Om säkerhetsinnehållet i säkerhetsuppdatering 2008-008/Mac OS X v10.5.6

  • Senast ändrad: 12 maj, 2009
  • Artikel: HT3338

Översikt

I det här dokumentet beskrivs säkerhetsinnehållet i säkerhetsuppdatering 2008-008/Mac OS X v10.5.6, som kan hämtas och installeras via Programuppdatering eller Apple Downloads.

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har utförts och alla nödvändiga buggfixar eller utgåvor är tillgängliga. Mer information om Apples produktsäkerhet finns på webbplatsen Apple Product Security.

Information om Apples PGP-nyckel för produktsäkerhet finns i "How to use the Apple Product Security PGP Key".

Om möjligt används CVE-ID:n som referenser till ytterligare information om sårbarheterna.

Mer information om andra säkerhetsuppdateringar finns på "Apple Security Updates".

Berörda produkter

Produktsäkerhet, Mac OS X 10.5

Säkerhetsuppdatering 2008-008/Mac OS X v10.5.6

  • ATS

    CVE-ID: CVE-2008-4236

    Tillgänglig för: Mac OS X v10.5–v10.5.5, Mac OS X Server v10.5–v10.5.5

    Inverkan: Visning eller hämtning av en PDF-fil med ett inbäddat, skadligt typsnitt kan leda till att utförandet av begärda tjänster nekas.

    Beskrivning: Ett oändligt antal upprepningar av programkod kan inträffa i Apple Type Services-serverns hantering av inbäddade typsnitt i PDF-filer. Visning eller hämtning av en PDF-fil med ett inbäddat, skadligt typsnitt kan leda till att utförandet av begärda tjänster nekas. Denna uppdatering åtgärdar problemet genom att utföra ytterligare verifiering av inbäddade typsnitt. Problemet påverkar inte system före Mac OS X v10.5. Tack till Michael Samarin och Mikko Vihonen på Futurice Ltd, som rapporterade problemet.

  • BOM

    CVE-ID: CVE-2008-4217

    Tillgänglig för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5–v10.5.5, Mac OS X Server v10.5–v10.5.5

    Inverkan: Hämtning eller visning av skadliga CPIO-arkiv kan ge upphov till godtycklig kodkörning eller oväntad avstängning av program

    Beskrivning: Det finns ett signeringsproblem i BOM:s funktion för hantering av CPIO-huvuden. Problemet kan ge upphov till stackminnesspill. Hämtning eller visning av skadliga CPIO-arkiv kan ge upphov till godtycklig kodkörning eller oväntad avstängning av program. Denna uppdatering åtgärdar problemet genom att utföra ytterligare verifiering av CPIO-huvuden. Medhjälpare: Apple.

  • CoreGraphics

    CVE-ID: CVE-2008-3623

    Tillgänglig för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5–v10.5.5, Mac OS X Server v10.5–v10.5.5

    Inverkan: Visning av en uppsåtligt skapad bild kan leda till oväntad programavslutning eller körning av opålitlig kod

    Beskrivning: Det finns ett heapbuffertspill i hanteringen av färgrymder i CoreGraphics. Visning av en uppsåtligt skapad bild kan leda till oväntad programavslutning eller exekvering av opålitlig kod. Den här uppdateringen åtgärdar problemet genom att förbättra gränskontrollerna. Medhjälpare: Apple.

  • CoreServices

    CVE-ID: CVE-2008-3170

    Tillgänglig för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5–v10.5.5, Mac OS X Server v10.5–v10.5.5

    Inverkan: Besök på webbplatser med skadligt innehåll kan leda till spridning av användarinformation

    Beskrivning: I Safari tillåts webbplatser att ange cookie-inställningar för landsspecifika toppnivådomäner, vilket innebär att obehöriga fjärranvändare kan utföra sessionsintrång och överta användarinformation. Den här uppdateringen åtgärdar problemet genom att utföra ytterligare kontroll av domännamn. Tack till Alexander Clauss på iCab.de som rapporterade problemet.

