Om sikkerhetsinnholdet i Sikkerhetsoppdatering 2008-008 / Mac OS X v10.5.6

  • Sist endret: 12 mai, 2009
  • Artikkel: HT3338

Oppsummering

Dette dokumentet beskriver sikkerhetsinnholdet i Sikkerhetsoppdatering 2008-008 / Mac OS X v10.5.6, som kan lastes ned og installeres via innstillinger under Programvareoppdatering eller fra Apple-nedlastinger.

Av hensyn til kundenes sikkerhet er det Apples praksis å ikke videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige programoppgraderinger eller -versjoner er tilgjengelige. Du finner mer informasjon om Apples produktsikkerhet på webstedet Apples produktsikkerhet.

Du finner mer informasjon om PGP-nøkkelen for Apples produktsikkerhet under "Slik bruker du PGP-nøkkelen for Apples produktsikkerhet."

Der det er mulig brukes CVE-IDer som referanse til sårbarheter for ytterligere informasjon.

Du finner mer informasjon om andre sikkerhetsoppdateringer i "Apples sikkerhetsoppdateringer."

Berørte produkter

Produktsikkerhet, Mac OS X 10.5

Sikkerhetsoppdatering 2008-008 / Mac OS X v10.5.6

  • ATS

    CVE-ID: CVE-2008-4236

    Tilgjengelig for: , Mac OS X v10.5 til og med v10.5.5, Mac OS X Server v10.5 til og med v10.5.5

    Virkning: Visning eller nedlasting av PDF-fil med skadelig integrert font kan føre til tjenestenekt

    Beskrivelse: En uendelig loop kan oppstå i Apple Type Services-tjenerens håndtering av integrerte fonter i PDF-filer. Visning eller nedlasting av PDF-fil med skadelig integrert font kan føre til tjenestenekt. Denne oppdateringen løser problemet ved å utføre ytterligere validering av innebygde fonter. Problemet gjelder ikke for systemer som er eldre enn Mac OS X v10.5. En takk til Michael Samarin og Mikko Vihonen hos Futurice Ltd., som meldte fra om dette problemet.

  • BOM

    CVE-ID: CVE-2008-4217

    Tilgjengelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til og med v10.5.5, Mac OS X Server v10.5 til og med v10.5.5

    Virkning: Nedlasting eller visning av et skadelig CPIO-arkiv kan føre til kjøring av arbitrær kode eller uventet avslutning av et program

    Beskrivelse: Det er et signeringsproblem i BOMs håndtering av CPIO-hoder som kan føre til overflyt i stack-bufferen. Nedlasting eller visning av et skadelig CPIO-arkiv kan føre til kjøring av arbitrær kode eller uventet avslutning av et program. Denne oppdateringen løser problemet gjennom ekstra kontroll av CPIO-hoder. Kreditering: Apple.

  • CoreGraphics

    CVE-ID: CVE-2008-3623

    Tilgjengelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til og med v10.5.5, Mac OS X Server v10.5 til og med v10.5.5

    Virkning: Visning av et skadelig bilde kan føre til uventet avslutning av et program eller kjøring av arbitrær kode

    Beskrivelse: Det oppstår overflyt i heap-bufferen ved håndtering av fargeområder i CoreGraphics. Visning av et skadelig bilde kan føre til uventet avslutning av program eller kjøring av arbitrær kode. Denne oppdateringen løser problemet ved forbedret grensekontroll. Kreditering: Apple.

  • CoreServices

    CVE-ID: CVE-2008-3170

    Tilgjengelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til og med v10.5.5, Mac OS X Server v10.5 til og med v10.5.5

    Virkning: Besøk på et skadelig websted kan føre til avdekking av brukers påloggingsdetaljer

    Beskrivelse: Safari gjør det mulig for websteder å angi cookies for landspesifikke domener på øverste nivå, slik at en ekstern angriper kan utføre et øktfikseringsangrep og fange opp brukerens påloggingsdetaljer. Denne oppdateringen løser problemet gjennom ekstra validering av domenenavn. En takk til Alexander Clauss i iCab.de, som meldte fra om dette problemet.

