Tietoja turvallisuuspäivityksestä 2008-005

  • Viimeksi muutettu: 15 elokuu, 2008
  • Artikkeli: HT2647

Yhteenveto

Tämä asiakirja käsittelee turvallisuuspäivitystä 2008-005, jonka voi ladata ja asentaa osoitteesta Ohjelmiston päivitysasetuksista tai osoitteesta Apple-lataukset.

Suojellakseen asiakkaitaan Apple ei paljasta tai anna tietoja tietoturvaongelmista tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustolla.

Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa "Miten käytetään Applen tuoteturvallisuuden PGP-avainta".

CVE ID -tunnuksia käytetään mahdollisuuksien mukaan viitteinä haavoittuvuuksien lisätietoihin.

Tietoja muista turvallisuuspäivityksistä on artikkelissa "Applen turvallisuuspäivitykset".

Tuotteet, joita asia koskee

Mac OS X Server 10.4, Tuoteturvallisuus, Mac OS X Server 10.5, Mac OS X 10.5.4, Mac OS X 10.4.11

Turvallisuuspäivitys 2008-005

  • Open Scripting -arkkitehtuuri

    CVE-ID: CVE-2008-2830

    Saatavilla käyttöjärjestelmiin Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4, Mac OS X Server v10.5.4

    Vaikutus: paikallinen käyttäjä voi suorittaa komentoja entistä laajemmilla oikeuksilla

    Kuvaus: Open Scripting -arkkitehtuurikirjastoissa on suunnitteluongelma, joka esiintyy määritettäessä sitä, ladataanko skriptilaajennuspluginit sovelluksiin, jotka toimivat laajoilla oikeuksilla. Kun skriptilaajennuskomentoja lähetetään etuoikeutettuun sovellukseen, kyseisten etuoikeuksien avulla voi olla mahdollista suorittaa mielivaltainen koodi. Tämä päivitys korjaa ongelman niin, että skriptilaajennusplugineja ei ladata sovelluksiin, jotka toimivat järjestelmäoikeuksilla. Tämä päivitys koskee ARDAgent- ja SecurityAgent-ongelmia, Kiitos Charles Srstkalle tämän ongelman ilmoittamisesta.

  • BIND

    CVE-ID: CVE-2008-1447

    Saatavilla käyttöjärjestelmiin Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4, Mac OS X Server v10.5.4

    Vaikutus: BIND epäilee DNS-välimuistin saastumista ja saattaa palauttaa väärennettyjä tietoja

    Kuvaus: Berkeley Internet Name Domain (BIND) -palvelinvaihtoehto toimitetaan Mac OS X -käyttöjärjestelmän mukana, eikä se ole käytössä oletusarvoisesti. Kun BIND-palvelin on käytössä, se tuottaa isäntänimien ja IP-osoitteiden välisiä käännöksiä. DNS-protokolla-aukon kautta etähyökkääjät saattavat päästä saastuttamaan DNS-välimuistia. Siinä tapauksessa DNS:n BIND-palvelinta käyttävät järjestelmät saattavat vastaanottaa väärennettyjä tietoja. Tämä päivitys tarttuu ongelmaan satunnaistamalla lähdeportteja, mikä auttaa vastustamaan välimuistin saastutushyökkäyksiä. Mac OS X v10.4.11 -järjestelmissä BIND päivitetään versioon 9.3.5-P1. Mac OS X v10.5.4 -järjestelmissä BIND päivitetään versioon 9.4.2-P1. Kiitos IOActiven Dan Kaminskylle tämän ongelman ilmoittamisesta.

  • CarbonCore

    CVE-ID: CVE-2008-2320

    Saatavilla käyttöjärjestelmiin Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4, Mac OS X Server v10.5.4

    Vaikutus: Pitkien tiedostonimien käsittely saattaa johtaa sovelluksen odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suoritukseen.

    Kuvaus: Pitkien tiedostonimien käsittelyssä esiintyy kekopuskurin ylivuoto. Pitkien tiedostonimien käsittely voi johtaa sovelluksen odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suoritukseen. Tämä päivitys korjaa ongelman rajojen parannetun tarkastuksen avulla. Kiitos Thomas Raffetsederille (International Secure Systems Lab) ja Sergio 'shadown' Alvarezille (n.runs AG) tämän ongelman ilmoittamisesta.

