Sprachen

Archiviert - Informationen über das Sicherheitsupdate 2010-005

In diesem Dokument wird das Sicherheitsupdate 2010-005 beschrieben, das über die Option "Softwareaktualisierung" in den Systemeinstellungen oder über "Apple Downloads" geladen und installiert werden kann.

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und wenn alle erforderlichen Programmkorrekturen oder Versionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit finden Sie auf der Website "Apple-Produktsicherheit".

Informationen zum Apple-Produktsicherheits-PGP-Schlüssel finden Sie unter "So verwenden Sie den Apple-Produktsicherheits-PGP-Schlüssel".

Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.

Informationen zu weiteren Sicherheitsupdates finden Sie unter "Apple-Sicherheitsupdates".

Dieser Artikel wurde archiviert und wird von Apple nicht mehr aktualisiert.

Sicherheitsupdate 2010-005

  • ATS

    CVE-ID: CVE-2010-1808

    Verfügbar für Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6.4, Mac OS X Server 10.6.4

    Symptom: Das Anzeigen oder Laden eines Dokuments, das in böswilliger Absicht erstellte eingebettete Schriften enthält, kann zur Ausführung beliebigen Codes führen.

    Beschreibung: Bei der Verarbeitung von eingebetteten Schriften kommt es im Apple Type Service zu einem Stapelpufferüberlauf. Das Anzeigen oder Laden eines Dokuments, das in böswilliger Absicht erstellte eingebettete Schriften enthält, kann zur Ausführung beliebigen Codes führen. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

  • CFNetwork

    CVE-ID: CVE-2010-1800

    Verfügbar für: Mac OS X 10.6.4, Mac OS X 10.6.4

    Symptom: Ein Angreifer mit einer privilegierten Netzwerkposition kann Benutzerdaten oder andere sensible Daten abfangen.

    Beschreibung: CFNetwork ermöglicht anonyme TLS/SSL-Verbindungen. Dadurch könnte ein Man-in-the-Middle-Angreifer in der Lage sein, Verbindungen umzuleiten und Benutzerdaten oder andere sensible Daten abzufangen. Dieses Problem betrifft nicht das Programm Mail. Dieses Problem wird durch die Deaktivierung von anonymen TLS/SSL-Verbindungen behoben. Systeme vor Mac OS X 10.6.3 sind von diesem Problem nicht betroffen. Wir danken Aaron Sigel von vtty.com, Jean-Luc Giraud von Citrix, Tomas Bjurman von Sirius IT und Wan-Teh Chang von Google, Inc. für die Meldung dieses Problems.

  • ClamAV

    CVE-ID: CVE-2010-0098, CVE-2010-1311

    Verfügbar für: Mac OS X Server 10.5.8, Mac OS X Server 10.6.4

    Symptom: Mehrere Schwachstellen in ClamAV

    Beschreibung: ClamAV hat mehrere Schwachstellen, von denen die schwerwiegendste zu einer unvorhergesehenen Codeausführung führen kann. Dieses Update behebt diese Probleme per Aktualisierung von ClamAV auf Version 0.96.1. ClamAV wird nur mit Mac OS X Server-Systemen vertrieben. Weitere Informationen erhalten Sie auf der ClamAV Website unter http://www.clamav.net/

  • CoreGraphics

    CVE-ID: CVE-2010-1801

    Verfügbar für Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6.4, Mac OS X Server 10.6.4

    Symptom: Das Öffnen einer in böswilliger Absicht erstellten PDF-Datei kann zu einer unerwarteten Programmbeendigung oder zur Ausführung eines beliebigen Codes führen.

    Beschreibung: Beim Verarbeiten von PDF-Dateien in CoreGraphics tritt ein Stapelpufferüberlauf auf. Das Öffnen einer in böswilliger Absicht erstellten PDF-Datei kann zu einer unerwarteten Programmbeendigung oder zur Ausführung eines beliebigen Codes führen. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben. Wir danken Rodrigo Rubira Branco vom Check Point Vulnerability Discovery Team (VDT) für die Meldung dieses Problems.

  • libsecurity

    CVE-ID: CVE-2010-1802

    Verfügbar für Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6.4, Mac OS X Server 10.6.4

    Symptom: Ein Angreifer in einer privilegierten Netzwerkposition, der einen Domain-Namen erhalten kann, der sich nur in den letzten Zeichen von einem legitimen Domain-Namen unterscheidet, kann sich als Host in dieser Domain ausgeben.

