Informazioni sul contenuto dell'aggiornamento di sicurezza 2008-008 / Mac OS X v10.5.6

  • Ultima modifica: 15 maggio, 2009
  • Articolo: HT3338

Riepilogo

Questo documento descrive l'aggiornamento di sicurezza 2008-008 / Mac OS X v10.5.6 che puoi scaricare e installare dalle preferenze di Aggiornamento Software o tramite Download Apple.

Per proteggere i propri clienti, Apple non divulga, discute o conferma alcun problema relativo alla sicurezza finché non è stata eseguita un'indagine approfondita e non sono disponibili le necessarie correzioni o aggiornamenti della versione. Per ulteriori informazioni sulla sicurezza dei prodotti Apple, accedi al sito web Aggiornamenti di sicurezza Apple.

Per informazioni sulla chiave PGP per la sicurezza dei prodotti Apple, vedi "How to use the Apple Product Security PGP Key" (Come utilizzare la chiave PGP per la sicurezza dei prodotti Apple).

Ove possibile, vengono usati gli ID CVE per ulteriori informazioni relative alle vulnerabilità.

Per conoscere gli altri aggiornamenti relativi alla sicurezza, vedi "Aggiornamenti di sicurezza Apple".

Prodotti interessati

Sicurezza dei prodotti, Mac OS X 10.5

Aggiornamento di sicurezza 2008-008 / Mac OS X v10.5.6

  • ATS

    CVE-ID: CVE-2008-4236

    Disponibile per: Mac OS X da v10.5 a v10.5.5, Mac OS X Server da v10.5 a v10.5.5

    Impatto: la visualizzazione o il download di un file PDF contenente un font incorporato pericoloso può causare un attacco di tipo Denial of Service

    Descrizione: può verificarsi un loop infinito nella gestione dei font integrati nei file PDF da parte del server dei servizi ATS (Apple Type Services). La visualizzazione o il download di un file PDF contenente un font incorporato pericoloso può causare un attacco di tipo Denial of Service. Questo aggiornamento risolve il problema eseguendo un'ulteriore convalida dei font incorporati. Questo problema non riguarda i sistemi precedenti a Mac OS X v10.5. Ringraziamo Michael Samarin e Mikko Vihonen di Futurice Ltd. per aver segnalato il problema.

  • BOM

    CVE-ID: CVE-2008-4217

    Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X da v10.5 a v10.5.5, Mac OS X Server da v10.5 a v10.5.5

    Impatto: il download o la visualizzazione di un archivio CPIO pericoloso può determinare l'esecuzione di codice arbitrario o la chiusura imprevista delle applicazioni

    Descrizione: esiste un problema di signedness nella gestione BOM delle intestazioni CPIO che può determinare un overflow del buffer di stack. Il download o la visualizzazione di un archivio CPIO pericoloso può determinare l'esecuzione di codice arbitrario o la chiusura imprevista delle applicazioni. Questo aggiornamento risolve il problema eseguendo un'ulteriore convalida delle intestazioni CPIO. Si ringrazia: Apple.

  • CoreGraphics

    CVE-ID: CVE-2008-3623

    Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X da v10.5 a v10.5.5, Mac OS X Server da v10.5 a v10.5.5

    Impatto: l'apertura di un'immagine pericolosa può causare il blocco inatteso delle applicazioni o l'esecuzione di codice arbitrario

    Descrizione: overflow del buffer di heap nella gestione degli spazi colore in CoreGraphics. L'apertura di un'immagine pericolosa può causare la chiusura imprevista applicazioni o l'esecuzione di codice arbitrario. Questo aggiornamento risolve il problema migliorando il controllo dei limiti. Si ringrazia: Apple.

  • CoreServices

    CVE-ID: CVE-2008-3170

    Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X da v10.5 a v10.5.5, Mac OS X Server da v10.5 a v10.5.5

    Impatto: la visita di un sito web pericoloso può comportare la divulgazione delle credenziali utente

    Descrizione: Safari consente ai siti Web di impostare cookie per domini di primo livello specifici per Paese. Ciò potrebbe permettere a un malintenzionato collegato in remoto di eseguire un attacco di tipo session fixation e di carpire le credenziali dell'utente. Questo aggiornamento risolve il problema eseguendo un'ulteriore convalida dei nomi di dominio. Ringraziamo Alexander Clauss di iCab.de per aver segnalato il problema.

