Sprachen

Archived - Über den Sicherheitsinhalt von Security Update 2008-008 / Mac OS X v10.5.6

In diesem Dokument wird der Sicherheitsinhalt von Security Update 2008-008 / Mac OS X 10.5.6 beschrieben. Dieses kann über die Option Software-Aktualisierung oder von der Website Apple Downloads heruntergeladen und installiert werden.

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Programmkorrekturen oder Versionen verfügbar sind. Nähere Informationen zur Apple Produktsicherheit finden Sie auf der Website Produktsicherheit von Apple.

Informationen zum Apple Produktsicherheits-PGP-Schlüssel finden Sie hier: "So verwenden Sie den Apple Produktsicherheits-PGP-Schlüssel".

Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE IDs verwendet.

Informationen zu weiteren Security Updates finden Sie unter "Apple Security Updates".

Dieser Artikel wurde archiviert und wird von Apple nicht mehr aktualisiert.

Security Update 2008-008 / Mac OS X v10.5.6

  • ATS

    CVE-ID: CVE-2008-4236

    Verfügbar für: Mac OS X 10.5 bis 10.5.5, Mac OS X Server 10.5 bis 10.5.5

    Symptom: Das Anzeigen oder Laden einer PDF-Datei, die einen in böswilliger Absicht erstellten eingebetteten Zeichensatz enthält, kann zu "Denial of Service" führen

    Beschreibung: Bei der Bearbeitung von in PDF-Dateien eingebetteten Zeichensätzen durch den Apple Type Services Server tritt eine Endlosschleife auf. Das Anzeigen oder Laden einer PDF-Datei, die einen in böswilliger Absicht erstellten eingebetteten Zeichensatz enthält, kann zu "Denial of Service" führen. Dieses Update behebt das Problem, indem eine zusätzliche Überprüfung eingebetteter Zeichensätze durchgeführt wird. Systeme, die älter sind als Mac OS X v10.5, sind nicht von diesem Problem betroffen. Vielen Dank an Michael Samarin und Mikko Vihonen von Futurice Ltd. für die Meldung des Problems.

  • BOM

    CVE-ID: CVE-2008-4217

    Erhältlich für Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.5, Mac OS X Server 10.5 bis 10.5.5

    Symptom: Das Laden oder Anzeigen eines in böswilliger Absicht erstellten CPIO-Archivs führt zur Ausführung willkürlichen Codes oder zur unerwarteten Beendung des Programms

    Beschreibung: Bei der Bearbeitung von CPIO-Kopfzeilen durch BOM tritt ein Signedness-Problem auf, das zum Stapelpufferüberlauf führt. Das Laden oder Anzeigen eines in böswilliger Absicht erstellten CPIO-Archivs führt zur Ausführung willkürlichen Codes oder zur unerwarteten Beendung des Programms. Dieses Update behebt das Problem, indem eine zusätzliche Überprüfung von CPIO-Kopfzeilen durchgeführt wird. Dank an: Apple

  • CoreGraphics

    CVE-ID: CVE-2008-3623

    Erhältlich für Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.5, Mac OS X Server 10.5 bis 10.5.5

    Symptom: Das Anzeigen eines in böser Absicht erstellten Bildes kann zu einer unerwarteten Programmbeendigung oder zur Ausführung eines willkürlichen Codes führen.

    Beschreibung: Beim Verarbeiten von Farbräumen in CoreGraphics tritt ein Heap-Pufferüberlauf auf. Das Anzeigen eines in böser Absicht erstellten Bildes kann zu einer unerwarteten Programmbeendigung oder zur Ausführung willkürlichen Codes führen. Mit dieser Aktualisierung wird das Problem durch eine verbesserte Abgrenzungsüberprüfung behoben. Dank an: Apple.

