Om sikkerhetsinnholdet i Sikkerhetsoppdatering 2009-003 / Mac OS X v10.5.8

Dette dokumentet beskriver sikkerhetsinnholdet i Sikkerhetsoppdatering 2009-003 / Mac OS X v10.5.8, som kan lastes ned og installeres via Programvareoppdatering-valgene eller fra Apple Nedlastinger.

Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelige. Du finner mer informasjon om Apple-produktsikkerhet på nettstedet for Apple-produktsikkerhet.

Hvis du vil ha mer informasjon om PGP-nøkkelen for Apple-produktsikkerhet, kan du lese «Slik bruker du PGP-nøkkelen for Apple-produktsikkerhet.»

Der det er mulig, brukes CVE-ID-er som henvisning for ytterligere informasjon om svakhetene.

Mer informasjon om andre sikkerhetsoppdateringer finnes her: Apple sikkerhetsoppdateringer.

Sikkerhetsoppdatering 2009-003 / Mac OS X v10.5.8

• bzip2

  CVE-ID: CVE-2008-1372

  Tilgjengelig for Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: Dekomprimering av skadelige data kan føre til uventet programavslutning

  Beskrivelse: Det er et problem med minnebruk utenfor grensene i bzip2. Åpning av en skadelig komprimert fil kan føre til uventet programavslutning. Denne oppdateringen løser problemet ved å oppdatere bzip2 til versjon 1.0.5. Du finner mer informasjon på bzip2-nettstedet på http://bzip.org/

• CFNetwork

  CVE-ID: CVE-2009-1723

  Tilgjengelig for Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: Et skadelig nettsted kan styre nettstedsadressen som vises i en sertifikatadvarsel

  Beskrivelse: Når Safari kommer til et nettsted via en 302-omdirigering og det vises en sertifikatadvarsel, inneholder advarselen nettadressen til det opprinnelige nettstedet i stedet for nettadressen til det nåværende nettstedet. Dette kan gjøre det mulig for et skadelig nettsted som nås via en åpen omdirigering på et nettsted brukeren stoler på, å styre nettstedsadressen som vises i en sertifikatadvarsel. Dette problemet ble løst ved å returnere riktig nettadresse i det underliggende CFNetwork-laget. Dette problemet berører ikke eldre systemer enn Mac OS X v10.5. Takk til Kevin Day fra Your.Org og Jason Mueller fra Indiana University for å ha meldt fra om dette problemet.

• ColorSync

  CVE-ID: CVE-2009-1726

  Tilgjengelig for Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: Visning av et skadelig bilde med en innebygd ColorSync-profil kan føre til uventet programavslutning eller kjøring av vilkårlig kode

  Beskrivelse: Det er en heap-bufferoverflyt i håndteringen av bilder med en innebygd ColorSync-profil. Åpning av et skadelig bilde med innebygd ColorSync-profil kan føre til uventet avslutning av et program eller utføring av vilkårlig kode. Denne oppdateringen løser problemet ved å utføre ytterligere kontroll og godkjenning av ColorSync-profiler. Takk til Chris Evans fra Google Security Team for å ha meldt fra om dette problemet.

• CoreTypes

  CVE-ID: CVE-2009-1727

  Tilgjengelig for Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: Brukere advares ikke før åpning av visse potensielt utrygge innholdstyper

  Beskrivelse: Denne oppdateringen utvider systemets liste over innholdstyper som blir flagget som potensielt utrygge under visse omstendigheter, for eksempel når de lastes ned fra nettsider. Selv om disse innholdstypene ikke automatisk åpnes, kan de potensielt kjøre skadelige JavaScript-nyttelaster hvis de åpnes manuelt. Denne oppdateringen forbedrer systemets evne til å varsle brukere før håndtering av innholdstyper som brukes av Safari. Takk til Brian Mastenbrook og Clint Ruoho fra Laconic Security for å ha meldt fra om dette problemet.

• Dock

  CVE-ID: CVE-2009-0151

  Tilgjengelig for Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: En person med fysisk tilgang til et låst system kan bruke Multi-Touch-bevegelser med fire fingre

  Beskrivelse: Skjermspareren blokkerer ikke Multi-Touch-bevegelser med fire fingre, noe som kan gjøre en person med fysisk tilgang til et låst system i stand til å administrere programmer eller bruke Expose. Denne oppdateringen løser problemet ved å blokkere Multi-Touch-bevegelser ordentlig når skjermspareren kjører. Dette problemet berører bare systemer med Multi-Touch-styreflate.