  • CoreTypes

    CVE-ID: CVE-2008-4234

    Tilgjengelig for: , Mac OS X v10.5 til og med v10.5.5, Mac OS X Server v10.5 til og med v10.5.5

    Virkning: Forsøk på åpning av usikkert nedlastet innhold fører kanskje ikke til noen advarsel

    Beskrivelse: Mac OS X har en nedlastingsvalideringsfunksjon som varsler om potensielt usikre filer. Programmer som Safari og andre bruker nedlastingsvalidering for å kunne varsle brukere før åpning av filer som er markert som potensielt usikre. Denne oppgraderingen føyer til listen over potensielt usikre typer. Den legger til innholdstypen til filer som har utførbare rettigheter og ingen bestemt programtilknytning. Disse filene er potensielt usikre fordi de vil bli åpnet i Terminal, slik at innholdet blir utført som kommandoer. Selv om disse filene ikke åpnes automatisk, kan de føre til kjøring av arbitrær kode hvis de blir åpnet manuelt. Problemet har ingen innvirkning på systemer som er eldre enn Mac OS X v10.5.

  • Flash Player-plugin

    CVE-2007-4324, CVE-2007-6243, CVE-2008-3873, CVE-2008-4401, CVE-2008-4503, CVE-2008-4818, CVE-2008-4819, CVE-2008-4820, CVE-2008-4821, CVE-2008-4822, CVE-2008-4823, CVE-2008-4824, CVE-2008-5361, CVE-2008-5362, CVE-2008-5363

    Tilgjengelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til og med v10.5.5, Mac OS X Server v10.5 til og med v10.5.5

    Virkning: Flere sårbarheter i Adobe Flash Player-pluginmodulen

    Beskrivelse: Det er flere problemer med Adobe Flash Player-pluginmodulen, og den alvorligste kan føre til kjøring av arbitrær kode ved visning av et skadelig websted. Problemene løses ved å oppdatere Flash Player-pluginmodulen til versjon 9.0.151.0. Du finner mer informasjon på Adobe-webstedet på http://www.adobe.com/support/security/bulletins/apsb08-20.html

  • Kjerne

    CVE-ID: CVE-2008-4218

    Tilgjengelig for: , Mac OS X v10.5 til og med v10.5.5, Mac OS X Server v10.5 til og med v10.5.5

    Virkning: En lokal bruker kan oppnå systemrettigheter

    Beskrivelse: Det er problemer med heltallsoverflyt i i386_set_ldt- og i386_get_ldt-systemanrop, slik at en lokal bruker kan få mulighet til å kjøre arbitrær kode med systemrettigheter. Denne oppdateringen løser problemene gjennom forbedret grensekontroll. Problemene gjelder ikke PowerPC-systemer. En takk til Richard Vaneeden i IOActive, Inc., som meldte fra om disse problemene.

  • Kjerne

    CVE-ID: CVE-2008-4219

    Tilgjengelig for: , Mac OS X v10.5 til og med v10.5.5, Mac OS X Server v10.5 til og med v10.5.5

    Virkning: Kjøring av en utførbar fil som kobler dynamiske biblioteker på en NFS-deling, kan føre til uventet avslåing av systemet

    Beskrivelse: Det kan oppstå en uendelig loop når et program på en NFS-deling mottar et unntak. Det kan føre til uventet avslåing av systemet. Denne oppdateringen løser problemet gjennom forbedret håndtering av unntak. En takk til Ben Loer ved Princeton University, som meldte fra om dette problemet.

  • LibSystem

    CVE-ID: CVE-2008-4220

    Tilgjengelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til og med v10.5.5, Mac OS X Server v10.5 til og med v10.5.5

    Virkning: Programmer som bruker inet_net_pton API, kan være sårbare for kjøring av arbitrær kode eller uventet avslutning av et program

    Beskrivelse: Det oppstår heltallsoverflyt i LibSystems inet_net_pton API, som kan føre til kjøring av arbitrær kode eller uventet avslutning av programmet som bruker APIet. Denne oppdateringen løser problemet ved forbedret grensekontroll. Dette APIet blir normalt ikke anropt med ikke-godkjente data, og ikke utnyttbare tilfeller av problemet er kjent. Denne oppdateringen skal bidra til å avverge mulige angrep mot programmer som bruker APIet.