  • CoreServices

    CVE-ID: CVE-2008-3170

    Erhältlich für Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.5, Mac OS X Server 10.5 bis 10.5.5

    Symptom: Der Besuch einer in bösartiger Absicht erstellten Website kann zur Offenlegung von Benutzerdaten führen

    Beschreibung: Safari gestattet Websites das Festlegen von Cookies für länderspezifische Top-Level-Domains, was Remote-Angreifern die Möglichkeit einräumen kann, einen Session-Fixation-Angriff durchzuführen und die Anmeldedaten eines Benutzers entführt (Hijacking). Mit diesem Update wird das Problem durch Ausführen einer zusätzlichen Validierung von Domain-Namen behoben. Wir danken Alexander Clauss von iCab.de für die Meldung dieses Problems.

  • CoreTypes

    CVE-ID: CVE-2008-4234

    Verfügbar für: Mac OS X 10.5 bis 10.5.5, Mac OS X Server 10.5 bis 10.5.5

    Symptom: Dem Versuch, unsicheren geladenen Inhalt zu öffnen, folgt keine Warnung

    Beschreibung: Mac OS X bietet die Download Validation-Funktionalität, um potenziell unsichere Dateien kenntlich zu machen. Programme wie Safari verwenden die Download Validation, um Benutzer vor dem Öffnen von Dateien, die als potenziell unsicher markiert sind, zu warnen. Diese Aktualisierung ergänzt die Liste potenziell unsicherer Typen. Sie ergänzt den Inhaltstyp für Dateien, die Ausführungs-Berechtigungen aber keine bestimmte Programmzuweisung haben. Diese Dateien sind potenziell unsicher, da diese in Terminal geöffnet werden und deren Inhalt als Befehle ausgeführt wird. Diese Dateien werden zwar nicht automatisch gestartet, ein manuelles Öffnen kann jedoch zur Ausführung von willkürlichem Code führen. Das Problem hat keine Auswirkung auf Systeme, die älter als Mac OS X 10.5 sind.

  • Flash Player-Plug-In

    CVE-2007-4324, CVE-2007-6243, CVE-2008-3873, CVE-2008-4401, CVE-2008-4503, CVE-2008-4818, CVE-2008-4819, CVE-2008-4820, CVE-2008-4821, CVE-2008-4822, CVE-2008-4823, CVE-2008-4824, CVE-2008-5361, CVE-2008-5362, CVE-2008-5363

    Erhältlich für Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.5, Mac OS X Server 10.5 bis 10.5.5

    Symptom: Mehrere Schwachstellen im Adobe Flash Player Plug-In

    Beschreibung: Im Adobe Flash Player Plug-In sind mehrere Schwachstellen vorhanden. Die bedenklichste Schwachstelle kann zur Ausführung willkürlichen Codes führen, wenn eine in bösartiger Absicht erstellte Website angezeigt wird. Dieses Update behebt das Problem durch Aktualisierung des Flash Player Plug-Ins auf Version 9.0.151.0. Weitere Informationen finden Sie auf der Adobe-Website unter http://www.adobe.com/support/security/bulletins/apsb08-20.html

  • Kernel

    CVE-ID: CVE-2008-4218

    Verfügbar für: Mac OS X 10.5 bis 10.5.5, Mac OS X Server 10.5 bis 10.5.5

    Symptom: Lokale Benutzer könnten System-Zugriffsrechte erhalten

    Beschreibung: In den Systemaufrufen i386_set_ldt and i386_get_ldt tritt ein Ganzzahlüberlauf auf, wodurch lokale Benutzer willkürlichen Code mit System-Zugriffsrechten ausführen können. Mit dieser Aktualisierung werden die Probleme durch verbesserte Abgrenzungsüberprüfungen behoben. PowerPC-Systeme sind von diesem Problem nicht betroffen. Wir danken Richard Vaneeden von IOActive, Inc. für die Meldung dieser Probleme.

