關於安全性更新 2009- 001 的安全性內容

  • 最後更新: 13 三月, 2009
  • 文章: HT3438

摘要

此文件描述了安全性更新 2009-001，可以透過軟體更新偏好設定或者從 Apple 下載進行下載和安裝。

為了保護客戶利益，在執行完整調查並且可以使用所有必要的修補程式或發行版本之前，Apple 不會洩漏、討論或確認安全性問題。若要瞭解有關“Apple 產品安全性”的更多資訊，請造訪 Apple 產品安全性網站。

如需有關“Apple 產品安全性 PGP 金鑰”的資訊，請參閱“How to use the Apple Product Security PGP Key”。

如有可能，可以使用 CVE ID 參閱有關漏洞的進一步資訊。

若要瞭解其他“安全性更新”，請參閱“Apple 安全性更新”。

受影響的產品

產品安全性, Mac OS X 10.5.6, Mac OS X 10.4.11

安全性更新 2009-001

  • AFP 伺服器

    CVE-ID：CVE-2009-0142

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：能連線到 AFP 伺服器的使用者也許能進行阻斷服務攻擊

    說明：AFP 伺服器存在競爭狀況，可能導致無限迴圈。在 AFP 伺服器上列舉檔案可能導致阻斷服務。這個更新能改善檔案列舉邏輯，進而解決問題。此問題只會對執行 Mac OS X v10.5.6 的系統造成影響。

  • Apple Pixlet Video

    CVE-ID：CVE-2009-0009

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：開啟惡意製作的影片檔案可能導致應用程式意外終止或任意執行程式碼

    說明：使用 Pixlet 編解碼器處理影片檔案時，存在多個記憶體損毀問題。開啟惡意製作的影片檔案時，可能會導致應用程式意外終止或程式碼任意執行。此更新藉由改善界限檢查解決了問題。致謝：Apple。

  • CarbonCore

    CVE-ID：CVE-2009-0020

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：開啟惡意製作的資源分支可能造成應用程式意外終止或執行任意程式碼

    說明：資源管理程式處理資源分支時，存在記憶體損毀問題。開啟具有惡意製作資源分支的檔案時，可能會導致應用程式意外終止或執行任意程式碼。這個更新能改善資源分支的驗證作業，以解決這個問題。致謝：Apple。

  • CFNetwork

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：回復有效期限無效的 Cookie 正常作業

    說明：這個更新解決 Mac OS X 10.5.6 帶來的非安全性問題。如果網站試圖設定連線時段 Cookie 時，在「有效期限」欄位中提供無效值而非忽略這個欄位，可能就無法正確設定 Cookie。這個更新能忽略已有無效值的「有效期限」欄位，以解決這個問題。

  • CFNetwork

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：回復多個應用程式連線時段 Cookie 的正常作業

    說明：這個更新解決 Mac OS X 10.5.6 帶來的非安全性問題。如果多個打開的應用程式都嘗試設定連線時段 Cookie，則 CFNetwork 可能不會把 Cookie 儲存到磁碟。這個更新能使每個應用程式分別儲存自己的連線時段 Cookie，以解決這個問題。

  • 憑證輔助程式

    CVE-ID：CVE-2009-0011

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：本機使用者可使用另一位執行憑證輔助程式的使用者權限操作檔案

    說明：憑證輔助程式處理暫存檔的檔案操作方式不安全。本機使用者可以用另一位執行憑證輔助程式的使用者權限覆寫檔案。此更新藉由改善暫存檔案的處理方式，解決了問題。此問題不會影響 Mac OSX v10.5 之前的系統。致謝：Apple。

  • ClamAV

    CVE-ID：CVE-2008-5050、CVE-2008-5314

    適用於：Mac OS X Server v10.4.11、Mac OS X Server v10.5.6

    影響：ClamAV 0.94 中存在多項漏洞

    說明：ClamAV 0.94 中存在多項漏洞，其中最嚴重的漏洞可能導致執行任意程式碼。這個更新將 ClamAV 更新為 0.94.2 版，以解決這些問題。只有 Mac OS X Server 系統隨附 ClamAV。可透過 ClamAV 網站 (網址為 http://www.clamav.net/) 取得更多資訊

  • CoreText

    CVE-ID：CVE-2009-0012

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：檢視惡意製作的 Unicode 內容可能導致應用程式意外終止或執行任意程式碼

    說明：處理 CoreText 中的 Unicode 字串時，可能發生堆疊緩衝區溢位問題。使用 CoreText 處理惡意製作的 Unicode 字串時 (例如檢視惡意製作的網頁)，可能導致應用程式意外終止或執行任意程式碼。此更新藉由改善界限檢查解決了問題。Mac OS X v10.5 之前的版本不會受此漏洞影響。感謝任職於 Unsanity 的 Rosyna 報告此問題。

