Acerca da Atualização de segurança 2009-005

Este documento descreve a Atualização de segurança 2009-005.

Para proteção dos nossos clientes, a Apple não divulga, comenta nem confirma problemas de segurança enquanto não for efetuada uma investigação completa e não estiverem disponíveis as correções ou versões necessárias. Para obter mais informações acerca da segurança dos produtos Apple, consulte o site Segurança dos produtos Apple.

Para obter informações sobre a chave PGP de segurança dos produtos Apple, consulte o artigo "Como utilizar a chave PGP de segurança dos produtos Apple".

Sempre que possível, são utilizados CVE ID para designar as vulnerabilidades e disponibilizar mais informações.

Para saber mais sobre outras Atualizações de segurança, consulte o artigo "Atualizações de segurança da Apple."

Atualização de segurança 2009-005

• Alias Manager

  ID CVE: CVE-2009-2800

  Disponível para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impacto: abrir um ficheiro de alias criado com intuito malicioso pode provocar o encerramento inesperado da aplicação ou a execução de códigos arbitrários

  Descrição: existe uma ultrapassagem do limite máximo do buffer no processamento de ficheiros de alias. Abrir um ficheiro de alias criado com intuito malicioso pode provocar o encerramento inesperado da aplicação ou a execução de códigos arbitrários. Esta atualização resolve o problema através da verificação melhorada dos limites. Este problema não afeta sistemas Mac OS X v10.6. Crédito: Apple.

• CarbonCore

  ID CVE: CVE-2009-2803

  Disponível para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impacto: abrir um ficheiro com uma bifurcação de recursos concebida com intuito malicioso pode provocar o encerramento inesperado da aplicação ou a execução de códigos arbitrários

  Descrição: existe um problema de corrupção da memória durante o processamento das bifurcações de recursos pelo Gestor de Recursos. Abrir um ficheiro com uma bifurcação de recursos concebida com intuito malicioso pode provocar o encerramento inesperado da aplicação ou a execução de códigos arbitrários. Esta atualização corrige o problema através da validação melhorada das bifurcações de recursos. Este problema não afeta sistemas Mac OS X v10.6. Crédito: Apple.

• ClamAV

  ID CVE: CVE-2009-1241, CVE-2009-1270, CVE-2008-6680, CVE-2009-1371, CVE-2009-1372

  Disponível para: Mac OS X Server v10.5.8

  Impacto: várias vulnerabilidades no ClamAV 0.94.2

  Descrição: existem várias vulnerabilidades no ClamAV 0.94.2, com a mais grave a poder provocar a execução de códigos arbitrários. Esta atualização corrige os problemas através da atualização do ClamAV para a versão 0.95.2. O ClamAV é distribuído apenas com os sistemas Mac OS X Server. Estão disponíveis mais informações através do site do ClamAV em http://www.clamav.net/ Estes problemas não afetam os sistemas Mac OS X v10.6.

• ColorSync

  ID CVE: CVE-2009-2804

  Disponível para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impacto: a visualização de uma imagem criada com intuito malicioso pode provocar o encerramento inesperado da aplicação ou a execução de códigos arbitrários

  Descrição: existe uma ultrapassagem do limite máximo de números inteiros durante o processamento de imagens com um perfil ColorSync integrado, o que pode provocar a ultrapassagem do limite máximo do buffer da pilha. Abrir uma imagem criada com intuito malicioso, com um perfil ColorSync incorporado, poderá provocar o encerramento inesperado da aplicação ou a execução de códigos arbitrários. Esta atualização resolve o problema ao efetuar a validação adicional de perfis ColorSync. Este problema não afeta sistemas Mac OS X v10.6. Crédito: Apple.

• CoreGraphics

  ID CVE: CVE-2008-2322

  Disponível para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impacto: abrir um ficheiro PDF criado com intuito malicioso pode provocar o encerramento inesperado da aplicação ou a execução de códigos arbitrários

  Descrição: a ultrapassagem do limite máximo de números inteiros durante o processamento de ficheiros PDF por parte do CoreGraphics pode provocar a ultrapassagem do limite máximo do buffer da pilha. Abrir um ficheiro PDF com um fluxo JBIG2 criado com intuito malicioso pode provocar o encerramento inesperado da aplicação ou a execução de códigos arbitrários. Esta atualização resolve o problema através da verificação melhorada dos limites. Os nossos agradecimentos a Will Dormann da CERT/CC por ter comunicado este problema. Este problema não afeta sistemas Mac OS X v10.6.