  • Kernel

    CVE-ID: CVE-2008-4219

    Verfügbar für: Mac OS X 10.5 bis 10.5.5, Mac OS X Server 10.5 bis 10.5.5

    Symptom: Das Ausführen einer ausführbaren Datei, die Dynamic Librarys auf eine NFS-Freigabe verlinkt, kann zu einem unerwarteten Herunterfahren des Systems führen

    Beschreibung: Wenn bei einem Programm, das sich auf einer NFS-Freigabe befindet, eine Ausnahme verursacht wird, kann eine Endlosschleife auftreten. Daraufhin wird möglicherweise das System unerwartet heruntergefahren. Das vorliegende Update löst dieses Problem durch eine verbesserte Ausnahmebehandlung. Wir danken Ben Loer von der Princeton University für die Meldung des Problems.

  • Libsystem

    CVE-ID: CVE-2008-4220

    Erhältlich für Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.5, Mac OS X Server 10.5 bis 10.5.5

    Symptom: Programme, die das inet_net_pton-API verwenden, können anfällig für die Ausführung willkürlichen Codes oder die unerwartete Beendung des Programms sein

    Beschreibung: In dem inet_net_pton-API von Libsystem tritt ein Ganzzahlüberlauf auf, der zur Ausführung willkürlichen Codes oder zur unerwarteten Beendung des Programms mithilfe des API führen kann. Mit dieser Aktualisierung wird das Problem durch eine verbesserte Abgrenzungsüberprüfung behoben. Dieses API wird normalerweise nicht mit nicht vertrauenswürdigen Daten aufgerufen, ferner sind keine verwertbaren Fälle zu diesem Problem bekannt. Diese Aktualisierung soll zur Verminderung potenzieller Angriffe gegen Programme beitragen, die dieses API verwenden.

  • Libsystem

    CVE-ID: CVE-2008-4221

    Erhältlich für Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.5, Mac OS X Server 10.5 bis 10.5.5

    Symptom: Programme, die das strptime-API verwenden, können anfällig für die Ausführung willkürlichen Codes oder die unerwartete Beendung des Programms sein

    Beschreibung: In der strptime-API von Libsystem kann es zu einem Problem mit der Speicherauslastung kommen. Die Syntaxanalyse eines in bösartiger Absicht erstellten Datenstrings kann zur Ausführung willkürlichen Codes oder zur unerwarteten Beendung des Programms führen. Mit dieser Aktualisierung wird das Problem durch eine verbesserte Speicherzuweisung behoben. Dank an: Apple

  • Libsystem

    CVE-ID: CVE-2008-1391

    Erhältlich für Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.5, Mac OS X Server 10.5 bis 10.5.5

    Symptom: Programme, die das strfmon-API verwenden, können anfällig für die Ausführung willkürlichen Codes oder die unerwartete Beendung des Programms sein

    Beschreibung: In der strfmon-Implementierung von Libsystem treten mehrere Ganzzahlüberläufe auf. Ein Programm, das strfmon mit hohen Werten bestimmter Ganzzahlbereiche im Formatstring-Argument aufruft, kann unerwartet beendet werden oder kann zur Ausführung willkürlichen Codes führen. Mit dieser Aktualisierung werden die Probleme durch verbesserte Abgrenzungsüberprüfungen behoben.

  • Verwalteter Client

    CVE-ID: CVE-2008-4237

    Verfügbar für: Mac OS X 10.5 bis 10.5.5, Mac OS X Server 10.5 bis 10.5.5

    Symptom: Die verwalteten Bildschirmschoner-Einstellungen werden nicht angewendet

    Beschreibung: Die Methode, mit der die Software Host-spezifische Konfigurationsinformationen auf einem Managed Client-System installiert, erkennt das System nicht immer korrekt. Auf einem falsch erkannten System werden Host-spezifische Einstellungen nicht angewendet, einschließlich des Bildschirmschoner-Schutzes. Mit dieser Aktualisierung wird das Probleme durch die Verwendung der korrekten Systemerkennung durch den Managed Client behoben. Systeme mit integriertem Ethernet sind von diesem Problem nicht betroffen. Wir danken John Barnes von ESRI und Trevor Lalish-Menagh von Tamman Technologies, Inc. für die Meldung des Problems.