  • CoreTypes

    CVE-ID: CVE-2008-4234

    Tillgänglig för: Mac OS X v10.5–v10.5.5, Mac OS X Server v10.5–v10.5.5

    Inverkan: Vid försök att starta hämtat, ej helt tillförlitligt innehåll kanske ett varningsmeddelande visas

    Beskrivning: Mac OS X innehåller funktionen Download Validation, som varnar vid hämtning av filer som kan ha skadligt innehåll. I program som Safari används funktionen Download Validation för att varna användare innan de startar filer som kan ha skadligt innehåll. Med den här uppdateringen utökas den lista som innehåller riskabla filtyper. Uppdateringen lägger till innehållstypen för filer som har körningsbehörighet och inte är associerade till ett specifikt program. Filerna kan vara skadliga eftersom de startas i Terminal och innehållet exekveras i form av kommandon. Filerna startar inte automatiskt, men kan orsaka körning av godtycklig kod. Problemet påverkar inte system före Mac OS X v10.5.

  • Plugin för Flash Player

    CVE-2007-4324, CVE-2007-6243, CVE-2008-3873, CVE-2008-4401, CVE-2008-4503, CVE-2008-4818, CVE-2008-4819, CVE-2008-4820, CVE-2008-4821, CVE-2008-4822, CVE-2008-4823, CVE-2008-4824, CVE-2008-5361, CVE-2008-5362, CVE-2008-5363

    Tillgänglig för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5–v10.5.5, Mac OS X Server v10.5–v10.5.5

    Inverkan: Flera sårbarheter i plugin för Adobe Flash Player

    Beskrivning: Det finns flera problem i plugin-programmet för Adobe Flash Player. Det allvarligaste problemet kan ge upphov till godtycklig kodkörning vid visning av webbplatser som har skadligt innehåll. Du åtgärdar problemet genom att uppdatera plugin-programmet för Flash Player till version 9.0.151.0. Mer information finns på Adobes webbplats på http://www.adobe.com/support/security/bulletins/apsb08-20.html

  • Kernel

    CVE-ID: CVE-2008-4218

    Tillgänglig för: Mac OS X v10.5–v10.5.5, Mac OS X Server v10.5–v10.5.5

    Inverkan: En lokal användare kan skaffa systembehörighet

    Beskrivning: Det finns problem med heltalsspill i i386_set_ldt- och i386_get_ldt-systemanrop. Problemet kan ge upphov till att en lokal användare tilldelas systemprivilegier för körning av godtycklig kod. Denna uppdatering åtgärdar problemen genom förbättrad gränskontroll. Problemen inverkar inte på PowerPC-datorer. Tack till Richard Vaneeden på IOActive Inc som rapporterade problemen.

  • Kernel

    CVE-ID: CVE-2008-4219

    Tillgänglig för: Mac OS X v10.5–v10.5.5, Mac OS X Server v10.5–v10.5.5

    Inverkan: Start av körbar fil som länkar dynamiska bibliotek på en NFS-volym kan ge upphov till oväntad avstängning av datorn

    Beskrivning: Ett oändligt antal upprepade kodkörningar (s.k. evig loop) kan inträffa om ett program på en NFS-volym tar emot ett undantag. Det kan leda till oväntad avstängning av datorn. Denna uppdatering åtgärdar problemet genom förbättrad hantering av undantag. Tack till Ben Loer på Princeton University som rapporterade problemet.

  • Libsystem

    CVE-ID: CVE-2008-4220

    Tillgänglig för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5–v10.5.5, Mac OS X Server v10.5–v10.5.5

    Inverkan: Program där inet_net_pton API används kan vara sårbara för godtycklig kodkörning eller oväntad programavstängning

    Beskrivning: Det finns ett problem med heltalsspill i Libsystems inet_net_pton API. Problemet kan ge upphov till godtycklig kodkörning eller oväntad avslutning av det program där API-gränssnittet används. Den här uppdateringen åtgärdar problemet genom att förbättra gränskontrollerna. API-gränssnittet anropas vanligtvis med ej betrodda data, och det finns inga kända fall där problemet har utnyttjats. Den här uppdateringen motverkar risken för intrång via program där det aktuella API-gränssnittet används.

  • Libsystem

    CVE-ID: CVE-2008-4221

    Tillgänglig för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5–v10.5.5, Mac OS X Server v10.5–v10.5.5

    Inverkan: Program där strptime API används kan vara sårbara för godtycklig kodkörning eller oväntad programavslutning

    Beskrivning: Det finns ett minnesfel i Libsystems strptime API. Avkodning av en datumsträng med skadligt innehåll kan ge upphov till godtycklig kodkörning eller oväntad programavslutning. Denna uppdatering åtgärdar problemet genom förbättrad minnestilldelning. Medhjälpare: Apple.