• CoreGraphics

  ID CVE: CVE-2009-2468

  Disponível para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impacto: visitar um site criado com intuito malicioso pode provocar o encerramento inesperado da aplicação ou a execução de códigos arbitrários

  Descrição: existe uma ultrapassagem do limite máximo do buffer da pilha no desenho de cadeias de texto longas. Visitar um site criado com intuito malicioso poderá provocar o encerramento inesperado da aplicação ou a execução de um código arbitrário. Esta atualização resolve o problema através da verificação melhorada dos limites. Este problema não afeta sistemas Mac OS X v10.6. Os nossos agradecimentos a Will Drewry da Google Inc. por ter comunicado este problema.

• CUPS

  ID CVE: CVE-2009-0949

  Disponível para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impacto: um atacante remoto pode conseguir recusar o acesso ao serviço Partilha de impressoras

  Descrição: existe um problema de perda de referência do indicador nulo no CUPS. Ao enviar repetidamente pedidos de agendamento criados com intuito malicioso, um atacante remoto pode conseguir recusar o acesso ao serviço Partilha de impressoras. Esta atualização corrige o problema através da validação melhorada dos pedidos de agendamento. Este problema não afeta sistemas Mac OS X v10.6. Os nossos agradecimentos a Anibal Sacco da CORE IMPACT Exploit Writing Team (EWT) na Core Security Technologies por ter comunicado este problema.

• CUPS

  ID CVE: CVE-2009-2807

  Disponível para: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impacto: um utilizador local sem privilégios pode conseguir obter privilégios do sistema

  Descrição: existe uma ultrapassagem do limite máximo do buffer da pilha no backend USB do CUPS. Isto poderá permitir que um utilizador local obtenha privilégios de sistema. Esta atualização resolve o problema através da verificação melhorada dos limites. Este problema não afeta os sistemas anteriores aos sistemas Mac OS X v10.5 ou Mac OS X v10.6.

• Flash Player plug-in

  ID CVE: CVE-2009-1862, CVE-2009-1863, CVE-2009-1864, CVE-2009-1865, CVE-2009-1866, CVE-2009-1867, CVE-2009-1868, CVE-2009-1869, CVE-2009-1870

  Disponível para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impacto: várias vulnerabilidades no plug-in do Adobe Flash Player

  Descrição: existem vários problemas no plug-in do Adobe Flash Player, sendo que o mais grave pode resultar na execução de códigos arbitrários quando visualizar um site criado com intuito malicioso. Os problemas são resolvidos com a atualização do plug-in do Flash Player em sistemas Mac OS v10.5.8 para a versão 10.0.32.18 e para a versão 9.0.246.0 em sistemas Mac OS X v10.4.11. Para sistemas Mac OS X v10.6, estes problemas são resolvidos no Mac OS X v10.6.1. Estão disponíveis mais informações através do site da Adobe em http://www.adobe.com/support/security/bulletins/apsb09-10.html

• ImageIO

  ID CVE: CVE-2009-2809

  Disponível para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impacto: ver uma imagem TIFF codificada PixarFilm criada com intuito malicioso pode provocar o encerramento inesperado da aplicação ou a execução de códigos arbitrários

  Description: existem vários problemas de corrupção da memória no processamento por parte do ImageIO de imagens TIFF codificadas PixarFilm. Ver uma imagem TIFF codificada PixarFilm criada com intuito malicioso pode provocar o encerramento inesperado da aplicação ou a execução de códigos arbitrários. Esta atualização resolve o problema através da validação adicional de imagens TIFF codificadas PixarFilm. Este problema não afeta sistemas Mac OS X v10.6. Crédito: Apple.