  • CUPS

    CVE-ID：CVE-2008-5183

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：造訪惡意製作的網站可能會導致應用程式意外終止

    說明：RSS 訂閱數量超過上限時，導致 CUPS 網頁介面產生 null 指標解除。這個問題可能使得造訪惡意製作的網站時，導致應用程式意外終止。如果要讓這個問題出現，攻擊者必須知道無效的使用者憑證，或是使用者的網頁瀏覽器必須快取這類憑證。出現這個問題後，CUPS 會自動重新啟動。這個更新能適當處理 RSS 訂閱數量，以解決這個問題。此問題不會影響 Mac OSX v10.5 之前的系統。

  • DS 工具

    CVE-ID：CVE-2009-0013

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：提供給 dscl 的密碼會暴露給其他本機使用者

    說明：dscl 命令列工具要求在其引數中傳送密碼，這可能將密碼暴露給其他本機使用者。所暴露的密碼包括使用者密碼和管理者密碼。此更新將密碼參數設為選擇性項目，dscl 並在必要時提示使用者輸入密碼。致謝：Apple。

  • fetchmail

    CVE-ID：CVE-2007-4565、CVE-2008-2711

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：fetchmail 6.3.8 中存在多項漏洞

    說明：fetchmail 6.3.8 版存在多項漏洞，其中最嚴重的一項漏洞可能會導致阻斷服務。此更新將版本更新至 6.3.9，以解決這些問題。請造訪 fetchmail 網站 (網址為 http://fetchmail.berlios.de/) 以取得進一步資訊。

  • 檔案夾管理程式

    CVE-ID：CVE-2009-0014

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：其他本機使用者可能存取下載資料夾

    說明：Folder Manager 存在預設權限的問題。使用者刪除自己的下載檔案夾但 Folder Manager 重建時，所有人都能讀取所建立的檔案夾。這個更新能讓 Folder Manager 限制權限，只讓使用者存取這個檔案夾，以解決這個問題。這個問題只影響使用 Folder Manager 的應用程式。此漏洞不會對 Mac OS X v10.5 之前的系統造成影響。感謝任職於 University of Brighton 大學 CENTRIM 機構的 Graham Perrin 報告此問題。

  • FSEvents

    CVE-ID：CVE-2009-0015

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：使用 FSEvents 架構時，本機使用者也許能看到以其他方式無法得知的檔案系統活動。

    說明：fseventsd 存在憑證管理的問題。使用 FSEvents 架構時，本機使用者也許能看到以其他方式無法得知的檔案系統活動。包括使用者以其他方式無法得知的目錄名稱，並隨時偵測到目錄中的活動。這個更新能改善 fseventsd 的憑證驗證機制，以解決這個問題。此問題不會對 Mac OS X v10.5 之前的系統造成影響。感謝 Mark Dalrymple 報告此問題。

  • 網路時間

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：網路時間服務配置已經更新

    說明：為了主動提高安全性，本更新改動網路時間服務的預設配置。系統時間和版本資訊已經不會出現在 ntpd 的預設配置中。Mac OS X v10.4.11 系統的新配置會在啟用網路時間服務、系統重新啟動後生效。

  • perl

    CVE-ID：CVE-2008-1927

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：使用帶有 UTF-8 字元的的正規表示式時，可能導致應用程式意外終止或執行任意程式碼

    說明：處理正規表示式中特定的 UTF-8 字元時，存在記憶體損毀的問題。剖析惡意製作的正規表示式可能導致應用程式意外終止或執行任意程式碼。此更新會對正規表示式追加一次驗證程序，以解決這個問題。

  • 列印問題

    CVE-ID：CVE-2009-0017

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：本機使用者可取得系統權限

    說明：csregprinter 處理錯誤的方式存在問題，可能導致堆疊緩衝區溢位。這個問題可能讓本機使用者取得系統權限。此項更新可改進錯誤處理，藉以解決問題。感謝 Lars Haulin 報告此問題。

  • python

    CVE-ID：CVE-2008-1679、CVE-2008-1721、CVE-2008-1887、CVE-2008-2315、CVE-2008-2316、CVE-2008-3142、CVE-2008-3144、CVE-2008-4864、CVE-2007-4965、CVE-2008-5031

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：python 存在多處漏洞

    說明：python 存在多項漏洞，其中最嚴重的漏洞可能導致執行任意程式碼。這個更新能套用 python 專案提供的修補程式，以解決這些問題。

  • 遠端 Apple 事件

    CVE-ID：CVE-2009-0018

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：傳送遠端 Apple 事件可能導致敏感資訊外洩

    說明：遠端 Apple 事件伺服器存在緩衝區未初始化的問題，可能把記憶體內容洩漏給網路用戶端。這個更新能以適當方式初始化記憶體，以解決這個問題。致謝：Apple。

  • 遠端 Apple 事件

    CVE-ID：CVE-2009-0019

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：啟用遠端 Apple 事件功能可能導致應用程式意外終止或敏感資訊外洩

    說明：遠端 Apple 事件功能存在超出界限的記憶體存取問題。啟用遠端 Apple 事件功能可能導致應用程式意外終止，或敏感資訊外洩給網路用戶端。此更新藉由改善界限檢查解決了問題。致謝：Apple。

