О степени безопасности обновления 2009-001

  • Дата изменения: 13 Март, 2009
  • Статья: HT3438

Обзор

В этом документе описывается обновление системы безопасности 2009-001, которое можно загрузить и установить, выбрав Обновление ПО в настройках или посетив раздел «Загрузки Apple» сайта компании Apple.

В целях защиты своих пользователей компания Apple не разглашает и не подтверждает информацию о проблемах безопасности, а также не участвует в ее обсуждении, до тех пор пока не будет полностью завершено изучение проблемы и не будут выпущены все необходимые обновления и выпуски. Дополнительную информацию об обеспечении безопасности продуктов Apple см. на веб-странице «Безопасность продуктов Apple».

Дополнительную информацию об обеспечении безопасности продуктов Apple с помощью ключа PGP см. в статье «Использование PGP-ключа для защиты продуктов Apple».

Там, где это возможно, для ссылки на дополнительную информацию об уязвимостях используются идентификаторы CVE.

Дополнительную информацию о других обновлениях системы безопасности см. в статье «Обновления системы безопасности Apple».

Продукты, у которых возникает эта проблема

Безопасность продукта, Mac OS X 10.5.6, Mac OS X 10.4.11

Обновление системы безопасности 2009-001

  • AFP-сервер

    Идентификатор CVE: CVE-2009-0142

    Применимо к: Mac OS X v10.5.6, Mac OS X Server v10.5.6

    Воздействие: пользователь, способный подключиться к серверу AFP, может спровоцировать отказ в обслуживании.

    Описание: состояние гонки в сервере AFP может привести к возникновению бесконечного цикла. Перечисление файлов на AFP сервере может привести к отказу в обслуживании. Данное обновление позволяет устранить описанную проблему благодаря улучшенной логике перечисления файлов. Данная проблема затрагивает только системы Mac OS X v10.5.6.

  • Видеокодек Apple Pixlet Video

    Идентификатор CVE: CVE-2009-0009

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

    Воздействие: открытие вредоносного видеофайла может привести к неожиданному завершению работы программы или к выполнению произвольного кода.

    Описание: при обработке файлов с использованием кодека Pixlet существует ряд проблем, связанных с повреждением памяти. Открытие вредоносного видеофайла может привести к неожиданному завершению работы приложения или к выполнению произвольного кода. Это обновление устраняет описанную проблему с помощью усовершенствования проверки границ. Благодарим компанию Apple.

  • CarbonCore

    Идентификатор CVE: CVE-2009-0020

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

    Воздействие: открытие файла с вредоносной ветвью ресурсов может привести к неожиданному завершению работы приложения или выполнению произвольного кода.

    Описание: в Resource Manager возможно нарушение целостности информации в памяти при обработке ветвей ресурсов. Открытие файла с вредоносной ветвью ресурсов может привести к неожиданному завершению работы приложения или выполнению произвольного кода. Данное обновление позволяет решить описанную проблему путем усовершенствования проверки ветвей ресурсов. Благодарим компанию Apple.

  • CFNetwork

    Применимо к: Mac OS X v10.5.6, Mac OS X Server v10.5.6

    Воздействие: восстанавливает надлежащую операцию с файлами cookie с нулевыми значениями срока действия.

    Описание: данное обновление устраняет не связанную с безопасностью регрессию в Mac OS X 10.5.6. Файлы cookie могут быть неправильно установлены, если сайт пытается установить сеансовые файлы cookie за счет выставления нулевого значения в поле окончания действия, а не пропуска данного поля. Данное обновление устраняет описанную проблему посредством игнорирования поля окончания действия с нулевым значением.

  • CFNetwork

    Применимо к: Mac OS X v10.5.6, Mac OS X Server v10.5.6

    Воздействие: восстанавливает надлежащую работу сеансовых cookies в приложениях.

    Описание: данное обновление устраняет не связанную с безопасностью регрессию, отмеченную в Mac OS X 10.5.6. CFNetwork может не сохранять файлы cookie на диск, если несколько открытых приложений пытаются установить сеансовые cookies. Данное обновление устраняет описанную проблему, гарантируя, что каждое приложение хранит свои сеансовые файлы cookie раздельно.

  • Certificate Assistant

    Идентификатор CVE: CVE-2009-0011

    Применимо к: Mac OS X v10.5.6, Mac OS X Server v10.5.6

    Воздействие: локальный пользователь получает возможность управления файлами с привилегиями другого пользователя, запустившего Certificate Assistant.

    Описание: при обработке временных файлов в Certificate Assistant используется небезопасная операция. В результате локальный пользователь может перезаписать файлы с привилегиями другого пользователя, запустившего Certificate Assistant. Данное обновление позволяет устранить описанную проблему посредством усовершенствования обработки временных файлов. Эта проблема не затрагивает операционные системы, предшествующие Mac OS X 10.5. Благодарим компанию Apple.