  • network_cmds

    CVE-ID: CVE-2008-4222

    Erhältlich für Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.5, Mac OS X Server 10.5 bis 10.5.5

    Symptom: Ein Remote-Angreifer kann "Denial of Service" verursachen, wenn "Internet-Sharing" aktiviert ist

    Beschreibung: Bei der Bearbeitung von in TCP-Paketen in NATD tritt eine Endlosschleife auf. Durch das Senden eines in bösartiger Absicht erstellten TCP-Pakets kann ein Remote-Angreifer "Denial of Service" verursachen, wenn "Internet-Sharing" aktiviert ist. Diese Aktualisierung behebt das Problem, indem eine zusätzliche Validierung von TCP-Paketen durchgeführt wird. Wir danken Alex Rosenberg von Ohmantics und Gary Teter von Paizo Publishing für die Meldung des Problems.

  • Podcast-Produzent

    CVE-ID: CVE-2008-4223

    Verfügbar für: Mac OS X Server 10.5 bis 10.5.5

    Symptom: Ein Remote-Angreifer kann unter Umständen auf die administrativen Funktionen von "Podcast-Produzent" zugreifen

    Beschreibung: Im Server des Podcast-Produzenten besteht das Problem einer Identifizierungsumgehung, wodurch ein nicht autorisierter Benutzer Zugriff auf die administrativen Funktionen in dem Server erlangen kann. Diese Aktualisierung löst dieses Problem durch die verbesserte Handhabung von Zugriffsbeschränkungen. Podcast-Produzent wurde in Mac OS X Server v10.5 eingeführt.

  • UDF

    CVE-ID: CVE-2008-4224

    Erhältlich für Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.5, Mac OS X Server 10.5 bis 10.5.5

    Symptom: Das Öffnen einer ISO-Datei kann zum unerwarteten Herunterfahren des Systems führen

    Beschreibung: Beim Verarbeiten von fehlerhaft formatierten UDF-Volumes tritt ein Eingabevalidierungsproblem auf. Das Öffnen einer in bösartiger Absicht erstellten ISO-Datei kann zum unerwarteten Herunterfahren des Systems führen. Mit dieser Aktualisierung wird das Problem durch eine verbesserte Eingabevalidierung behoben. Wir danken Mauro Notarianni von PCAX Solutions für die Meldung des Problems.

Wichtig: Der Hinweis auf Websites und Produkte Dritter dient ausschließlich informativen Zwecken und ist weder als Billigung noch als Empfehlung zu verstehen Apple übernimmt keine Verantwortung in Bezug auf die Auswahl, Leistung oder Verwendung von Informationen oder Produkten, die auf Websites Dritter angeboten werden. Apple stellt seinen Kunden diese Informationen nur als Serviceleistung zur Verfügung. Apple hat die Informationen, die auf diesen Sites angeboten werden, nicht geprüft und macht keine Angaben in Bezug auf deren Korrektheit und Zuverlässigkeit. Die Verwendung aller Informationen und Produkte, die im Internet angeboten werden, unterliegt bestimmten Risiken; Apple übernimmt diesbezüglich keine Verantwortung. Bitte haben Sie Verständnis dafür, dass Websites Dritter von Apple unabhängig sind und dass Apple keine Kontrolle über den Inhalt dieser Websites hat. Für weitere Informationen wenden Sie sich bitte an den Hersteller.

Zuletzt geändert: 11.11.2011
Hilfreich?
Ja
Nein
  • Last Modified: 11.11.2011
  • Article: HT3338
  • Views:

    376

Zusätzliche Supportinformationen zum Produkt