• Image RAW

  CVE-ID: CVE-2009-1728

  Tilgjengelig for Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: Visning av et skadelig Canon RAW-bilde kan føre til uventet programavslutning eller kjøring av vilkårlig kode

  Beskrivelse: Det er en stakkbufferoverflyt i håndteringen av Canon RAW-bilder. Visning av et skadelig Canon RAW-bilde kan føre til uventet programavslutning eller kjøring av vilkårlig kode. Denne oppdateringen løser problemet gjennom forbedret grensekontroll. For Mac OS X v10.4-systemer er dette problemet allerede løst gjennom RAW-kompatibilitetsoppdatering 2.6 for digitale kameraer. Takk til Chris Ries fra Carnegie Mellon University Computing Services for å ha meldt fra om dette problemet.

• ImageIO

  CVE-ID: CVE-2009-1722

  Tilgjengelig for Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: Visning av et skadelig OpenEXR-bilde kan føre til uventet programavslutning eller kjøring av vilkårlig kode

  Beskrivelse: Det er en heap-bufferoverflyt i håndteringen av OpenEXR-bilder i ImageIO. Visning av et skadelig OpenEXR-bilde kan føre til uventet programavslutning eller kjøring av vilkårlig kode. Denne oppdateringen løser problemet ved å oppdatere OpenEXR til versjon 1.6.1. Takk til Lurene Grenier fra Sourcefire VRT og Chris Ries fra Carnegie Mellon University Computing Services for å ha meldt fra om dette problemet.

• ImageIO

  CVE-ID: CVE-2009-1721

  Tilgjengelig for Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: Visning av et skadelig OpenEXR-bilde kan føre til uventet programavslutning eller kjøring av vilkårlig kode

  Beskrivelse: Det er et problem med bruk av ikke-initialisert minne i håndteringen av OpenEXR-bilder i ImageIO. Visning av et skadelig OpenEXR-bilde kan føre til uventet programavslutning eller kjøring av vilkårlig kode. Denne oppdateringen løser problemet gjennom ordentlig initialisering av minnet og ytterligere validering av OpenEXR-bilder. Kreditert: Apple.

• ImageIO

  CVE-ID: CVE-2009-1720

  Tilgjengelig for Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: Visning av et skadelig OpenEXR-bilde kan føre til uventet programavslutning eller kjøring av vilkårlig kode

  Beskrivelse: Det er flere heltallsoverflyter i håndteringen av OpenEXR-bilder i ImageIO. Visning av et skadelig OpenEXR-bilde kan føre til uventet programavslutning eller kjøring av vilkårlig kode. Denne oppdateringen løser problemene gjennom forbedret grensekontroll. Kreditert: Apple.

• ImageIO

  CVE-ID: CVE-2009-2188

  Tilgjengelig for Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: Visning av et skadelig bilde kan føre til uventet programavslutning eller kjøring av vilkårlig kode

  Beskrivelse: Det er en bufferoverflyt i håndteringen av EXIF-metadata i ImageIO. Visning av et skadelig bilde kan føre til uventet avslutning av et program eller utføring av vilkårlig kode. Denne oppdateringen løser problemet gjennom forbedret grensekontroll. Dette problemet berører ikke eldre systemer enn Mac OS X v10.5.

• ImageIO

  CVE-ID: CVE-2009-0040

  Tilgjengelig for Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: Behandling av et skadelig PNG-bilde kan føre til uventet programavslutning eller kjøring av vilkårlig kode

  Beskrivelse: Det er et problem med en ikke-initialisert peker i håndteringen av PNG-bilder. Behandling av et skadelig PNG-bilde kan føre til uventet programavslutning eller kjøring av vilkårlig kode. Denne oppdateringen løser problemet ved å utføre ytterligere validering av PNG-bilder. Takk til Tavis Ormandy fra Google Security Team for å ha meldt fra om dette problemet.