  • ClamAV

    Идентификатор CVE: CVE-2008-5050, CVE-2008-5314

    Применимо к: Mac OS X v10.4.11, Mac OS X Server v10.5.6

    Воздействие: множественные уязвимости в ClamAV 0.94

    Описание: в ClamAV 0.94 существует ряд уязвимых мест, наиболее серьезные из которых могут привести к выполнению произвольного кода. Данное обновление устраняет проблемы, обновляя ClamAV до версии 0.94.2. ClamAV распространяется только в комплекте с операционными системами Mac OS X Server. Более подробную информацию можно найти на сайте ClamAV по адресу http://www.clamav.net/

  • CoreText

    Идентификатор CVE: CVE-2009-0012

    Применимо к: Mac OS X v10.5.6, Mac OS X Server v10.5.6

    Воздействие: просмотр вредоносного содержимого Unicode может привести к неожиданному завершению работы приложения или выполнению произвольного кода.

    Описание: при обработке строк Unicode в CoreText может возникать переполнение динамической памяти. Использование CoreText для обработки вредоносных строк Unicode, например, при просмотре сайта с вредоносным содержимым, может стать причиной неожиданного завершения работы приложения или выполнения произвольного кода. Это обновление устраняет описанную проблему с помощью усовершенствования проверки границ. Данная проблема не распространяется на операционные системы до Mac OS X v10.5. Благодарим Rosyna из Unsanity за сообщение об этой проблеме.

  • Сервер CUPS

    Идентификатор CVE: CVE-2008-5183

    Применимо к: Mac OS X v10.5.6, Mac OS X Server v10.5.6

    Воздействие: посещение вредоносного сайта может стать причиной неожиданного завершения работы приложения.

    Описание: превышение максимального числа подписей RSS приводит к разыменованию нулевого указателя в веб-интерфейсе CUPS. Это может привести к неожиданному завершению работы приложения при посещении вредоносного сайта. Возникновение данной проблемы может быть обусловлено тем, что учетные данные пользователя известны злоумышленнику или записаны в кэш браузера пользователя. При появлении данной проблемы произойдет автоматическая перезагрузка CUPS. Данное обновление устраняет описанную проблему посредством надлежащей обработки числа RSS подписей. Эта проблема не затрагивает системы, предшествующие Mac OS X 10.5.

  • DS Tools

    Идентификатор CVE: CVE-2009-0013

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

    Воздействие: пароли, предоставляемые dscl, открыты другим локальным пользователям.

    Описание: в запускаемую из командной строки утилиту dscl пароли передаются через аргументы, что потенциально открывает пароли другим локальным пользователям. Раскрываются пароли как пользователей, так и администраторов. Данное обновление позволяет сделать необязательным параметр, с помощью которого передается пароль, и dscl будет запрашивать пароль, когда это необходимо. Благодарим компанию Apple.

  • fetchmail

    Идентификатор CVE: CVE-2007-4565, CVE-2008-2711

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

    Воздействие: множественные уязвимости в fetchmail 6.3.8

    Описание: в fetchmail 6.3.8 присутствует ряд уязвимостей, наиболее серьезные из которых могут привести к отказу в обслуживании. Данное обновление устраняет описанную проблему посредством обновления до версии 6.3.9. Дополнительная информация доступна на сайте fetchmail http://fetchmail.berlios.de/

  • Folder Manager

    Идентификатор CVE: CVE-2009-0014

    Применимо к: Mac OS X v10.5.6, Mac OS X Server v10.5.6

    Воздействие: другие локальные пользователи могут получить доступ к папке Downloads.

    Описание: в Folder Manager существует проблема с правами доступа, установленными по умолчанию. При удалении папки Downloads программа Folder Manager восстанавливает ее с глобальными привилегиями на чтение. Данное обновление позволяет решить описанную проблему посредством ограничения привилегий таким образом, что доступ возможен только для пользователя. Данная проблема оказывает воздействие только на те приложения, которые используют Folder Manager. Данная проблема не распространяется на системы, предшествующие Mac OS X 10.5. Благодарим Грехема Перрина (Graham Perrin) из CENTRIM, University of Brighton за сообщение об этой проблеме.

  • FSEvents

    Идентификатор CVE: CVE-2009-0015

    Применимо к: Mac OS X v10.5.6, Mac OS X Server v10.5.6

    Воздействие: используя среду разработки FSEvents, локальный пользователь может видеть активность файловой системы, доступ к которой невозможен при других обстоятельствах.

