关于安全性更新 2009-001 的安全内容。

  • 上次修改时间: 13 三月, 2009
  • 文章: HT3438

摘要

本文档介绍了安全性更新 2009-001，可以通过“软件更新”偏好设置或从 Apple 下载中下载并安装该更新软件。

为保护我们的客户，在未进行详尽的调查并推出必要的修补程序或发行版之前，Apple 不会公开、讨论或确认安全性问题。要了解有关 Apple 产品安全性的更多信息，请访问 Apple 产品安全性网站。

有关 Apple 产品安全性 PGP 密匙的信息，请参阅“如何使用 Apple 产品安全性 PGP 密钥”。

如果可能，请使用 CVE ID 来查阅漏洞的详细信息。

要了解有关其他安全性更新的信息，请参阅“Apple 安全性更新”。

受影响的产品

产品安全性, Mac OS X 10.5.6, Mac OS X 10.4.11

安全性更新 2009-001

  • AFP 服务器

    CVE-ID：CVE-2009-0142

    可用于：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：能够连接到 AFP 服务器的客户可能触发拒绝服务

    说明：AFP 服务器中的争用状态可能会导致无限循环。AFP 服务器上的枚举文件可能会导致拒绝服务。本更新通过改进文件枚举逻辑解决了此问题。此问题只影响运行 Mac OS X v10.5.6 的系统。

  • Apple Pixlet 视频

    CVE-ID：CVE-2009-0009

    可用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：打开恶意制作的电影文件可能会导致应用程序意外终止或任意代码执行。

    说明：在使用 Pixlet 编解码器处理电影文件时存在内存损坏问题。打开恶意制作的电影文件可能会导致应用程序意外终止或任意代码执行。本更新通过改进界限检查解决了上述问题。参与人员：Apple。

  • CarbonCore

    CVE-ID：CVE-2009-0020

    可用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：打开带有恶意制作资源分支的文件可能会导致应用程序意外终止或任意代码执行

    说明：在 Resource Manager 处理资源分支时存在内存损坏问题。打开带有恶意制作资源分支的文件可能会导致应用程序意外终止或任意代码执行。本更新通过改进资源分支的验证解决了此问题。参与人员：Apple。

  • CFNetwork

    可用于：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：恢复过期时间为空的 Cookie 的正常运行

    说明：本更新解决了 Mac OS X 10.5.6 中引入的非安全性回归。如果网站在尝试设置会话 Cookie 时在“过期”字段中提供一个空值，而不是忽略该字段，则可能无法正确设置 Cookie。本更新通过忽略具有空值的“过期”字段解决了此问题。

  • CFNetwork

    可用于：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：恢复应用程序之间的会话 Cookie 的正常运行

    说明：本更新解决了 Mac OS X 10.5.6 中引入的非安全性回归。如果多个打开的应用程序尝试设置会话 Cookie，CFNetwork 可能无法将 Cookie 存储到磁盘。本更新通过确保每个应用程序单独存储各自的会话 Cookie 解决了此问题。

  • 证书助理

    CVE-ID：CVE-2009-0011

    可用于：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：本地用户可能会使用另一个运行证书助理的用户的权限操作文件

    说明：在证书助理处理临时文件时存在不安全的文件操作。这可能会使本地用户使用另一个正在运行证书助理的用户的权限覆盖文件。本更新通过改进处理临时文件的方法而解决了此问题。此问题不影响 Mac OS X v10.5. 之前的系统。参与人员：Apple。

  • ClamAV

    CVE-ID：CVE-2008-5050、CVE-2008-5314

    可用于：Mac OS X Server v10.4.11、Mac OS X Server v10.5.6

    影响：ClamAV 0.94 中的多个漏洞

    说明：ClamAV 0.94 中存在多个漏洞，其中最严重的漏洞可能导致任意代码执行。本更新通过将 ClamAV 更新至版本 0.94.2 来解决上述问题。ClamAV 仅随 Mac OS X Server 系统一起发布。如需更多信息，请访问 ClamAV 网站http://www.clamav.net/

  • CoreText

    CVE-ID：CVE-2009-0012

    可用于：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：查看恶意制作的 Unicode 内容可能会导致应用程序意外终止或任意代码执行

    说明：在 CoreText 中处理 Unicode 字符串时可能发生堆缓冲区溢出。使用 CoreText 处理恶意制作的 Unicode 字符串（例如查看恶意制作的网页时）可能会导致应用程序意外终止或任意代码执行。本更新通过改进界限检查解决了上述问题。此问题并不影响 Mac OS X v10.5 之前的系统。感谢 Unsanity 的 Rosyna 报告此问题。

