Over beveiligingsupdate 2009-005

In dit document wordt beveiligingsupdate 2009-005 beschreven.

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Meer informatie over Apple productbeveiliging vind je op de website Apple productbeveiliging.

Raadpleeg Hoe gebruik je de Apple Product Security PGP-sleutel? voor meer informatie over het gebruik van de Apple PGP-sleutel voor productbeveiliging.

Waar mogelijk worden CVE-ID's als referentie voor kwetsbaarheden gebruikt voor verdere informatie.

Zie Apple beveiligingsupdates voor meer informatie over andere beveiligingsupdates.

Beveiligingsupdate 2009-005

• Alias Manager

  CVE-ID: CVE-2009-2800

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impact: het openen van een kwaadwillig vervaardigd bestand kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code

  Beschrijving: er treedt een bufferoverloop op bij het verwerken van aliasbestanden. Het openen van een kwaadwillig vervaardigd aliasbestand kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door verbeterde bereikcontrole. Dit probleem is niet van invloed op systemen met Mac OS X v10.6. Met dank aan Apple.

• CarbonCore

  CVE-ID: CVE-2009-2803

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impact: het openen van een een bestand met een kwaadwillig vervaardigd bronfork kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code

  Beschrijving: er bestaat een geheugenbeschadigingsprobleem bij de verwerking van bronforks door Resource Manager. Het openen van een kwaadwillig vervaardigde bronfork kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update lost het probleem op door verbeterde validatie van bronforks uit te voeren. Dit probleem is niet van invloed op systemen met Mac OS X v10.6. Met dank aan Apple.

• ClamAV

  CVE-ID: CVE-2009-1241, CVE-2009-1270, CVE-2008-6680, CVE-2009-1371, CVE-2009-1372

  Beschikbaar voor: Mac OS X Server v10.5.8

  Impact: meerdere kwetsbaarheden in ClamAV 0.94.2

  Beschrijving: er bestaan meerdere kwetsbaarheden in ClamAV 0.94.2, waarvan de meest ernstige kunnen leiden tot het uitvoeren van willekeurige code. In deze update wordt het probleem verholpen door ClamAV bij te werken naar versie 0.95.2. ClamAV wordt alleen geleverd bij systemen met Mac OS X Server. Meer informatie vind je op de website van ClamAV op http://www.clamav.net/ Deze problemen zijn niet van invloed op systemen met Mac OS X v10.6.

• ColorSync

  CVE-ID: CVE-2009-2804

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impact: het bekijken van een kwaadwillig vervaardigde afbeelding met een ingebed ColorSync-profiel kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code

  Beschrijving: er bestaat een overloop van hele getallen bij het verwerken van afbeeldingen met een ingesloten ColorSync-profiel, wat kan leiden tot een heapbufferoverloop. Het openen van een kwaadwillig vervaardigde afbeelding met een ingebed ColorSync-profiel kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door aanvullende validatie van ColorSync-profielen uit te voeren. Dit probleem is niet van invloed op systemen met Mac OS X v10.6. Met dank aan Apple.

• CoreGraphics

  CVE-ID: CVE-2009-2805

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impact: het openen van een kwaadwillig vervaardigd pdf-bestand kan leiden tot onverwachte beëindiging van een programma of het uitvoeren van willekeurige code

  Beschrijving: een overloop van hele getallen bij het verwerken van pdf-bestanden door CoreGraphics kan leiden tot een heapbufferoverloop. Het openen van een pdf-bestand met een kwaadwillig vervaardigde JBIG2-stream kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door verbeterde bereikcontrole. Met dank aan Will Dormann van CERT/CC voor het melden van dit probleem. Dit probleem is niet van invloed op systemen met Mac OS X v10.6.