  • LibSystem

    CVE-ID: CVE-2008-4221

    Tilgjengelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til og med v10.5.5, Mac OS X Server v10.5 til og med v10.5.5

    Virkning: Programmer som bruker strptime API, kan være sårbare for kjøring av arbitrær kode eller uventet avslutning av et program

    Beskrivelse: Det finnes et problem med ødelagt hukommelse i LibSystems strptime API. Lesing av en skadelig datostreng kan føre til kjøring av arbitrær kode eller uventet avslutning av et program. Denne oppdateringen løser problemet gjennom forbedret hukommelsestildeling. Kreditering: Apple.

  • LibSystem

    CVE-ID: CVE-2008-1391

    Tilgjengelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til og med v10.5.5, Mac OS X Server v10.5 til og med v10.5.5

    Virkning: Programmer som bruker strfmon API, kan være utsatt for uventet avslutning av et program eller kjøring av arbitrær kode

    Beskrivelse: Det oppstår gjentatt heltallsoverflyt i LibSystems strfmon-implementering. Et program som anroper strfmon med høye verdier i visse heltallsfelter i formatstrengargumentet, kan få en uventet avslutning eller føre til kjøring av arbitrær kode. Denne oppdateringen løser problemene gjennom forbedret grensekontroll.

  • Administrert klient

    CVE-ID: CVE-2008-4237

    Tilgjengelig for: , Mac OS X v10.5 til og med v10.5.5, Mac OS X Server v10.5 til og med v10.5.5

    Virkning: De administrerte skjermsparerinnstillingene brukes ikke

    Beskrivelse: Metoden som programvaren på et administrert klientsystem bruker til å installere konfigurasjonsinformasjon per vert, identifiserer ikke alltid systemet riktig. På feilidentifiserte systemer brukes ikke innstillinger per vert, inkludert skjermsparerlås. Denne oppdateringen løser problemet ved at Administrert klient bruker riktig systemidentifikasjon. Problemet berører ikke systemer med innebygd Ethernet. En takk til John Barnes hos ESRI og Trevor Lalish-Menagh hos Tamman Technologies, Inc., som meldte fra om dette problemet.

  • network_cmds

    CVE-ID: CVE-2008-4222

    Tilgjengelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til og med v10.5.5, Mac OS X Server v10.5 til og med v10.5.5

    Virkning: En ekstern angriper kan forårsake tjenestenekt hvis Internett-deling er aktivert

    Beskrivelse: Det kan oppstå en uendelig loop i håndteringen av TCP-pakker i natd. Ved å sende en skadelig TCP-pakke kan en ekstern angriper forårsake tjenestenekt hvis Internett-deling er aktivert. Denne oppdateringen løser problemet gjennom ekstra validering av TCP-pakker. En takk til Alex Rosenberg i Ohmantics og Gary Teter i Paizo Publishing, som meldte fra om dette problemet.

  • Podcast Producer

    CVE-ID: CVE-2008-4223

    Tilgjengelig for: Mac OS X Server v10.5 til og med v10.5.5

    Virkning: En ekstern angriper kan få tilgang til de administrative funksjonene i Podcast Producer

    Beskrivelse: Det finnes et problem med godkjenningsomgåelse i Podcast Producer-tjeneren, som kan gi en ikke-godkjent bruker tilgang til administrative funksjoner i tjeneren. Denne oppdateringen løser problemet gjennom forbedret håndtering av tilgangsbegrensninger. Podcast Producer ble lansert i Mac OS X Server v10.5.

  • UDF

    CVE-ID: CVE-2008-4224

    Tilgjengelig for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til og med v10.5.5, Mac OS X Server v10.5 til og med v10.5.5

    Virkning: Åpning av en ISO-fil kan føre til uventet avslåing av systemet.

    Beskrivelse: Det oppstår et problem med inndatavalidering i håndteringen av ugyldige UDF-volumer. Åpning av en skadelig ISO-fil kan forårsake uventet avslåing av systemet. Denne oppdateringen løser problemet gjennom forbedret inndatavalidering. En takk til Mauro Notarianni i PCAX Solutions, som meldte fra om dette problemet.

Important: Mention of third-party websites and products is for informational purposes only and constitutes neither an endorsement nor a recommendation. Apple assumes no responsibility with regard to the selection, performance or use of information or products found at third-party websites. Apple provides this only as a convenience to our users. Apple has not tested the information found on these sites and makes no representations regarding its accuracy or reliability. There are risks inherent in the use of any information or products found on the Internet, and Apple assumes no responsibility in this regard. Please understand that a third-party site is independent from Apple and that Apple has no control over the content on that website. Please contact the vendor for additional information.