  • CUPS

    CVE-ID：CVE-2008-5183

    可用于：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：访问恶意制作的网站可能会导致应用程序意外终止

    说明：超过 RSS 订阅的最大数量会导致 CUPS 网络接口中的空指针取消引用。这可能会导致访问恶意制作的网站时应用程序意外终止。要触发此问题，攻击者必须知道有效的用户凭证，或者这些凭证缓存在用户的 Web 浏览器中。触发此问题后，CUPS 将自动重新启动。本更新通过正确处理 RSS 订阅的数量处理了上述问题。此问题不影响 Mac OS X v10.5 之前的系统。

  • DS 工具

    CVE-ID：CVE-2009-0013

    可用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：提供给 dscl 的密码会显示给其他本地用户

    说明：dscl 命令行工具要求向其传送密码时将密码包含在其变量中，这可能会导致密码被暴露给其他本地用户。暴露的密码包括用户和管理员的密码。本更新将密码参数设置为可选，而 dscl 只在需要时才提示用户输入密码。参与人员：Apple。

  • fetchmail

    CVE-ID：CVE-2007-4565、CVE-2008-2711

    可用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：fetchmail 6.3.8 中的多个漏洞

    说明：fetchmail 6.3.8 中存在多个漏洞，最严重时有可能导致拒绝服务。本更新通过更新至版本 6.3.9 解决了这些问题。如需更多信息，请访问 fetchmail 网站：http://fetchmail.berlios.de/

  • 文件夹管理器

    CVE-ID：CVE-2009-0014

    可用于：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：其他本地用户可能访问下载文件夹

    说明：文件夹管理器中存在默认权限问题。当用户删除其下载文件夹时，文件夹管理器会以每个人都有读取权限重新创建时此文件夹。本更新通过使文件夹管理器限制权限，以便只有用户可访问该文件来解决上述问题。此问题只影响使用文件夹管理器的应用程序。此问题不影响 Mac OS X v10.5 之前的系统。感谢布莱顿大学 CENTRIM 的 Graham Perrin 报告此问题。

  • FSEvents

    CVE-ID：CVE-2009-0015

    可用于：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：使用 FSEvents 框架，本地用户可能看到本不可看到的文件系统活动

    说明：fseventsd 中存在凭证管理问题。使用 FSEvents 框架，本地用户可能看到本不可看到的文件系统活动。这包括用户本不可看到的目录名称，以及在特定时间检测目录中的活动。本更新通过改进 fseventsd 中的凭证验证解决了上述问题。此问题不影响 Mac OS X v10.5 之前的系统。感谢 Mark Dalrymple 报告此问题。

  • 网络时间

    可用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：网络时间服务配置已更新。

    说明：作为一项积极主动的安全措施，本更新更改了网络时间服务的默认配置。默认 ntpd 配置中将不再提供系统时间和版本信息。在 Mac OS X v10.4.11 系统中，当启用了网络时间服务时，新配置会在系统重新启动后生效。

  • perl

    CVE-ID：CVE-2008-1927

    可用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：使用包含 UTF-8 字符的常规表达式可能会导致应用程序意外终止或任意代码执行

    说明：在处理常规表达式中的某些 UTF-8 字符时存在内存损坏问题。解析恶意制作的常规表达式可能会导致应用程序意外终止或任意代码执行。本更新通过对正则表达式进行额外验证解决了此问题。

  • 打印

    CVE-ID：CVE-2009-0017

    可用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：本地用户可能会获得系统权限

    说明：csregprinter 中存在错误处理问题，这可能会导致堆缓冲区溢出。这可能使本地用户获得系统权限。本更新通过改进处理错误的方法来解决此问题。感谢 Lars Haulin 报告此问题。

  • python

    CVE-ID：CVE-2008-1679、CVE-2008-1721、CVE-2008-1887、CVE-2008-2315、CVE-2008-2316、CVE-2008-3142、CVE-2008-3144、CVE-2008-4864、CVE-2007-4965、CVE-2008-5031

    可用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：python 中存在多个漏洞

    说明：python 中存在多个漏洞，其中最严重的漏洞可能导致任意代码执行。此更新从 python 项目应用修补程序，籍此解决了上述问题。

  • 远程 Apple 事件

    CVE-ID：CVE-2009-0018

    可用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：发送远程 Apple 事件可能会导致敏感信息泄露

    说明：远程 Apple 事件服务器中存在未初始化缓存区问题，这可能导致内存内容泄露给网络客户端。本更新通过正确的内存初始化而解决了此问题。参与人员：Apple。

  • 远程 Apple 事件

    CVE-ID：CVE-2009-0019

    可用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：启用远程 Apple 事件可能会导致应用程序意外终止或敏感信息泄露

    说明：远程 Apple 事件中存在超出边界的内存访问。启用远程 Apple 事件可能会导致应用程序意外终止或敏感信息泄露给网络客户端本更新通过改进界限检查解决了上述问题。参与人员：Apple。

  • Safari RSS

    CVE-ID：CVE-2009-0137

    可用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：访问恶意制作的 feed: URL 可能会导致任意代码执行