  • CoreGraphics

    CVE-ID: CVE-2008-2321

    Saatavilla käyttöjärjestelmiin Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4, Mac OS X Server v10.5.4

    Vaikutus: Haitallisen verkkosivuston selaaminen saattaa aiheuttaa sovelluksen odottamattoman lopettamisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: CoreGraphicsin argumenttien käsittelyssä esiintyy muistin korruptoitumiseen liittyviä ongelmia. Kun CoreGraphicsiin välitetään epäilyttävää sisältöä esimerkiksi verkkoselaimen kautta, lopputuloksena voi olla sovelluksen odottamaton lopettaminen tai mielivaltaisen koodin suorittaminen. Tämä päivitys korjaa ongelman rajojen parannetun tarkastuksen avulla. Kiitos Googlen Michal Zalewskille tämän ongelman ilmoittamisesta.

  • CoreGraphics

    CVE-ID: CVE-2008-2322

    Saatavilla käyttöjärjestelmiin Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4, Mac OS X Server v10.5.4

    Vaikutus: Haitallisen PDF-tiedoston tarkasteleminen voi johtaa sovelluksen odottamattomaan sulkeutumiseen tai mielivaltaiseen koodin suoritukseen

    Kuvaus: Kokonaisluvun ylivuoto PDF-tiedostoja käsiteltäessä voi johtaa kekopuskurin ylivuotoon. Haitallisen PDF-tiedoston katsominen voi johtaa sovelluksen odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suoritukseen. Tämä päivitys korjaa ongelman suorittamalla ylimääräisen PDF-tiedostojen tarkistuksen. Kiitos Pariente Kobille (iDefense VCP) tämän ongelman ilmoittamisesta.

  • Data Detectors Engine

    CVE-ID: CVE-2008-2323

    Saatavilla käyttöjärjestelmiin Mac OS X v10.5.4, Mac OS X Server v10.5.4

    Vaikutus: Haitallisten viestien katselu Data Detectors -elementtien avulla voi johtaa sovelluksen odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suoritukseen.

    Kuvaus: Data Detectors -elementtien avulla poimitaan viitetietoja tekstisisällöstä tai arkistoista. Data Detectors -elementtien tekstisisällön käsittelyssä esiintyy resurssien käyttöön liittyvä ongelma. Haitallisen sisällön tarkasteleminen Data Detectors -toimintoa käyttävässä sovelluksessa voi aiheuttaa palvelukiellon, mutta ei satunnaisen koodin suoritusta. Tämä ongelma ei vaikuta Mac OS X v10.5 -käyttöjärjestelmää vanhempiin järjestelmiin.

  • Levytyökalu

    CVE-ID: CVE-2008-2324

    Saatavilla käyttöjärjestelmiin Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Vaikutus: Paikallinen käyttäjä voi hankkia järjestelmäoikeudet

    Kuvaus: Levytyökalun Korjaa oikeudet -työkalu tuottaa kohteen /usr/bin/emacs setuid. Korjaa oikeudet -työkalun suorittamisen jälkeen paikallinen käyttäjä voi suorittaa komentoja järjestelmäoikeuksilla käyttämällä emacs-elementtejä. Tämä päivitys muuttaa Korjaa oikeudet -työkalun emac-elementteihin sovellettavat käyttöoikeudet asianmukaisiksi. Ongelma ei vaikuta Mac OS X v10.5 -käyttöjärjestelmää vanhempiin järjestelmiin. Kiitos Anton Rangille ja Brian Timaresille tämän ongelman ilmoittamisesta.

  • OpenLDAP

    CVE-ID: CVE-2008-2952

    Saatavilla käyttöjärjestelmiin Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4, Mac OS X Server v10.5.4

    Vaikutus: Etähyökkääjä voi aiheuttaa sovelluksen odottamattoman sulkeutumisen.

    Kuvaus: OpenLDAPin ASN.1 BER -dekoodauksessa on ongelma. Haitallisen LDAP-sanoman käsittely voi käynnistää varmennuksen ja johtaa OpenLDAP-daemon (slapd)-ohjelman odottamattomaan lopettamiseen. Tämä päivitys ratkaisee ongelman LDAP-viestien lisävarmistuksen avulla.

