Over de beveiligingsinhoud van beveiligingsupdate 2010-004/Mac OS X v10.6.4

In dit artikel wordt de beveiligingsinhoud van de beveiligingsupdate 2010-004/Mac OS X v10.6.4 beschreven.

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Meer informatie over Apple productbeveiliging vind je op de website Apple productbeveiliging.

Raadpleeg Hoe gebruik je de Apple Product Security PGP-sleutel? voor meer informatie over het gebruik van de Apple PGP-sleutel voor productbeveiliging.

Waar mogelijk worden CVE-ID's als referentie voor kwetsbaarheden gebruikt voor verdere informatie.

Zie Apple beveiligingsupdates voor meer informatie over andere beveiligingsupdates.

Beveiligingsupdate 2010-004/Mac OS X v10.6.4

• CUPS

  CVE-ID: CVE-2010-0540

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: een bezoek aan een kwaadwillig vervaardigde website terwijl je als beheerder bent ingelogd bij de CUPS-webinterface kan leiden tot het wijzigen van CUPS-instellingen

  Beschrijving: er treedt een probleem op met de vervalsing van een cross-site-verzoek in de CUPS-webinterface. Een bezoek aan een kwaadwillig vervaardigde website terwijl je als beheerder bent ingelogd bij de CUPS-webinterface kan leiden tot het wijzigen van CUPS instellingen. Dit probleem is verholpen door een willekeurig sessietoken te vereisen voor inzendingen van webformulieren. Met dank aan Adrian 'pagvac' Pastor van GNUCITIZEN en Tim Starling voor het melden van dit probleem.

• CUPS

  CVE-ID: CVE-2010-0302

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: een externe aanvaller kan een onverwachte beëindiging van cupsd veroorzaken

  Beschrijving: er treedt een 'use after free'-probleem op in cupsd. Door het verzenden van een kwaadwillig vervaardigd verzoek 'get-printer-jobs' kan een aanvaller een externe denial-of-service veroorzaken. Dit probleem is beperkt door het automatisch opnieuw starten van cupsd na de beëindiging ervan. Dit probleem is opgelost door verbeterde tracering van het gebruik van een verbinding. Met dank aan Tim Waugh voor het melden van dit probleem.

• CUPS

  CVE-ID: CVE-2010-1748

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: een aanvaller met toegang tot de CUPS-webinterface kan mogelijk een beperkte hoeveelheid geheugen van het cupsd-proces lezen

  Beschrijving: er treedt een probleem op met het lezen van niet-geïnitialiseerd geheugen bij de verwerking van vormvariabelen door de webinterface van CUPS. Een aanvaller met toegang tot de CUPS-webinterface kan mogelijk een beperkte hoeveelheid geheugen van het cupsd-proces lezen. Standaard hebben alleen lokale gebruikers toegang tot de webinterface. Externe gebruikers hebben ook toegang wanneer delen van printers is ingeschakeld. Dit probleem is verholpen door een verbeterde verwerking van vormvariabelen. Met dank aan Luca Carettoni voor het melden van dit probleem.

• DesktopServices

  CVE-ID: CVE-2010-0545

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: een bewerking in de Finder kan leiden tot bestanden of mappen met onverwachte bevoegdheden

  Beschrijving: wanneer 'Pas toe op ingesloten onderdelen' is geselecteerd in het venster 'Toon info' van de Finder, worden de eigendomsrechten van de ingesloten onderdelen niet gewijzigd. Dit kan leiden tot ingesloten bestanden en mappen met onverwachte bevoegdheden. Dit probleem is verholpen door de juiste eigendomsrechten toe te passen. Met dank aan Michi Ruepp van pianobakery.com voor het melden van dit probleem.

• Flash Player plug-in

  CVE-ID: CVE-2010-0186, CVE-2010-0187

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: meerdere kwetsbaarheden in Adobe Flash Player-plugin

  Beschrijving: er treden meerdere problemen op in de Adobe Flash Player-plugin, waarvan het ernstigste kan leiden tot onbevoegde verzoeken via verschillende domeinen. De problemen zijn opgelost door de Flash Player-plugin bij te werken naar versie 10.0.45.2. Meer informatie is beschikbaar op de website van Adobe op http://www.adobe.com/support/security/

• Folder Manager

  CVE-ID: CVE-2010-0546

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: het deactiveren van een kwaadwillig vervaardigde schijfkopie of externe share kan leiden tot gegevensverlies

  Beschrijving: er treedt een probleem op met het volgen van een symlink in Folder Manager. Een map genaamd 'Cleanup At Startup' werd verwijderd bij de deactivatie. Een kwaadwillig vervaardigd volume kan een symlink gebruiken om een willekeurige map te verwijderen met de bevoegdheden van de huidige gebruiker. Dit probleem is verholpen door een verbeterde verwerking van symlinks. Met dank aan Apple.