  • CoreTypes

    CVE-ID: CVE-2008-4234

    Disponibile per: Mac OS X da v10.5 a v10.5.5, Mac OS X Server da v10.5 a v10.5.5

    Impatto: quando si tenta di avviare contenuti scaricati non sicuri è possibile che non venga visualizzato un avviso

    Descrizione: Mac OS X fornisce la funzionalità di convalida dei download per segnalare i file potenzialmente non sicuri. La convalida dei download viene utilizzata da applicazioni come Safari e altre per avvisare l'utente prima dell'avvio dei file contrassegnati come potenzialmente non sicuri. Questo aggiornamento integra l'elenco dei tipi di file potenzialmente non sicuri. Aggiunge il tipo di contenuto per i file eseguibili non associati a una specifica applicazione. Questi file sono potenzialmente non sicuri in quanto vengono avviati in Terminale e il relativo contenuto viene eseguito sotto forma di comandi. Benché questi file non vengano avviati automaticamente, se vengono aperti manualmente possono comportare l'esecuzione di codice arbitrario. Il problema non interessa i sistemi precedenti Mac OS X v10.5.

  • Plug-in Flash Player

    CVE-2007-4324, CVE-2007-6243, CVE-2008-3873, CVE-2008-4401, CVE-2008-4503, CVE-2008-4818, CVE-2008-4819, CVE-2008-4820, CVE-2008-4821, CVE-2008-4822, CVE-2008-4823, CVE-2008-4824, CVE-2008-5361, CVE-2008-5362, CVE-2008-5363

    Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X da v10.5 a v10.5.5, Mac OS X Server da v10.5 a v10.5.5

    Impatto: diverse vulnerabilità nel plug-in Adobe Flash Player

    Descrizione: si verificano diversi problemi con il plug-in Adobe Flash Player, il più grave dei quali può causare l'esecuzione di codice arbitrario durante la visualizzazione di un sito Web pericoloso. Questi problemi vengono risolti con l'aggiornamento del plug-in Flash Player alla versione 9.0.151.0. Per ulteriori informazioni, visita il sito Web Adobe all'indirizzo http://www.adobe.com/support/security/bulletins/apsb08-20.html

  • Kernel

    CVE-ID: CVE-2008-4218

    Disponibile per: Mac OS X da v10.5 a v10.5.5, Mac OS X Server da v10.5 a v10.5.5

    Impatto: un utente locale può ottenere privilegi di sistema

    Descrizione: si verificano problemi di integer overflow nelle chiamate di sistema i386_set_ldt e i386_get_ldt, che possono consentire a un utente locale di eseguire codice arbitrario con privilegi di sistema. Questo aggiornamento risolve il problema migliorando il controllo dei limiti. Questi problemi non interessano i sistemi PowerPC. Ringraziamo Richard Vaneeden di IOActive, Inc. per aver segnalato questi problemi.

  • Kernel

    CVE-ID: CVE-2008-4219

    Disponibile per: Mac OS X da v10.5 a v10.5.5, Mac OS X Server da v10.5 a v10.5.5

    Impatto: l'avvio di un eseguibile che collega librerie dinamiche su una condivisione NFS può provocare l'arresto imprevisto del sistema

    Descrizione: può verificarsi un loop infinito quando un programma presente in una condivisione NFS riceve un'eccezione. Ciò potrebbe causare l'arresto imprevisto del sistema. Questo aggiornamento risolve il problema migliorando la gestione delle eccezioni. Ringraziamo Ben Loer della Princeton University per aver segnalato il problema.

  • Libsystem

    CVE-ID: CVE-2008-4220

    Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X da v10.5 a v10.5.5, Mac OS X Server da v10.5 a v10.5.5

    Impatto: le applicazioni che utilizzano l'API inet_net_pton possono essere esposte all'esecuzione di codice arbitrario o alla chiusura imprevista delle applicazioni

    Descrizione: esiste un integer overflow nell'API inet_net_pton di Libsystem, che può provocare l'esecuzione di codice arbitrario o la chiusura imprevista dell'applicazione che utilizza l'API. Questo aggiornamento risolve il problema migliorando il controllo dei limiti. Questa API non viene normalmente richiamata con dati non attendibili e non vi sono casi noti di sfruttamento di questo problema. Questo aggiornamento viene fornito allo scopo di attenuare i possibili attacchi alle applicazioni che utilizzano questa API.