  • OpenSSL

    CVE-ID: CVE-2007-5135

    Saatavilla käyttöjärjestelmiin Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4, Mac OS X Server v10.5.4

    Vaikutus: Etähyökkääjä voi saada aikaan sovelluksen odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: OpenSSL:n SSL_get_shared_ciphers() -apuohjelmatoiminnossa on alueen tarkistukseen liittyvä ongelma. Kun tätä toimintoa käyttävässä sovelluksessa käsitellään haitallisia paketteja, tuloksena voi olla sovelluksen odottamaton sulkeutuminen tai mielivaltaisen koodin suorittaminen. Tämä päivitys korjaa ongelman parannettujen reunatarkastusten avulla.

  • PHP

    CVE-ID: CVE-2007-2051, CVE-2008-2050, CVE-2008-4850, CVE-2008-0599, CVE-2008-0674

    Saatavilla käyttöjärjestelmiin Mac OS X v10.5.4, Mac OS X Server v10.5.4

    Vaikutus: Useita haavoittuvuuksia PHP 5.2.5:ssä.

    Kuvaus: PHP on päivitetty versioon 5.2.6 useiden haavoittuvuuksien korjaamiseksi, joista vakavin on koodin mielivaltainen suoritus. Lisätietoja on PHP:n sivustossa http://www.php.net/. PHP-versio 5.2.x toimitetaan vain Mac OS X v10.5 -järjestelmien mukana.

  • QuickLook

    CVE-ID: CVE-2008-2325

    Saatavilla käyttöjärjestelmiin Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4, Mac OS X Server v10.5.4

    Vaikutus: Haitallisen Microsoft Office -tiedoston lataaminen voi johtaa sovelluksen odottamattomaan sulkeutumiseen tai mielivaltaiseen koodin suoritukseen.

    Kuvaus: QuickLookin Microsoft Office -tiedostojen käsittelyssä on useita muistin korruptoitumiseen liittyviä ongelmia. Haitallisen Microsoft Office -tiedoston lataaminen voi johtaa sovelluksen odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suoritukseen. Tämä päivitys korjaa ongelman rajojen parannetun tarkastuksen avulla. Tämä ongelma ei vaikuta Mac OS X v10.5 -käyttöjärjestelmää vanhempiin järjestelmiin.

  • rsync

    CVE-ID: CVE-2008-2326

    Saatavilla käyttöjärjestelmiin Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4, Mac OS X Server v10.5.4

    Vaikutus: moduulin juuren ulkopuolella olevia tiedostoja voidaan etäkäyttää tai ne voidaan etäkorvata.

    Kuvaus: Polunvarmistusongelmia ilmenee, kun rsync käsittelee symbolisia linkkejä daemon-tilassa. Kun symbolisia linkkejä sijoitetaan rsync-moduuliin, moduulin juuren ulkopuolella olevia tiedostoja voidaan käyttää tai ne voidaan korvata. Tämä päivitys korjaa ongelman entistä paremmalla symbolisten linkkien käsittelyllä. Lisätietoja korjauksista on rsync-sivustossa http://rsync.samba.org/

Lisätietoja

Tärkeää: Kolmansien osapuolien Web-sivustoja ja tuotteita koskevat tiedot on tarkoitettu vain tiedoksi. Apple ei suosittele tai tue kyseisiä kolmansia osapuolia, Web-sivustoja tai tuotteita. Apple ei vastaa kolmansien osapuolien Web-sivustojen sisältämistä tiedoista tai tuotteista eikä niiden toiminnallisuudesta tai käytöstä. Apple tarjoaa ne vain käyttäjiensä mukavuutta ajatellen. Apple ei ole testannut sivustojen sisältämiä tietoja eikä anna mitään takuita tietojen oikeellisuudesta tai luotettavuudesta. Kaikkien Internetissä olevien tietojen ja tuotteiden käyttöön liittyy riskejä, eikä Apple vastaa niistä. Käyttäjän tulisi ymmärtää, että kolmansien osapuolten sivustot ovat Applesta riippumattomia, eikä Apple voi valvoa niiden sisältöä. Pyydä kolmannelta osapuolelta lisätietoja.

Not helpful Somewhat helpful Helpful Very helpful Solved my problem