    说明：Safari 处理 feed: URL 时存在多个输入验证问题。这些问题会使本地安全区中执行任意 JavaScript。本更新通过改进处理 feed: URL 内嵌入 JavaScript 的方法来解决这些问题。感谢 Laconic Security 的 Clint Ruoho、Microsoft 的 Billy Rios 和 Brian Mastenbrook 报告此问题。

  • servermgrd

    CVE-ID：CVE-2009-0138

    可用于：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：远程攻击者可能会在没有有效凭证的情况下使用服务器管理器

    说明：服务器管理器在验证鉴定凭证中存在的一个问题能使远程攻击者更改系统配置。本更新通过对鉴定凭证进行额外验证来解决这一问题。此问题不影响 Mac OS X v10.5. 之前的系统。参与人员：Apple。

  • SMB

    CVE-ID：CVE-2009-0139

    可用于：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：连接到恶意制作的 SMB 文件系统可能会导致系统意外关机或以系统权限执行任意代码

    说明：SMB 文件系统中的整数溢出可能会导致堆缓冲区溢出。连接到恶意制作的 SMB 文件系统可能会导致系统意外关机或以系统权限执行任意代码本更新通过改进界限检查解决了上述问题。此问题不影响 Mac OS X v10.5. 之前的系统。参与人员：Apple。

  • SMB

    CVE-ID：CVE-2009-0140

    可用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：连接到恶意制作的 SMB 文件服务器可能会导致系统意外关机。

    说明：SMB 文件系统在处理文件系统名称时存在内存耗尽问题。连接到恶意制作的 SMB 文件服务器可能会导致系统意外关机。本更新限制了客户端为文件系统名称分配的内存量，因而解决了此问题。参与人员：Apple。

  • SquirrelMail

    CVE-ID：CVE-2008-2379、CVE-2008-3663

    可用于：Mac OS X Server v10.4.11、Mac OS X Server v10.5.6

    影响：SquirrelMail 中存在多个漏洞

    说明：将 SquirrelMail 更新至版本 1.4.17 以解决多个漏洞，其中最严重的漏洞为跨站点脚本问题。如需更多信息，请访问 SquirrelMail 网站：http://www.SquirrelMail.org/

  • X11

    CVE-ID：CVE-2008-1377、CVE-2008-1379、CVE-2008-2360、CVE-2008-2361、CVE-2008-2362

    可用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：X11 服务器中存在多个漏洞。

    说明：X11 服务器中存在多个漏洞。如果攻击者可以鉴定到 X11 服务器，则其中最严重的漏洞可能导致使用运行此 X11 服务器的用户的权限执行任意代码。本更新通过应用 X.Org 修补程序来解决这些问题。可通过 X.Org 网站（网址为 http://www.x.org/wiki/Development/Security ）了解更多信息

  • X11

    CVE-ID：CVE-2006-1861、CVE-2006-3467、CVE-2007-1351、CVE-2008-1806、CVE-2008-1807、CVE-2008-1808

    适用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11

    影响：FreeType v2.1.4 中存在多个漏洞

    说明：FreeType v2.1.4 中存在多个漏洞，其中最严重的漏洞可能导致在处理恶意制作的字体时执行任意代码。本更新通过并入来自 FreeType 2.3.6 版的安全修补程序而解决了这些问题。如需更多信息，请访问 FreeType 网站：http://www.freetype.org/ 运行 Mac OS X v10.5.6 的系统中已解决这些问题。

  • X11

    CVE-ID：CVE-2007-1351、CVE-2007-1352、CVE-2007-1667

    适用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11

    影响：LibX11 中存在多个漏洞

    说明：LibX11 中存在多个漏洞，其中最严重的漏洞可能导致在处理恶意制作的字体时执行任意代码。本更新通过应用 X.Org 修补程序来解决这些问题。如需更多信息，请访问 X.Org 网站：http://www.x.org/wiki/Development/Security 这些问题并不影响运行 Mac OS X v10.5 或更高版本的系统。

  • XTerm

    CVE-ID：CVE-2009-0141

    可用于：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影响：本地用户可能直接向另一个用户的 Xterm 发送信息。

    说明：Xterm 中存在权限问题。与 luit 一起使用时，Xterm 会创建所有人都可以访问的 tty 设备。本更新使 Xterm 限制权限，以便只有用户才可访问 tty 设备，因而解决了此问题。

Important: Mention of third-party websites and products is for informational purposes only and constitutes neither an endorsement nor a recommendation. Apple assumes no responsibility with regard to the selection, performance or use of information or products found at third-party websites. Apple provides this only as a convenience to our users. Apple has not tested the information found on these sites and makes no representations regarding its accuracy or reliability. There are risks inherent in the use of any information or products found on the Internet, and Apple assumes no responsibility in this regard. Please understand that a third-party site is independent from Apple and that Apple has no control over the content on that website. Please contact the vendor for additional information.