• Launch Services

  ID CVE: CVE-2009-2811

  Disponível para: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impacto: tentar abrir conteúdo descarregado inseguro pode não gerar um aviso

  Descrição: esta atualização adiciona '.fileloc’ à lista de tipos de conteúdo do sistema que serão sinalizados como potencialmente inseguros em determinadas circunstâncias, por exemplo, quando são descarregados a partir de um e-mail. Embora estes tipos de conteúdo não sejam automaticamente abertos, se forem abertos manualmente, poderão levar à execução de uma carga útil maliciosa. Esta atualização melhora a capacidade do sistema de notificar os utilizadores antes do processamento de ficheiros '.fileloc'. Este problema não afeta sistemas Mac OS X v10.6. Crédito: Apple.

• Launch Services

  ID CVE: CVE-2009-2812

  Disponível para: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impacto: visitar um site malicioso pode provocar a execução de códigos arbitrários

  Descrição: quando uma aplicação é descarregada, o Launch Services analisa os respetivos tipos de documento exportados. Um problema de design no processamento de tipos de documento exportados pode fazer com que o Launch Services associe uma extensão de ficheiro segura a um Uniform Type Identifier (UTI) inseguro. Visitar um site malicioso pode fazer com que um tipo de ficheiro inseguro seja aberto automaticamente. Esta atualização resolve o problema através do processamento melhorado de tipos de documento exportados de aplicações não fidedignas. Este problema não afeta os sistemas anteriores aos sistemas Mac OS X v10.5 ou Mac OS X v10.6. Crédito: Apple.

• MySQL

  ID CVE: CVE-2008-2079

  Disponível para: Mac OS X Server v10.5.8

  Impacto: o MySQL é atualizado para a versão 5.0.82

  Descrição: o MySQL é atualizado para a versão 5.0.82 para resolver um problema de implementação que permite a um utilizador local obter privilégios elevados. Este problema afeta apenas os sistemas com Mac OS X Server. Este problema não afeta sistemas Mac OS X v10.6. Estão disponíveis mais informações no site do MySQL em http://dev.mysql.com/doc/refman/5.0/en/news-5-0-82.html

• PHP

  ID CVE: CVE-2009-1271, CVE-2009-1272, CVE-2008-5498

  Disponível para: Mac OS X v10.5, Mac OS X Server v10.5.8

  Impacto: várias vulnerabilidades no PHP 5.2.8

  Descrição: o PHP é atualizado para a versão 5.2.10 com vista a corrigir diversas vulnerabilidades, a mais grave das quais pode provocar a execução de códigos arbitrários. Estão disponíveis mais informações através do site do PHP em http://www.php.net/ Estes problemas não afetam sistemas Mac OS X v10.6.

• SMB

  ID CVE: CVE-2009-2813

  Disponível para: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impacto: a ativação da Partilha de ficheiros do Windows pode originar a partilha inesperada de pastas

  Descrição: existe uma condição de erro não verificada no Samba. Um utilizador que não tenha um diretório pessoal configurado e se ligue ao serviço de Partilha de ficheiros do Windows, vai poder aceder ao conteúdo do sistema de ficheiros, sujeito às permissões do sistema de ficheiros local. Esta atualização resolve o problema através do processamento melhorado de erros de resolução de caminhos. Este problema não afeta os sistemas anteriores aos sistemas Mac OS X v10.5 ou Mac OS X v10.6. Os nossos agradecimentos a J. David Hester do LCG Systems National Institutes of Health por ter comunicado este problema.

• Wiki Server

  ID CVE: CVE-2009-2814

  Disponível para: Mac OS X Server v10.5.8

  Impacto: um atacante remoto pode obter acesso a contas de utilizador do Wiki Server

  Descrição: existe um problema de execução de scripts entre sites no processamento por parte do Wiki Server de pedidos de pesquisa com dados codificados não UTF-8. Isso pode permitir a um atacante remoto aceder a um servidor Wiki Server com as credenciais do utilizador do Wiki Server que efetuou a pesquisa. Esta atualização resolve o problema ao definir UTF-8 como o conjunto de carateres predefinido em respostas de HTTP. Este problema não afeta os sistemas anteriores aos sistemas Mac OS X v10.5 ou Mac OS X v10.6. Crédito: Apple.