Om Sikkerhedsopdatering 2008-005

  • Dato for seneste ændring: 15 august, 2008
  • Artikel: HT2647

Oversigt

Dette dokument beskriver Sikkerhedsopdatering 2008-005, som kan hentes og installeres via Softwareopdatering indstillingerne, eller fra Apple Downloads .

For at beskytte vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en fuldstændig undersøgelse har fundet sted, og relevante programrettelser eller versioner er tilgængelige. Hvis du vil læse mere om Apple Produktsikkerhed, kan du besøge webstedet Apple Produktsikkerhed.

Gå til "Sådan bruges PGP-nøglen til Apple Produktsikkerhed" for at få oplysninger om PGP-nøglen til Apple Produktsikkerhed.

Hvor det er muligt, anvendes CVE-ID'er til at angive sikkerhedshullerne for yderligere oplysninger.

Gå til "Apple Sikkerhedsopdateringer", hvis du vil læse om andre sikkerhedsopdateringer.

Berørte produkter

Mac OS X Server 10.4, Produktsikkerhed, Mac OS X Server 10.5, Mac OS X 10.5.4, Mac OS X 10.4.11

Sikkerhedsopdatering 2008-005

  • Open Scripting Architecture

    CVE-ID: CVE-2008-2830

    Tilgængelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4 og Mac OS X Server v10.5.4

    Virkning: En lokal bruger kan udføre kommandoer med højere rettigheder

    Beskrivelse: Der eksisterer et designproblem i Open Scripting Architecture-biblioteker, når det skal vurderes, om plugins, der ændrer scripting, skal indlæses i programmer med højere rettigheder. Afsendelse af kommandoer, der tilføjer scripting, til et privilegeret program kan føre til uventet programnedbrud eller vilkårlig kørsel af kode Denne opdatering behandler problemet ved ikke at indlæse plugins, der tilføjer scripting, i programmer med systemrettigheder. Denne opdatering behandler de nylig rapporterede problemer med ARDAgent og SecurityAgent. Tak til Charles Srstka, der har rapporteret dette problem.

  • BIND

    CVE-ID: CVE-2008-1447

    Tilgængelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4 og Mac OS X Server v10.5.4

    Virkning: BIND er modtagelig for uautoriseret ændring af DNS-cache og kan muligvis returnere falske oplysninger

    Beskrivelse: Berkeley Internet Name Domain-serveren (BIND) distribueres med Mac OS X, og er ikke aktiveret som standard. Når BIND-serveren aktiveres, oversætter den mellem hostnavne og IP-adresser. En svaghed i DNS-protokollen kan gøre det muligt for hackere at udføre angreb med uautoriseret ændring af DNS-cache. Dette medfører, at systemer, der anvender BIND-serveren til DNS, kan modtage falske oplysninger. Denne opdatering behandler dette problem ved at implementere tilfældige kildeporte, som forbedrer modstandsdygtigheden mod angreb med uautoriseret ændring af cachen. BIND er opdateret til version 9.3.5-P1 for Mac OS X v10.4.11-systemer. BIND er opdateret til version 9.4.2-P1 for Mac OS X v10.5.4-systemer. Tak til Dan Kaminsky fra IOActive, der rapporterede problemet.

  • CarbonCore

    CVE-ID: CVE-2008-2320

    Tilgængelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4 og Mac OS X Server v10.5.4

    Virkning: Behandling af lange filnavne kan føre til uventet programnedbrud eller vilkårlig kørsel af kode

    Beskrivelse: Der sker bufferoverløb under håndteringen af lange filnavne. Håndteringen af lange filnavne kan føre til uventet programnedbrud eller vilkårlig kørsel af kode. Denne opdatering løser problemet gennem forbedret kontrol af grænser. Tak til Thomas Raffetseder fra International Secure Systems Lab og Sergio 'shadown' Alvarez fra n.runs AG, der rapporterede dette problem.

  • CoreGraphics

    CVE-ID: CVE-2008-2321

    Tilgængelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4 og Mac OS X Server v10.5.4

    Virkning: Et besøg på et skadeligt websted kan føre til uventet programnedbrud eller afvikling af vilkårlig kode

    Beskrivelse: CoreGraphics indeholder problemer, der ødelægger hukommelsen ved behandling af argumenter. Videresendelse af input, der ikke er tillid til, til CoreGraphics via et program, f.eks. en webbrowser, kan medføre uventet lukning af programmer eller udførelse af tilfældig kode. Denne opdatering løser problemet gennem forbedret kontrol af grænser. Tak til Michal Zalewski fra Google, der rapporterede dette problem.

  • CoreGraphics

    CVE-ID: CVE-2008-2322

    Tilgængelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4 og Mac OS X Server v10.5.4

    Virkning: Visning af et skadeligt tilpasset PDF-arkiv kan føre til uventet programnedbrud eller vilkårlig kørsel af kode

    Beskrivelse: Et heltalsoverløb ved håndtering af PDF-arkiver kan medføre et stakbufferoverløb. Visning af et PDF-arkiv med skadelig software kan føre til uventet programnedbrud eller vilkårlig kørsel af kode. Denne opdatering korrigerer problemet ved at udføre yderligere validering af PDF-arkiver. Tak til Pariente Kobi, der arbejder sammen med iDefense VCP, som har rapporteret dette problem.