• CoreGraphics

  CVE-ID: CVE-2009-2468

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impact: een bezoek aan een kwaadwillig vervaardigde website kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code

  Beschrijving: er bestaat een heapbufferoverloop bij het tekenen van tekenreeksen met lange teksten. Het bezoeken van een kwaadwillig vervaardigde website kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door verbeterde bereikcontrole. Dit probleem is niet van invloed op systemen met Mac OS X v10.6. Met dank aan Will Drewry van Google Inc. voor het melden van dit probleem.

• CUPS

  CVE-ID: CVE-2009-0949

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impact: een externe aanvaller kan toegang tot de voorziening voor printerdeling weigeren

  Beschrijving: er bestaat een null pointer dereference in CUPS. Door herhaaldelijk kwaadwillig vervaardigde planningsverzoeken te sturen, kan een externe aanvaller toegang tot de voorziening voor printerdeling weigeren. Deze update lost het probleem op door verbeterde validatie van planningsverzoeken uit te voeren. Dit probleem is niet van invloed op systemen met Mac OS X v10.6. Met dank aan Anibal Sacco van het CORE IMPACT Exploit Writing Team (EWT) bij Core Security Technologies voor het melden van dit probleem.

• CUPS

  CVE-ID: CVE-2009-2807

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impact: een lokale gebruiker zonder rechten kan systeemrechten verkrijgen

  Beschrijving: er bestaat een heapbufferoverloop in de USB-backend van CUPS. Hierdoor kan een lokale gebruiker systeemrechten verkrijgen. Deze update verhelpt het probleem door verbeterde bereikcontrole. Dit probleem heeft geen gevolgen voor systemen ouder dan Mac OS X v10.5 of Mac OS X v10.6.

• Flash Player plug-in

  CVE-ID: CVE-2009-1862, CVE-2009-1863, CVE-2009-1864, CVE-2009-1865, CVE-2009-1866, CVE-2009-1867, CVE-2009-1868, CVE-2009-1869, CVE-2009-1870

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impact: er bestaan meerdere kwetsbaarheden in de Adobe Flash Player-plugin

  Beschrijving: er bestaan meerdere problemen in de Adobe Flash Player-plugin, waarvan de meest ernstige kunnen leiden tot het uitvoeren van willekeurige code bij het bekijken van een kwaadwillig vervaardigde website. De problemen worden verholpen door de Flash Player-plugin op Mac OS v10.5.8 bij te werken naar versie 10.0.32.18 of naar versie 9.0.246.0 op systemen met Mac OS X v10.4.11. Voor systemen met Mac OS X v10.6 worden deze systemen verholpen in Mac OS X v10.6.1. Meer informatie vind je op de website van Adobe op http://www.adobe.com/support/security/bulletins/apsb09-10.html

• ImageIO

  CVE-ID: CVE-2009-2809

  Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impact: het bekijken van een kwaadwillig vervaardigde met PixarFilm gecodeerde TIFF-afbeelding kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code

  Beschrijving: er bestaan meerdere problemen met geheugenbeschadiging bij het verwerken van met PixarFilm gecodeerde TIFF-afbeeldingen door ImageIO. Het bekijken van een kwaadwillig vervaardigde met PixarFilm gecodeerde TIFF-afbeelding kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update lost het probleem op door aanvullende validatie van met PixarFilm gecodeerde TIFF-afbeeldingen. Dit probleem is niet van invloed op systemen met Mac OS X v10.6. Met dank aan Apple.

• Launch Services

  CVE-ID: CVE-2009-2811

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impact: het openen van gedownload materiaal dat onveilig is, leidt mogelijk niet tot een waarschuwing

  Beschrijving: deze update voegt '.fileloc' toe aan de lijst met materiaaltypen van het systeem die onder bepaalde omstandigheden als potentieel onveilig worden aangemerkt, bijvoorbeeld wanneer ze vanuit een e-mail gedownload worden. Hoewel deze materiaaltypen niet automatisch worden geopend, kunnen ze leiden tot het uitvoeren van een kwaadaardige payload als ze handmatig worden geopend. Deze update verbetert de mogelijkheid van het systeem om gebruikers op de hoogte te stellen voordat '.fileloc'-bestanden worden verwerkt. Dit probleem is niet van invloed op systemen met Mac OS X v10.6. Met dank aan Apple.