  • Libsystem

    CVE-ID: CVE-2008-4221

    Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X da v10.5 a v10.5.5, Mac OS X Server da v10.5 a v10.5.5

    Impatto: le applicazioni che utilizzano l'API strptime possono essere esposte all'esecuzione di codice arbitrario o alla chiusura imprevista delle applicazioni

    Descrizione: esiste un problema di danneggiamento della memoria nell'API strptime di Libsystem. L'analisi di una stringa data pericolosa può determinare l'esecuzione di codice arbitrario o la chiusura imprevista delle applicazioni. Questo aggiornamento risolve il problema migliorando l'allocazione della memoria. Si ringrazia: Apple.

  • Libsystem

    CVE-ID: CVE-2008-1391

    Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X da v10.5 a v10.5.5, Mac OS X Server da v10.5 a v10.5.5

    Impatto: le applicazioni che utilizzano l'API strfmon possono essere esposte alla chiusura imprevista o all'esecuzione di codice arbitrario

    Descrizione: esistono più integer overflow nell'implementazione strfmon di Libsystem. Un'applicazione che richiama strfmon con grandi valori di determinati campi integer nell'argomento stringa formato può chiudersi in modo imprevisto o determinare l'esecuzione di codice arbitrario. Questo aggiornamento risolve il problema migliorando il controllo dei limiti.

  • Client gestito

    CVE-ID: CVE-2008-4237

    Disponibile per: Mac OS X da v10.5 a v10.5.5, Mac OS X Server da v10.5 a v10.5.5

    Impatto: le impostazioni gestite del salvaschermo non vengono applicate

    Descrizione: il metodo utilizzato dal software in un sistema client gestito per installare le informazioni di configurazione specifiche dell'host non sempre identifica correttamente il sistema. In un sistema non identificato correttamente, le impostazioni specifiche dell'host non vengono applicate, compreso il blocco del salvaschermo. Questo aggiornamento risolve il problema facendo in modo che il client gestito utilizzi l'identificazione di sistema corretta. Questo problema non interessa i sistemi con Ethernet integrato. Ringraziamo John Barnes di ESRI e Trevor Lalish-Menagh di Tamman Technologies, Inc. per aver segnalato il problema.

  • network_cmds

    CVE-ID: CVE-2008-4222

    Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X da v10.5 a v10.5.5, Mac OS X Server da v10.5 a v10.5.5

    Impatto: un malintenzionato collegato in remoto potrebbe essere in grado di causare un attacco denial of service se Condivisione Internet è attiva

    Descrizione: può verificarsi un loop infinito nella gestione dei pacchetti TCP in natd. Inviando un pacchetto TCP pericoloso, un malintenzionato collegato in remoto potrebbe essere in grado di causare un attacco denial of service se Condivisione Internet è attiva. Questo aggiornamento risolve il problema eseguendo un'ulteriore convalida dei pacchetti TCP. Ringraziamo Alex Rosenberg di Ohmantics e Gary Teter di Paizo Publishing per aver segnalato il problema.

  • Podcast Producer

    CVE-ID: CVE-2008-4223

    Disponibile per: Mac OS X Server da v10.5 a v10.5.5

    Impatto: un malintenzionato collegato in remoto potrebbe essere in grado di accedere alle funzioni amministrative di Podcast Producer

    Descrizione: esiste un problema di bypass dell'autenticazione nel server Podcast Producer che potrebbe permettere a un utente non autorizzato di accedere alle funzioni amministrative nel server. Questo aggiornamento risolve il problema migliorando la gestione delle limitazioni di accesso. Podcast Producer è stato introdotto in Mac OS X Server v10.5.

  • UDF

    CVE-ID: CVE-2008-4224

    Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X da v10.5 a v10.5.5, Mac OS X Server da v10.5 a v10.5.5

    Impatto: l'apertura di un file ISO può determinare l'arresto imprevisto del sistema

    Descrizione: esiste un problema di convalida dell'input nella gestione dei volumi UDF non corretti. L'apertura di un file ISO pericoloso può causare l'arresto imprevisto del sistema. Questo aggiornamento risolve il problema migliorando la convalida dell'input. Ringraziamo Mauro Notarianni di PCAX Solutions per aver segnalato il problema.

Important: Mention of third-party websites and products is for informational purposes only and constitutes neither an endorsement nor a recommendation. Apple assumes no responsibility with regard to the selection, performance or use of information or products found at third-party websites. Apple provides this only as a convenience to our users. Apple has not tested the information found on these sites and makes no representations regarding its accuracy or reliability. There are risks inherent in the use of any information or products found on the Internet, and Apple assumes no responsibility in this regard. Please understand that a third-party site is independent from Apple and that Apple has no control over the content on that website. Please contact the vendor for additional information.

Not helpful Somewhat helpful Helpful Very helpful Solved my problem