• Help Viewer

  CVE-ID: CVE-2010-1373

  Beschikbaar voor: Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: het bezoeken van aan een kwaadwillig vervaardigde website kan leiden tot het uitvoeren van JavaScript in het lokale domein

  Beschrijving: er treedt een cross-site scripting-probleem op bij de verwerking van help:-URL's door Help-viewer. Het bezoeken van een kwaadwillig vervaardigde website kan leiden tot het uitvoeren van JavaScript in het lokale domein. Dit kan leiden tot openbaarmaking van informatie of het uitvoeren van willekeurige code. Dit probleem is verholpen door een verbeterde escaping van URL-parameters in HTML-materiaal. Dit probleem is niet van toepassing op systemen ouder dan Mac OS X v10.6. Met dank aan Clint Ruoho van Laconic Security voor het melden van dit probleem.

• iChat

  CVE-ID: CVE-2010-1374

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: een externe gebruiker kan bestanden uploaden naar willekeurige locaties op het bestandssysteem van een gebruiker die momenteel AIM gebruikt in iChat

  Beschrijving: er treedt een probleem met het doorlopen van mappen op bij de verwerking van inline beeldoverdrachten in iChat. Een externe gebruiker kan bestanden uploaden naar willekeurige locaties op het bestandssysteem van een gebruiker die momenteel AIM gebruikt in iChat. Dit probleem wordt verholpen door betere verwerking van bestandspaden. Met dank aan Apple.

• ImageIO

  CVE-ID: CVE-2010-1411

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: het openen van een kwaadwillig vervaardigd TIFF-bestand kan leiden tot onverwachte beëindiging van een programma of tot het uitvoeren van willekeurige code

  Beschrijving: meerdere overlopen bij gehele getallen bij de verwerking van TIFF-bestanden kunnen leiden tot een heapbufferoverloop. Het openen van een kwaadwillig vervaardigd TIFF-bestand kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. De problemen zijn verholpen door verbeterde controle van de grenzen. Met dank aan Kevin Finisterre van digitalmunition.com voor het melden van deze problemen.

• ImageIO

  CVE-ID: CVE-2010-0543

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impact: het bekijken van een kwaadwillig vervaardigd filmbestand kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code

  Beschrijving: er treedt een geheugenbeschadiging op bij de verwerking van MPEG2-gecodeerde filmbestanden. Het bekijken van een kwaadwillig vervaardigd filmbestand kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Dit probleem wordt verholpen door een extra validatie van MPEG2-gecodeerde filmbestanden. Voor systemen met Mac OS X v10.6 wordt dit probleem verholpen in Mac OS X v10.6.2. Met dank aan Apple.

• ImageIO

  CVE-ID: CVE-2010-1816

  Beschikbaar voor: Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: het verwerken van een schadelijk vervaardigde afbeelding kan leiden tot onverwachte beëindiging van het programma of uitvoeren van willekeurige code

  Beschrijving: er treedt een bufferoverloop op bij het verwerken van afbeeldingen. Het verwerken van een schadelijk vervaardigde afbeelding kan leiden tot onverwachte beëindiging van het programma of uitvoeren van willekeurige code. Dit probleem is verholpen door verbeterde bereikcontrole. Dit probleem is niet van invloed op systemen ouder dan Mac OS X v10.6. Met dank aan Joseph Spiros van iThink Software voor het melden van dit probleem.

• Kerberos

  CVE-ID: CVE-2009-4212

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: een niet-geïdentificeerde externe gebruiker kan zorgen voor onverwachte beëindiging van het KDC-proces of het uitvoeren van willekeurige code

  Beschrijving: er treedt een overloop bij gehele getallen op in AES- en RC4-decryptiebewerkingen van de cryptobibliotheek in de KDC-server. Een kwaadwillig vervaardigd gecodeerd bericht versturen naar de KDC-server kan leiden tot onverwachte beëindiging van het KDC-proces of het uitvoeren van willekeurige code. Dit probleem is verholpen door verbeterde bereikcontrole. Met dank aan het MIT Kerberos Team voor het melden van deze kwestie.