  • Safari RSS

    CVE-ID：CVE-2009-0137

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：存取惡意製作的 feed: URL 時，可能導致執行任意程式碼

    說明：Safari 處理 feed: URL 的方式存在多個輸入驗證問題。這個問題可以導致他人在本機安全性區域中執行任意 JavaScript。這個更新可改善處理 feed: URL 中內嵌 JavaScript 的方式，進而解決問題。感謝任職於 Laconic Security 的 Clint Ruoho、任職於 Microsoft 的 Billy Rios，以及 Brian Mastenbrook 等人報告這些問題。

  • servermgrd

    CVE-ID：CVE-2009-0138

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：遠端攻擊者不需要有效憑證就可能存取 Sever Manager

    說明：Sever Manager 檢查認證憑證的方式存在問題，可以讓遠端攻擊者更改系統設定。這個更新會對認證憑證追加一次驗證程序，以解決這個問題。此問題不會影響 Mac OSX v10.5 之前的系統。致謝：Apple。

  • SMB

    CVE-ID：CVE-2009-0139

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：連線到惡意製作的 SMB 檔案系統可能導致系統意外關機，或以系統權限執行任意程式碼

    說明：SMB 檔案系統中的整數溢位問題，可能導致堆疊緩衝區溢位。連線到惡意製作的 SMB 檔案系統可能導致系統意外關機，或以系統權限執行任意程式碼。此更新藉由改善界限檢查解決了問題。此問題不會影響 Mac OSX v10.5 之前的系統。致謝：Apple。

  • SMB

    CVE-ID：CVE-2009-0140

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：連線到惡意製作的 SMB 檔案伺服器可能導致系統意外關機

    說明：SMB 檔案系統處理檔案系統名稱時，存在記憶體用盡問題。連線到惡意製作的 SMB 檔案伺服器可能導致系統意外關機。這個更新能限制用戶端針對檔案系統名稱配置的記憶體容量，以解決這個問題。致謝：Apple。

  • SquirrelMail

    CVE-ID：CVE-2008-2379、CVE-2008-3663

    適用於：Mac OS X Server v10.4.11、Mac OS X Server v10.5.6

    影響：SquirrelMail 存在多處漏洞

    說明：SquirrelMail 更新至 1.4.17 版以解決數個漏洞，其中最嚴重的漏洞是跨網站指令碼。如需詳細資訊，請造訪 SquirrelMail 網站：http://www.SquirrelMail.org/

  • X11

    CVE-ID：CVE-2008-1377、CVE-2008-1379、CVE-2008-2360、CVE-2008-2361、CVE-2008-2362

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：X11 伺服器存在多項漏洞

    說明：X11 伺服器存在多項漏洞。其中最嚴重的問題，可能導致以執行 X11 伺服器的使用者權限執行任意程式碼。但攻擊者必須能通過 X11 伺服器的認證。這個更新能套用更新的 X.Org 修補程式，以解決這些問題。如需詳細資訊，請造訪 X.Org 網站：http://www.x.org/wiki/Development/Security

  • X11

    CVE-ID：CVE-2006-1861、CVE-2006-3467、CVE-2007-1351、CVE-2008-1806、CVE-2008-1807、CVE-2008-1808

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11

    影響：FreeType v2.1.4 中的多個漏洞

    說明：FreeType v2.1.4 中存在多項漏洞，最嚴重者可能在處理惡意製作的字體時，導致執行任意程式碼。此更新能加入來自 FreeType 2.3.6 版的安全性修正，以解決這些問題。如需詳細資訊，請造訪 FreeType 網站：http://www.freetype.org/。執行 Mac OS X v10.5.6 的系統已經解決這些問題。

  • X11

    CVE-ID：CVE-2007-1351、CVE-2007-1352、CVE-2007-1667

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11

    影響：LibX11 存在多項漏洞

    說明：LibX11 中存在多項漏洞，最嚴重者可能在處理惡意製作的字體時，導致執行任意程式碼。這個更新能套用更新的 X.Org 修補程式，以解決這些問題。如需詳細資訊，請造訪 X.Org 網站：http://www.x.org/wiki/Development/Security。這些問題不會影響執行 Mac OS X v10.5 或以上版本的系統。

  • XTerm

    CVE-ID：CVE-2009-0141

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：本機使用者可將資訊直接傳送到其他使用者的 Xterm

    說明：Xterm 存在權限問題。Xterm 在搭配 luit 時，能建立所有人都能存取的 tty 裝置。這個更新能讓 Xterm 限制權限，只讓使用者存取 tty 裝置，以解決這個問題。

Important: Mention of third-party websites and products is for informational purposes only and constitutes neither an endorsement nor a recommendation. Apple assumes no responsibility with regard to the selection, performance or use of information or products found at third-party websites. Apple provides this only as a convenience to our users. Apple has not tested the information found on these sites and makes no representations regarding its accuracy or reliability. There are risks inherent in the use of any information or products found on the Internet, and Apple assumes no responsibility in this regard. Please understand that a third-party site is independent from Apple and that Apple has no control over the content on that website. Please contact the vendor for additional information.