• Kernel

  CVE-ID: CVE-2009-1235

  Tilgjengelig for Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: En lokal bruker kan skaffe seg systemrettigheter

  Beskrivelse: Det er et implementeringsproblem i håndteringen av fcntl-systemkall i kjernen. En lokal bruker kan overskrive kjerneminne og kjøre vilkårlig kode med systemrettigheter. Denne oppdateringen løser problemet gjennom forbedret håndtering av fcntl-systemkall. Takk til Razvan Musaloiu-E. fra Johns Hopkins University og HiNRG for å ha meldt fra om dette problemet.

• launchd

  CVE-ID: CVE-2009-2190

  Tilgjengelig for Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: Åpning av mange tilkoblinger til en inetd-basert launchd-tjeneste kan føre til tjenestenekt

  Beskrivelse: Åpning av mange tilkoblinger til en inetd-basert launchd-tjeneste kan gjøre at launchd slutter å behandle innkommende tilkoblinger til denne tjenesten frem til neste gang system startes på nytt. Denne oppdateringen løser problemet gjennom forbedret feilhåndtering.

• Login Window

  CVE-ID: CVE-2009-2191

  Tilgjengelig for Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: Et problem med en formatstreng i Login Window kan føre til uventet programavslutning eller kjøring av vilkårlig kode

  Beskrivelse: Et problem med en formatstreng i håndteringen av programnavn i Login Window kan føre til uventet programavslutning eller kjøring av vilkårlig kode. Denne oppdateringen løser problemet gjennom forbedret håndtering av programnavn. Takk til Alfredo Pesoli fra 0xcafebabe.it for å ha meldt fra om dette problemet.

• MobileMe

  CVE-ID: CVE-2009-2192

  Tilgjengelig for Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: Avlogging fra MobileMe fjerner ikke all legitimasjon

  Beskrivelse: Det er et logisk problem i MobileMe-valgpanelet. Avlogging fra valgpanelet sletter ikke all legitimasjon. En person med tilgang til den lokale brukerkontoen kan fortsette å bruke andre systemer knyttet til MobileMe-kontoen som tidligere har vært logget inn, for den lokale kontoen. Denne oppdateringen løser problemet ved å slette all legitimasjon ved avlogging.

• Networking

  CVE-ID: CVE-2009-2193

  Tilgjengelig for Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: Mottak av en skadelig AppleTalk-svarpakke kan føre til kjøring av vilkårlig kode med systemrettigheter eller uventet systemavslutning

  Beskrivelse: Det er en bufferoverflyt i håndteringen av AppleTalk-svarpakker i kjernen. Mottak av en skadelig AppleTalk-svarpakke kan føre til kjøring av vilkårlig kode med systemrettigheter eller uventet systemavslutning. Denne oppdateringen løser problemet gjennom forbedret validering av AppleTalk-svarpakker. Takk til Ilja van Sprundel fra IOActive for å ha meldt fra om dette problemet.

• Networking

  CVE-ID: CVE-2009-2194

  Tilgjengelig for Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: En lokal bruker kan forårsake uventet systemavslutning

  Beskrivelse: Det er et synkroniseringsproblem i håndteringen av deling av fildeskriptorer over lokale sokler. Ved å sende meldinger som inneholder fildeskriptorer, til en sokkel uten mottaker, kan en lokal bruker forårsake uventet systemavslutning. Denne oppdateringen løser problemet gjennom forbedret håndtering av delte fildeskriptorer. Takk til Bennet Yee fra Google Inc. for å ha meldt fra om dette problemet.

• XQuery

  CVE-ID: CVE-2008-0674

  Tilgjengelig for Mac OS X v10.5 til v10.5.7, Mac OS X Server v10.5 til v10.5.7

  Virkning: Behandling av skadelig XML-innhold kan føre til kjøring av vilkårlig kode

  Beskrivelse: Det er en bufferoverflyt i håndteringen av tegnklasser i regulære uttrykk i Perl Compatible Regular Expressions (PCRE)-biblioteket som XQuery bruker. Dette kan gjøre det mulig for en ekstern angriper å kjøre vilkårlig kode via et regulært uttrykk som inneholder en tegnklasse med et stort antall tegn med Unicode-kodepunkter som er større enn 255. Denne oppdateringen løser problemet ved å oppdatere PCRE til versjon 7.6.