    Описание: в fseventsd обнаружена проблема управления учетными данными. Используя среду разработки FSEvents, локальный пользователь может видеть активность файловой системы, доступ к которой невозможен при других обстоятельствах. Злоумышленник может видеть имя каталога, а также определять активность в каталоге в определенное время. Данное обновление устраняет описанную проблему посредством улучшенной проверки учетных данных в fseventsd. Данная проблема не распространяется на операционные системы до Mac OS X v10.5. Благодарим Марка Далримпла (Mark Dalrymple) за сообщение об этой проблеме.

  • Network Time

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

    Воздействие: конфигурация службы Network Time была обновлена.

    Описание: данное обновление выполняет функцию проактивной защиты, изменяя установленную по умолчанию конфигурацию службы Network Time. Системное время и информация о версии больше недоступны в установленной по умолчании конфигурации ntpd. В системах Mac OS X v10.4.11 новая конфигурация вступает в силу после перезагрузки системы при включенной службе Network Time.

  • perl

    Идентификатор CVE: CVE-2008-1927

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

    Воздействие: использование регулярных выражений, содержащих символы UTF-8, может привести к неожиданному завершению работы приложения или выполнению произвольного кода.

    Описание: при обработке определенных UTF-8 символов в регулярных выражениях нарушается целостность информации в памяти. Парсинг вредоносных регулярных выражений может привести к неожиданному завершению работы приложения или выполнению произвольного кода. Данное обновление устраняет проблему за счет дополнительной проверки регулярных выражений.

  • Печать

    Идентификатор CVE: CVE-2009-0017

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

    Воздействие: локальный пользователь может получить системные привилегии.

    Описание: в csregprinter обнаружена уязвимость в механизме обработки ошибок, которая может привести к переполнению динамической памяти. В результате локальный пользователь может получить системные привилегии. Данное обновление устраняет проблему с помощью улучшенного механизма обработки ошибок. Благодарим Ларса Холина (Lars Haulin) за сообщение об этой проблеме.

  • python

    Идентификатор CVE: CVE-2008-1679, CVE-2008-1721, CVE-2008-1887, CVE-2008-2315, CVE-2008-2316, CVE-2008-3142, CVE-2008-3144, CVE-2008-4864, CVE-2007-4965, CVE-2008-5031

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

    Воздействие: множественные уязвимости в python

    Описание: в python обнаружены множественные уязвимости, наиболее серьезные из которых могут привести к выполнению произвольного кода. Данное обновление позволяет устранить проблемы при помощи внесения исправлений проекта python.

  • Удаленные события Apple

    Идентификатор CVE: CVE-2009-0018

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

    Воздействие: отправка удаленных событий Apple может привести к раскрытию конфиденциальной информации.

    Описание: из-за ошибки доступа к неинициализированной памяти сервера удаленных событий Apple сетевые клиенты могут получить доступ к содержанию памяти. Данное обновление устраняет описанную проблему посредством надлежащей инициализации памяти. Благодарим компанию Apple.

  • Удаленные события Apple

    Идентификатор CVE: CVE-2009-0019

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

    Воздействие: включение удаленных событий Apple может привести к неожиданному завершению работы приложения или раскрытию конфиденциальной информации.

    Описание: в удаленных событиях Apple обнаружена проблема, связанная с доступом к закрытым областям памяти. Включение удаленных событий Apple может привести к неожиданному завершению работы приложения или раскрытию конфиденциальной информации сетевым клиентам. Это обновление устраняет описанную проблему с помощью усовершенствования проверки границ. Благодарим компанию Apple.

  • Safari RSS

    Идентификатор CVE: CVE-2009-0137

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

    Воздействие: доступ к вредоносному URL канала может привести к выполнению произвольного кода.

    Описание: множественные проблемы, связанные с проверкой вводимых данных, обнаружены в Safari при обработке URL-адресов канала. Описанные проблемы приводят к выполнению произвольного кода на языке JavaScript в локальной зоне безопасности. Данное обновление устраняет проблемы посредством улучшенной обработки встроенного JavaScript в пределах канала: URL-адреса. Благодарим Клинта Руохо (Clint Ruoho) из Laconic Security, Билли Райоса (Billy Rios) из Microsoft и Брайана Мастенбрука (Brian Mastenbrook) за сообщение об этой проблеме.

  • servermgrd

    Идентификатор CVE: CVE-2009-0138

    Применимо к: Mac OS X v10.5.6, Mac OS X Server v10.5.6

    Воздействие: удаленный злоумышленник может получить доступ к Server Manager без действительных учетных данных.

    Описание: проблема с проверкой учетных данных аутентификации в Server Manager может позволить удаленному злоумышленнику изменять конфигурацию системы. Данное обновление позволяет устранить описанную проблему при помощи дополнительной проверки правильности данных идентификации. Эта проблема не затрагивает операционные системы, предшествующие Mac OS X 10.5. Благодарим компанию Apple.

