføring av vilkårlig kode
Beskrivelse: Den åpne kildekode HTTP-biblioteket libcurl inneholder bufferoverskridelser i håndteringen av nettadresser. Programmer som bruker curl for håndtering av nettadresser kan utløse problemet og føre til vilkårlig kjøring av kode. Denne oppdateringen løser problemet ved å inkorporere libcurl version. Dette problemet påvirker ikke systemer før Mac OS X v10.4.
Mail
CVE-ID: CVE-2006-1449
Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Visning av en ondsinnet e-postmelding kan føre til utføring av vilkårlig kode
Beskrivelse: Ved å forberede en spesielt utformet e-postmelding med MacMIME-kapslede vedlegg, kan en angriper utløse en heltalls-overflyt. Dette kan føre til utføring av vilkårlig kode med rettighetene til brukeren som kjører Mail. Denne oppdateringen løser problemet ved å utføre ytterligere validering av meldinger.
Mail
CVE-ID: CVE-2006-1450
Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Vrkning: Visning av en ondsinnet e-postmelding kan føre til utføring av vilkårlig kode
Beskrivelse: Håndteringen av ugyldig fargeinformasjon i berikede tekst-e-postmeldinger kan føre til tildeling og initialisering av vilkårlige klasser. Dette kan føre til utføring av vilkårlig kode med rettighetene til brukeren som kjører Mail. Denne oppdateringen løser problemet ved å håndtere feilformet beriket tekstdata riktig.
MySQL Manager
CVE-ID: CVE-2006-1451
Tilgjengelig for: Mac OS X Server v10.4.6
Virkning: MySQL-database kan nås med et tomt passord
Beskrivelse: Under den innledende oppsettet av en MySQL-databaseserver ved hjelp av MySQL Manager, kan «New MySQL root password» (Nytt MySQL-rotpassord) bli angitt. Imidlertid blir dette passordet faktisk ikke brukt. Som et resultat vil MySQL-rotpassordet forbli tomt. En lokal bruker kan deretter få tilgang til MySQL-databasen med fulle tilgangsrettigheter. Denne oppdateringen løser problemet ved å sørge for at det angitte passordet blir lagret. Dette problemet påvirker ikke systemer som er eldre enn Mac OS X Server v10.4. Takk til Ben Low ved University of New South Wales for rapportering av dette problemet.
Preview
CVE-ID: CVE-2006-1452
Tilgjengelig for: Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Navigering i et ondsinnet utformet kataloghierarki kan føre til utføring av vilkårlig kode
Beskrivelse: Når man navigerer i svært dype kataloghierarkier i Preview, kan det utløse en stabelbufferoverflyt. Ved nøye å utforme et slik kataloghierarki kan det være mulig for en angriper å forårsake utføring av vilkårlig kode hvis katalogene åpnes i Preview. Dette problemet berører ikke eldre systemer enn Mac OS X v10.4.
QuickDraw
CVE-ID: CVE-2006-1453, CVE-2006-1454
Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Visning av ondsinnet utformede PICT-bilder kan føre til utføring av vilkårlig kode
Beskrivelse: To problemer påvirker QuickDraw når det behandler PICT-bilder. Feilformet fontinformasjon kan føre til en stabelbufferoverflyt, og feilformet bildeinformasjon kan føre til en heap-bufferoverflyt. Ved nøye å utforme et ondsinnet PICT-bilde, kan en angriper muligens forårsake utføring av vilkårlig kode når bildet vises. Oppdateringen løser problemet ved å utføre ytterligere validering av PICT-bilder. Takk til Mike Price hos McAfee AVERT Labs for å ha rapportert dette problemet.
QuickTime Streaming Server
CVE-ID: CVE-2006-1455
Tilgjengelig for: Mac OS X Server v10.3.9 og Mac OS X Server v10.4.6
Virkning: Et feilformet QuickTime-film kan forårsake at QuickTime Streaming Server krasjer
Beskrivelse: En QuickTime-film som har et manglende spor, kan forårsake en nullpeker-referanse, noe som får serverprosessen til å krasje. Dette fører til avbrudd i aktive klienttilkoblinger. Imidlertid startes serveren automatisk på nytt. Denne oppdateringen løser problemet ved å generere en feilmelding når feilformede filmer oppdages.
QuickTime Streaming Server
CVE-ID: CVE-2006-1456
Tilgjengelig for: Mac OS X Server v10.3.9 og Mac OS X Server v10.4.6
Virkning: Ondsinnede RTSP-forespørsler kan føre til krasj eller utføring av vilkårlig kode
Beskrivelse: Ved å nøye utforme en RTSP-forespørsel kan en angriper utløse en bufferoverflyt under meldingslogging. Dette kan føre til utføring av vilkårlig kode med rettighetene til QuickTime Streaming Server. Denne oppdateringen løser problemet ved å håndtere grenseforholdene riktig Takk til Mu Security-forskningsteamet for rapportering av dette problemet.
Ruby
CVE-ID: CVE-2005-2337
Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Ruby safe level-restriksjoner kan omgås
Beskrivelse: Skriptingspråket Ruby inneholder en mekanisme kalt «safe levels» som brukes til å begrense visse operasjoner. Denne mekanismen brukes vanligvis mest når man kjører privilegerte Ruby-programmer eller Ruby-nettverksprogrammer. Under visse omstendigheter kan en angriper muligens omgå begrensningene i slike programmer. Programmer som ikke er avhengige av «safe levels» påvirkes ikke Denne oppdateringen løser problemet ved å sørge for at «safe levels» ikke kan omgås.
Safari
CVE-ID: CVE-2006-1457
Tilgjengelig for: Mac OS X v10.4.6 og Mac OS X Server v10.4.6
Virkning: Besøk på ondsinnede nettsteder kan føre til filmanipulasjon eller utføring av vilkårlig kode
Beskrivelse: Når alternativet «Åpne "sikre" filer etter nedlasting» i Safari er aktivert, vil arkiver automatisk bli utvidet. Hvis arkivet inneholder en symbolsk kobling, kan målet for koblingen flyttes til brukerens skrivebord og startes. Denne oppdateringen løser problemet ved å ikke løse nedlastede symbolske koblinger. Dette problemet berører ikke eldre systemer enn Mac OS X v10.4.