  • Data Detectors Engine

    CVE-ID: CVE-2008-2323

    Tilgængelig for: Mac OS X v10.5.4 og Mac OS X Server v10.5.4

    Virkning: Visning af ondsindede beskeder med Data Detectors kan føre til uventet programnedbrud

    Beskrivelse: Data Detectors anvendes til at udtrække referenceoplysninger fra tekstindhold eller arkiver. Der eksisterer et problem med ressourceforbrug i Data Detectors' håndtering af tekstindhold. Visning af ondsindet indhold i et program, der anvender Data Detectors, kan medføre denial of service, men ikke vilkårlig kørsel af kode. Dette problem påvirker ikke systemer før Mac OS X v10.5.

  • Diskværktøj

    CVE-ID: CVE-2008-2324

    Tilgængelig til: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Virkning: En lokal bruger kan opnå systemrettigheder.

    Beskrivelse: Værktøjet "Repair Permissions" i Diskværktøj fremkalder /usr/bin/emacs setuid. Efter kørsel af værktøjet Repair Permissions, kan en lokal bruger køre kommandoer med systemrettigheder med emacs. Denne opdatering behandler problemet ved at rette de tilladelser, der anvendes til emacs, i værktøjet Repair Permissions. Dette problem berører ikke systemer som kører Mac OS X v10.5 og nyere. Tak til Anton Rang og Brian Timares, der rapporterede problemet.

  • OpenLDAP

    CVE-ID: CVE-2008-2952

    Tilgængelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4 og Mac OS X Server v10.5.4

    Virkning: En ekstern angriber kan muligvis forårsage et uventet programnedbrud.

    Beskrivelse: Der eksisterer et problem i OpenLDAP's ASN.1 BER-afkodning. Behandling af ondsindede LDAP-meddelelser kan udløse en programfejl og føre til uventet programnedbrud for OpenLDAP daemon, slapd. Denne opdatering løser problemet ved at udføre yderligere validering af LDAP-meddelelser.

  • OpenSSL

    CVE-ID: CVE-2007-5135

    Tilgængelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4 og Mac OS X Server v10.5.4

    Virkning: Et fjernangreb kan forårsage uventet programnedbrud eller vilkårlig kørsel af kode

    Beskrivelse: Der eksisterer et problem med områdekontrol i hjælpefunktionen SSL_get_shared_ciphers() i OpenSSL. Hvis et program bruger denne funktion, kan behandling af ondsindede pakker forårsage uventet programnedbrud eller vilkårlig kørsel af kode. Denne opdatering korrigerer problemet gennem en forbedret kontrol af bindinger.

  • PHP

    CVE-ID: CVE-2007-2051, CVE-2008-2050, CVE-2008-4850, CVE-2008-0599, CVE-2008-0674

    Tilgængelig for: Mac OS X v10.5.4 og Mac OS X Server v10.5.4

    Virkning: Flere svagheder i PHP 5.2.5

    Beskrivelse: PHP opdateres til version 5.2.6 for at korrigere flere sårbarheder, hvoraf den alvorligste kan føre til vilkårlig afvikling af kode. Du finder yderligere oplysninger på PHP-webstedet på adressen http://www.php.net/ PHP version 5.2.x leveres kun i Mac OS X v10.5 systemer.

  • QuickLook

    CVE-ID: CVE-2008-2325

    Tilgængelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4 og Mac OS X Server v10.5.4

    Virkning: Hentning af et Microsoft Office-arkiv med skadelig software kan føre til uventet programnedbrud eller vilkårlig kørsel af kode

    Beskrivelse: Der findes flere problemer i QuickLooks håndtering af Microsoft Office-arkiver. Hentning af et Microsofts Office-arkiv med skadelig software kan føre til uventet programnedbrud eller vilkårlig kørsel af kode Denne opdatering løser problemet gennem forbedret kontrol af grænser. Dette problem påvirker ikke systemer før Mac OS X v10.5.

  • rsync

    CVE-ID: CVE-2008-2326

    Tilgængelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4 og Mac OS X Server v10.5.4

    Virkning: Arkiver uden for modulets rod kan åbnes og overskrives via fjernadgang

    Beskrivelse: Der eksisterer problemer med validering af stier i rsyncs håndtering af symbolske links ved kørsel i daemontilstand. Placering af symbolske links i et rsync-modul kan gøre det muligt at få adgang til eller overskrive arkiver uden for modulets rod. Denne opdatering løser problemet gennem en forbedret håndtering af symbolske links. Du finder yderligere oplysninger om anvendte programrettelser via rsync-webstedet på http://rsync.samba.org/

Yderligere oplysninger

Vigtigt! Oplysninger om tredjepartswebsteder og -produkter er kun til orientering og er ikke udtryk for hverken godkendelse eller anbefaling. Apple påtager sig ikke noget ansvar for udvalget af, ydeevnen på eller brugen af oplysninger eller produkter, der findes på tredjepartswebsteder. Apple inkluderer kun disse som en service til vores brugere. Apple har ikke afprøvet de oplysninger, der findes på disse websteder, og fremsætter ingen erklæringer angående deres nøjagtighed eller pålidelighed. Der er altid en risiko forbundet med at bruge oplysninger eller produkter, der findes på internettet, og Apple påtager sig intet ansvar i denne forbindelse. Tredjepartswebsteder er uafhængige af Apple, og Apple har ikke kontrol over indholdet på sådanne websteder. Kontakt venligst leverandøren for at få yderligere oplysninger.

Not helpful Somewhat helpful Helpful Very helpful Solved my problem