• Kerberos

  CVE-ID: CVE-2010-1320

  Beschikbaar voor: Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: een externe gebruiker kan zorgen voor onverwachte beëindiging van het KDC-proces of het uitvoeren van willekeurige code

  Beschrijving: er treedt een 'double free'-probleem bij de vernieuwing of validatie van bestaande tickets in het KDC-proces. Een externe gebruiker kan zorgen voor onverwachte beëindiging van het KDC-proces of het uitvoeren van willekeurige code. Dit probleem is verholpen door verbeterde verwerking van ticket. Dit probleem is niet van invloed op systemen ouder dan Mac OS X v10.6. Met dank aan Joel Johnson, Debian en Brian Almeida van het MIT Kerberos Security Team voor het melden van dit probleem.

• Kerberos

  CVE-ID: CVE-2010-0283

  Beschikbaar voor: Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: een niet-geïdentificeerde externe gebruiker kan zorgen voor onverwacht beëindiging van het KDC-proces

  Beschrijving: een probleem met de logica bij de verwerking van KDC-verzoeken kan leiden tot de activering van een bewering. Door een kwaadwillig vervaardigd bericht te versturen naar de KDC-server kan een externe aanvaller mogelijk de Kerberos-service onderbreken door een bewering te activeren. Dit probleem is verholpen door een verbeterde validatie van KDC-verzoeken. Dit probleem is niet van invloed op systemen ouder dan Mac OS X v10.6. Met dank aan Emmanuel Bouillon van NATO C3 Agency in samenwerking met het MIT Kerberos Security Team voor het melden van dit probleem.

• Kernel

  CVE-ID: CVE-2010-1821

  Beschikbaar voor: Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: een lokale gebruiker kan beschikken over systeemrechten

  Beschrijving: er treedt een probleem met de logica op bij de verwerking van vfork waarbij de Mach-uitzonderingshandler niet wordt opnieuw ingesteld in een bepaald geval. Hierdoor kan een lokale gebruiker systeemrechten verkrijgen. Dit probleem is verholpen door verbeterde verwerking van vfork. Met dank aan Richard van Eeden van IOActive voor het melden van dit probleem.

• libcurl

  CVE-ID: CVE-2010-0734

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: het gebruik van libcurl om bestanden te downloaden van een kwaadwillig vervaardigde website kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code

  Beschrijving: er treedt een bufferoverflow op bij de verwerking van webmateriaal dat is gecomprimeerd in gzip. Bij de verwerking van gecomprimeerde inhoud retourneert libcurl mogelijk een onverwachte grote hoeveelheid gegevens naar het oproepprogramma. Dit kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Dit probleem is verholpen door ervoor te zorgen dat de grootte van de door libcurl geretourneerde gegevensblokken aan het oproepprogramma voldoet aan de gedocumenteerde limieten.

• Network Authorization

  CVE-ID: CVE-2010-1375

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impact: een lokale gebruiker kan systeemrechten verkrijgen

  Beschrijving: NetAuthSysAgent vereist geen identiteitscontrole voor bepaalde bewerkingen. Hierdoor kan een lokale gebruiker systeemrechten verkrijgen. Dit probleem wordt verholpen door het vereisen van identiteitscontrole voor extra bewerkingen. Dit probleem is niet van invloed op systemen met Mac OS X v10.6. Met dank aan Apple.

• Network Authorization

  CVE-ID: CVE-2010-1376

  Beschikbaar voor: Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: het bezoeken van een kwaadwillig vervaardigde website kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code

  Beschrijving: er treedt een probleem op met de indelingstekenreeks bij de verwerking van afp:-, cifs:- en smb:-URL's. Het bezoeken van een kwaadwillig vervaardigde website kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Dit probleem is verholpen door een verbeterde validatie van afp:-, cifs:- en smb:-URL's. Dit probleem is niet van invloed op systemen ouder dan Mac OS X v10.6. Met dank aan Ilja van Sprundel van IOActive en Chris Ries van Carnegie Mellon University Computing Services voor het melden van dit probleem.

• Open Directory

  CVE-ID: CVE-2010-1377

  Beschikbaar voor: Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: een man-in-the-middle-aanvaller kan zich mogelijk voordoen als een netwerkaccountserver

  Beschrijving: bij de verbinding met een netwerkaccountserver via Systeemvoorkeuren maakt Open Directory automatisch een onbeveiligde verbinding met de server als het niet mogelijk is om een verbinding met de server tot stand te brengen via Secure Sockets Layer (SSL). Een man-in-the-middle-aanvaller kan zich mogelijk voordoen als een netwerkaccountserver, wat kan leiden tot het uitvoeren van willekeurige code met systeemrechten. Dit probleem is verholpen door een optie te leveren waarbij een beveiligde verbinding wordt vereist. Dit probleem is niet van invloed op systemen ouder dan Mac OS X v10.6.