    Beschreibung: Bei der Verarbeitung von zertifizierten Hostnamen gibt es ein Problem. Bei Hostnamen mit drei oder mehr Komponenten werden die letzten Zeichen nicht richtig verglichen. In dem Fall, dass ein Name genau aus drei Komponenten besteht, wird nur das letzte Zeichen nicht überprüft. Beispiel: Wenn ein Angreifer in einer privilegierten Netzwerkposition ein Zertifikat für www.example.con erhalten kann, könnte er sich als www.example.com ausgeben. Dieses Problem wird durch eine verbesserte Verarbeitung von zertifizierten Hostnamen behoben. Wir danken Peter Speck für die Meldung dieses Problems.

  • PHP

    CVE-ID: CVE-2010-1205

    Verfügbar für: Mac OS X 10.6.4, Mac OS X 10.6.4

    Symptom: Das Laden eines in böswilliger Absicht erstellten PNG-Bildes kann zu einem unerwarteten Programmabbruch oder zu willkürlicher Codeausführung führen.

    Beschreibung: In der PHP-Bibliothek libpng kommt es zu einem Stapelpufferüberlauf. Das Laden eines in böswilliger Absicht erstellten PNG-Bildes kann zu einem unerwarteten Programmabbruch oder zu willkürlicher Codeausführung führen. Dieses Problem wird durch die Aktualisierung von libpng innerhalb von PHP auf Version 1.4.3 behoben. Systeme vor Mac OS X 10.6 sind hiervon nicht betroffen.

  • PHP

    CVE-ID: CVE-2010-1129, CVE-2010-0397, CVE-2010-2225, CVE-2010-2531, CVE-2010-2484

    Verfügbar für: Mac OS X 10.6.4, Mac OS X 10.6.4

    Symptom: Mehrere Schwachstellen in PHP 5.3.1

    Beschreibung: PHP wird auf Version 5.3.2 aktualisiert, um mehrere Schwachstellen zu beseitigen, von denen die schwerwiegendsten zur Ausführung willkürlichen Codes führen können. Weitere Informationen finden Sie auf der PHP-Website unter http://www.php.net/.

  • Samba

    CVE-ID: CVE-2010-2063

    Verfügbar für Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6.4, Mac OS X Server 10.6.4

    Symptom: Ein nicht authentifizierter entfernter Angreifer könnte einen Denial-of-Service oder die Ausführung beliebigen Codes verursachen.

    Beschreibung: In Samba kommt es zu einem Stapelpufferüberlauf. Ein nicht authentifizierter entfernter Angreifer könnte einen Denial-of-Service oder die Ausführung beliebigen Codes verursachen, indem er ein in böswilliger Absicht erstelltes Paket sendet. Dieses Problem wird durch Ausführen einer zusätzlichen Validierung von Paketen in Samba behoben.

Wichtig: Der Hinweis auf Websites und Produkte Dritter dient ausschließlich informativen Zwecken und ist weder als Billigung noch als Empfehlung zu verstehen Apple übernimmt keine Verantwortung in Bezug auf die Auswahl, Leistung oder Verwendung von Informationen oder Produkten, die auf Websites Dritter angeboten werden. Apple stellt seinen Kunden diese Informationen nur als Serviceleistung zur Verfügung. Apple hat die Informationen, die auf diesen Sites angeboten werden, nicht geprüft und macht keine Angaben in Bezug auf deren Korrektheit und Zuverlässigkeit. Die Verwendung aller Informationen und Produkte, die im Internet angeboten werden, unterliegt bestimmten Risiken; Apple übernimmt diesbezüglich keine Verantwortung. Bitte haben Sie Verständnis dafür, dass Websites Dritter von Apple unabhängig sind und dass Apple keine Kontrolle über den Inhalt dieser Websites hat. Für weitere Informationen wenden Sie sich bitte an den Hersteller.

Zuletzt geändert: 07.04.2014
Hilfreich?
Ja
Nein
Not helpful Somewhat helpful Helpful Very helpful Solved my problem
Diese Seite drucken
  • Zuletzt geändert: 07.04.2014
  • Artikel: HT4312
  • Aufrufe:

    305653
  • Bewertung:
    • 73.0

    (3 Antworten)