  • Libsystem

    CVE-ID: CVE-2008-1391

    Tillgänglig för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5–v10.5.5, Mac OS X Server v10.5–v10.5.5

    Inverkan: Program där strfmon API används kan vara sårbara för oväntad programavslutning eller godtycklig kodkörning

    Beskrivning: Det finns flera heltalsspillproblem i Libsystems strfmon-implementering. Ett program som anropar strfmon med höga värden i vissa heltalsfält i formatsträngsargumentet kan avslutas oväntat eller också kan godtycklig kodkörning utföras. Denna uppdatering åtgärdar problemen genom förbättrad gränskontroll.

  • Managed Client

    CVE-ID: CVE-2008-4237

    Tillgänglig för: Mac OS X v10.5–v10.5.5, Mac OS X Server v10.5–v10.5.5

    Inverkan: Skärmsläckarinställningar för administrerad klient används inte

    Beskrivning: Den metod som i programvaran på en administrerad klient används för att installera värdspecifik konfigurationsinformation, kan ibland identifiera klientdatorn felaktigt. På en felaktigt identifierad dator används inte värdinställningarna, inklusive skärmsläckarlåset. Med den här uppdateringen åtgärdas problemet, eftersom Managed Clients funktion för systemidentifiering korrigeras. Det här problemet inverkar inte på datorer som har inbyggt Ethernet. Tack till John Barnes på ESRI och till Trevor Lalish-Menagh på Tamman Technologies Inc. som rapporterade problemet.

  • network_cmds

    CVE-ID: CVE-2008-4222

    Tillgänglig för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5–v10.5.5, Mac OS X Server v10.5–v10.5.5

    Inverkan: Obehöriga fjärranvändare kan ge upphov till att tjänster nekas, om Internet-delning är aktiverat

    Beskrivning: Ett oändligt antal upprepade kodkörningar kan inträffa vid hantering av TCP-paket i natd. Hackare kan avsiktligt skicka skadliga TCP-paket som ger upphov till att tjänster nekas, om Internet-delning är aktiverat. Denna uppdatering åtgärdar problemet genom att utföra ytterligare verifiering av TCP-paket. Tack till Alex Rosenberg på Ohmantics och Gary Teter på Paizo Publishing som rapporterade problemet.

  • Podcast Producer

    CVE-ID: CVE-2008-4223

    Tillgänglig för: Mac OS X Server v10.5–v10.5.5

    Inverkan: Fjärranvändare kan få åtkomst till administrativa funktioner i Podcast Producer

    Beskrivning: Det finns ett problem med åsidosättning av autentiseringsfunktionen i Podcast Producer-servern. Problemet innebär att obehöriga användare kan få åtkomst till administrativa funktioner på servern. Denna uppdatering åtgärdar problemet genom förbättrad hantering av åtkomstbegränsningar. Podcast Producer finns i Mac OS X Server v10.5 och senare.

  • UDF

    CVE-ID: CVE-2008-4224

    Tillgänglig för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5–v10.5.5, Mac OS X Server v10.5–v10.5.5

    Inverkan: Öppning av en ISO-fil kan ge oväntad avstängning av datorn

    Beskrivning: Det finns ett inmatningsverifieringsproblem i hanteringen av felformaterade UDF-volymer. Öppning av en ISO-fil med skadligt innehåll kan leda till oväntad systemavstängning. Denna uppdatering åtgärdar problemet genom förbättrad inmatningsverifiering. Tack till Mauro Notarianni på PCAX Solutions som rapporterade problemet.

Important: Mention of third-party websites and products is for informational purposes only and constitutes neither an endorsement nor a recommendation. Apple assumes no responsibility with regard to the selection, performance or use of information or products found at third-party websites. Apple provides this only as a convenience to our users. Apple has not tested the information found on these sites and makes no representations regarding its accuracy or reliability. There are risks inherent in the use of any information or products found on the Internet, and Apple assumes no responsibility in this regard. Please understand that a third-party site is independent from Apple and that Apple has no control over the content on that website. Please contact the vendor for additional information.