• Printer Setup

  CVE-ID: CVE-2010-1379

  Beschikbaar voor: Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: netwerkapparaten kunnen het afdrukken uitschakelen in bepaalde programma's

  Beschrijving: er treedt een probleem op met de tekencode bij de verwerking van nabije printers door Printerconfiguratie. Als een apparaat in het lokale netwerk een afdrukservice toont dat een unicodeteken bevat in de servicenaam, kan het afdrukken in bepaalde programma's mislukken. Het probleem wordt verholpen door een verbeterde behandeling van gedeelde printers. Dit probleem is niet van invloed op systemen ouder dan Mac OS X v10.6. Met dank aan Filipp Lepalaan van mcare Oy voor het melden van dit probleem.

• Printing

  CVE-ID: CVE-2010-1380

  Beschikbaar voor: Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: een gebruiker met toegang tot de printer kan zorgen voor de onverwacht beëindiging van een programma of het uitvoeren van willekeurige code

  Beschrijving: er treedt een overloop bij gehele getallen op bij de berekening van paginagrootten in de CUPS-filter cgtexttops. Een lokale of externe gebruiker met toegang tot de printer kan zorgen voor het onverwacht beëindigen van een programma of het uitvoeren van willekeurige code. Dit probleem is verholpen door verbeterde bereikcontrole. Dit probleem is niet van invloed op systemen ouder dan Mac OS X v10.6. Met dank aan regenrecht van iDefense voor het melden van dit probleem.

• Ruby

  CVE-ID: CVE-2010-0541

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: een externe aanvaller kan toegang krijgen tot accounts van Ruby WEBrick

  Beschrijving: er treedt een cross-site scripting-probleem op bij de verwerking van foutpagina's door de server van Ruby WEBrick HTTP. De toegang tot een kwaadwillig vervaardigde URL in bepaalde webbrowsers kan leiden tot het behandelen van de foutpagina als UTF-7 waardoor JavaScript-injectie is toegelaten. Het probleem is verholpen door UTF-8 in te stellen als de standaardtekenset in HTTP-antwoorden. Met dank aan Apple.

• SMB File Server

  CVE-ID: CVE-2010-1381

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: een externe gebruiker kan onbevoegde toegang krijgen tot willekeurige bestanden

  Beschrijving: er treedt een configuratieprobleem op in Apple's distributie van Samba, de server die wordt gebruikt voor SMB-bestandsdeling. Door het gebruik van symbolische koppelingen kan een externe gebruiker met toegang tot een SMB-share onbevoegde toegang krijgen tot willekeurige bestanden. Dit probleem wordt verholpen door de uitschakeling van de ondersteuning voor brede koppelingen in het Samba-configuratiebestand.

• SquirrelMail

  CVE-ID: CVE-2009-1578, CVE-2009-1579, CVE-2009-1580, CVE-2009-1581, CVE-2009-2964

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: meerdere kwetsbaarheden in SquirrelMail

  Beschrijving: SquirrelMail wordt bijgewerkt naar versie 1.4.20 om diverse kwetsbaarheden op te lossen, waarvan de meest ernstige kunnen leiden tot problemen met scripts die naar andere sites verwijzen. Verdere informatie is beschikbaar via de SquirrelMail-website op http://www.SquirrelMail.org/

• Wiki Server

  CVE-ID: CVE-2010-1382

  Beschikbaar voor: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 tot v10.6.3, Mac OS X Server v10.6 tot v10.6.3

  Impact: het bekijken van kwaadwillig vervaardigd Wiki-materiaal kan leiden tot een cross-site scripting-aanval

  Beschrijving: de Wiki Server specificeert geen specifieke tekenset bij de weergave van HTML-documenten als reactie op verzoeken van gebruikers. Een aanvaller die inhoud op de Wiki Server kan plaatsen of die commentaar kan geven op inhoud die al op de Wiki Server staat, kan scripts omvatten die gecodeerd zijn in een andere tekenset. Dit kan leiden tot een cross-site scripting-aanval tegen gebruikers van de Wiki Server. Het probleem is verholpen door een tekenset voor het document voor HTTP-reacties op te geven.