• Launch Services

  CVE-ID: CVE-2009-2812

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impact: het bezoeken van een kwaadwillige website kan leiden tot het uitvoeren van willekeurige code

  Beschrijving: wanneer een app gedownload wordt, analyseert Launch Services de geëxporteerde documenttypen daarvan. Door een ontwerpprobleem in de verwerking van geëxporteerde documenttypen, kan Launch Services een veilige bestandsextensie associëren met een onveilige UTI (Uniform Type Identifier). Het bezoeken van een kwaadwillige website kan ertoe leiden dat een onveilig bestandstype automatisch wordt geopend. Deze update verhelpt het probleem door verbeterde verwerking van geëxporteerde documenttypen van apps die niet vertrouwd worden. Dit probleem heeft geen gevolgen voor systemen ouder dan Mac OS X v10.5 of Mac OS X v10.6. Met dank aan Apple.

• MySQL

  CVE-ID: CVE-2008-2079

  Beschikbaar voor: Mac OS X Server v10.5.8

  Impact: MySQL wordt bijgewerkt naar versie 5.0.82

  Beschrijving: MySQL wordt bijgewerkt naar versie 5.0.82 om een implementatieprobleem te verhelpen waardoor een lokale gebruiker meer rechten kan krijgen. Dit probleem is alleen van invloed op systemen met Mac OS X Server. Dit probleem is niet van invloed op systemen met Mac OS X v10.6. Meer informatie vind je op de website van MySQL op http://dev.mysql.com/doc/refman/5.0/en/news-5-0-82.html

• PHP

  CVE-ID: CVE-2009-1271, CVE-2009-1272, CVE-2008-5498

  Beschikbaar voor: Mac OS X v10.5, Mac OS X Server v10.5.8

  Impact: meerdere kwetsbaarheden in PHP 5.2.8

  Beschrijving: PHP wordt bijgewerkt naar versie 5.2.10 om meerdere kwetsbaarheden te verhelpen, waarvan het uitvoeren van willekeurige code de ernstigste is. Meer informatie vind je op de website van PHP op http://www.php.net/ Deze problemen zijn niet van invloed op systemen met Mac OS X v10.6.

• SMB

  CVE-ID: CVE-2009-2813

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impact: door Windows-bestandsdeling in te schakelen, kunnen onverwacht mappen worden gedeeld

  Beschrijving: er bestaat een ongecontroleerde fout in Samba. Een gebruiker zonder geconfigureerde thuismap die verbinding maakt met de voorziening voor Windows-bestandsdeling, krijgt toegang tot de inhoud van het bestandssysteem volgens de lokale rechten voor het bestandssysteem. Deze update verhelpt het probleem door de verwerking van padtoewijzingsfouten te verbeteren. Dit probleem heeft geen gevolgen voor systemen ouder dan Mac OS X v10.5 of Mac OS X v10.6. Met dank aan J. David Hester van LCG Systems National Institutes of Health voor het melden van dit probleem.

• Wiki Server

  CVE-ID: CVE-2009-2814

  Beschikbaar voor: Mac OS X Server v10.5.8

  Impact: een externe aanvaller kan toegang krijgen tot gebruikersaccounts van Wiki Server

  Beschrijving: er bestaat een probleem met cross-site scripting in de manier waarop Wiki Server zoekopdrachten verwerkt die gegevens bevatten zonder UTF-8-codering. Hierdoor kan een externe aanvaller toegang krijgen tot een Wiki Server met de inloggegevens van de Wiki Server-gebruiker die de zoekopdracht uitvoert. Deze update verhelpt het probleem door UTF-8 in te stellen als de standaard tekenset in HTTP-reacties. Dit probleem heeft geen gevolgen voor systemen ouder dan Mac OS X v10.5 of Mac OS X v10.6. Met dank aan Apple.