  • SMB

    Идентификатор CVE: CVE-2009-0139

    Применимо к: Mac OS X v10.5.6, Mac OS X Server v10.5.6

    Воздействие: подключение к специально созданной злоумышленником файловой системе SMB может привести к неожиданному завершению работы системы или выполнению произвольного кода с системными привилегиями.

    Описание: целочисленное переполнение в файловой системе SMB может привести к переполнению динамической памяти. Подключение к специально созданной злоумышленником файловой системе SMB может привести к неожиданному завершению работы системы или выполнению произвольного кода с системными привилегиями. Это обновление устраняет описанную проблему с помощью усовершенствования проверки границ. Эта проблема не затрагивает операционные системы, предшествующие Mac OS X 10.5. Благодарим компанию Apple.

  • SMB

    Идентификатор CVE: CVE-2009-0140

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

    Воздействие: подключение к специально созданному злоумышленником файловому серверу SMB может вызвать неожиданное завершение работы системы.

    Описание: в обработке имен файловой системы SMB обнаружена проблема, связанная с риском истощения памяти. Подключение к специально созданному злоумышленником файловому серверу SMB может вызвать неожиданное завершение работы системы. Данное обновление устраняет описанную проблему, ограничивая объем памяти, назначенный клиенту для имен файловой системы. Благодарим компанию Apple.

  • SquirrelMail

    Идентификатор CVE: CVE-2008-2379, CVE-2008-3663

    Применимо к: Mac OS X v10.4.11, Mac OS X Server v10.5.6

    Воздействие: множественные уязвимости в SquirrelMail

    Описание: обновление SquirrelMail до версии 1.4.17 позволяет устранить некоторые уязвимости, наиболее серьезные из которых могут привести к межсайтовому скриптингу. Дополнительная информация доступна на сайте SquirrelMail http://www.SquirrelMail.org/

  • X11

    Идентификатор CVE: CVE-2008-1377, CVE-2008-1379, CVE-2008-2360, CVE-2008-2361, CVE-2008-2362

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

    Воздействие: множественные уязвимости в X11 сервере

    Описание: в X11 сервере обнаружены множественные уязвимости. Наиболее серьезная из них может привести к выполнению произвольного кода с привилегиями пользователя X11 сервера, если злоумышленник может авторизоваться на сервере. Данное обновление позволяет устранить описанную проблему при помощи исправлений X.Org. Более подробную информацию можно получить на сайте X.Org по адресу http://www.x.org/wiki/Development/Security

  • X11

    Идентификатор: CVE-2006-, CVE-1861, CVE-2006-3467, CVE-2007-1351, CVE-2008-1806, CVE-2008-1807, CVE-2008-1808

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11

    Воздействие: множественные уязвимости в библиотеке FreeType v2.1.4

    Описание: в библиотеке FreeType v2.1.4 обнаружены множественные уязвимости, наиболее серьезные из которых могут привести к выполнению произвольного кода при обработке вредоносного шрифта. Данное обновление устраняет описанную проблему путем введения исправлений системы безопасности из версии FreeType 2.3.6. Дополнительная информация доступна на сайте FreeType по адресу http://www.freetype.org/. Данные проблемы уже решены в операционной системе Mac OS X v10.5.6.

  • X11

    Идентификатор CVE: CVE-2007-1351, CVE-2007-1352, CVE-2007-1667

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11

    Воздействие: множественные уязвимости в LibX11

    Описание: в LibX11 обнаружены множественные уязвимости, наиболее серьезные из которых могут привести к выполнению произвольного кода при обработке вредоносного шрифта. Данное обновление позволяет устранить описанную проблему при помощи исправлений X.Org. Дополнительная информация доступна на сайте X.Org по адресу http://www.x.org/wiki/Development/Security. Данные проблемы не затрагивают операционные системы Mac OS X v10.5 или более новой версии.

  • XTerm

    Идентификатор CVE: CVE-2009-0141

    Применимо к: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

    Воздействие: локальный пользователь может записать данные непосредственно в Xterm другого пользователя.

    Описание: в Xterm обнаружена проблема, связанная с правами доступа. При использовании luit Xterm создает устройства tty, доступные всем. Данное обновление устраняет описанную проблему путем ограничения допусков так, что устройства tty доступны только пользователю.

Important: Mention of third-party websites and products is for informational purposes only and constitutes neither an endorsement nor a recommendation. Apple assumes no responsibility with regard to the selection, performance or use of information or products found at third-party websites. Apple provides this only as a convenience to our users. Apple has not tested the information found on these sites and makes no representations regarding its accuracy or reliability. There are risks inherent in the use of any information or products found on the Internet, and Apple assumes no responsibility in this regard. Please understand that a third-party site is independent from Apple and that Apple has no control over the content on that website. Please contact the vendor for additional information.