Päivityksen voi ladata ja asentaa Ohjelmiston päivityksen asetuksista tai Applen tuen tiedostohauista.
Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustossa.
Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.
CVE ID -tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.
Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.
Mac OS X 10.6.8 ja suojauspäivitys 2011-004
AirPort
Saatavuus: Mac OS X 10.5.8 ja Mac OS X Server 10.5.8.
Vaikutus: Kun Wi-Fi-yhteys on muodostettu, samassa verkossa oleva hyökkääjä saattoi pystyä aiheuttamaan järjestelmän nollaamisen.
Kuvaus: Wi-Fi-kehysten käsittelyssä oli muistin rajojen ylittämiseen liittyvä lukuongelma. Kun Wi-Fi-yhteys on muodostettu, samassa verkossa oleva hyökkääjä saattoi pystyä aiheuttamaan järjestelmän nollaamisen. Tämä ongelma ei koske Mac OS X 10.6:ta.
CVE-ID
CVE-2011-0196
App Store
Saatavuus: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Käyttäjän Apple ID:n salasana saatettiin kirjata paikalliseen tiedostoon.
Kuvaus: Tietyissä olosuhteissa App Store saattoi kirjata käyttäjän Apple ID:n salasanan tiedostoon, joka ei ole järjestelmän muiden käyttäjien luettavissa. Tämä ongelma on korjattu parannetulla tunnistetietojen käsittelyllä.
CVE-ID
CVE-2011-0197: Paul Nelson
ATS
Saatavuus: Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Haitallisen upotetun fontin sisältävän asiakirjan tarkasteleminen tai lataaminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: TrueType-fonttien käsittelyssä oli kekopuskurin ylivuoto. Haitallisen upotetun fontin sisältävän asiakirjan tarkasteleminen tai lataaminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
CVE-ID
CVE-2011-0198: Harry Sintonen ja Red Hat Security Response Teamin Marc Schoenefeld
Varmenteiden luottamuskäytäntö
Saatavuus: Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Etuoikeutetussa verkkoasemassa oleva hyökkääjä saattoi saada haltuunsa käyttäjän tunnistetiedot tai muita luottamuksellisia tietoja.
Kuvaus: Varmenteiden luottamiskäytännössä oli virheenkäsittelyongelma. Jos Extended Validation (EV) -varmenteella ei ollut OCSP URL -osoitetta ja CRL:n tarkistus oli käytössä, CRL:ää ei tarkistettu ja peruttu varmenne saatettiin hyväksyä voimassa olevana. Tämä ongelma on lieventynyt, koska useimmissa EV-varmenteissa määritetään OCSP URL -osoite.
CVE-ID
CVE-2011-0199: Googlen Chris Hawk ja Wan-Teh Chang
ColorSync
Saatavuus: Mac OS X 10.5.8 ja Mac OS X Server 10.5.8.
Vaikutus: Upotetun ColorSync-profiilin sisältävän haitallisen kuvan katsominen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: Upotetun ColorSync-profiilin sisältävien kuvien käsittelyssä oli kokonaisluvun ylivuoto, joka saattoi aiheuttaa kekopuskurin ylivuodon. Upotetun ColorSync-profiilin sisältävän kuvan avaaminen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
CVE-tunnus
CVE-2011-0200: TippingPointin Zero Day Initiativen parissa työskentelevä binaryproof
CoreFoundation
Saatavuus: Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: CoreFoundation-sovelluskehystä käyttävät ohjelmat saattoivat olla alttiita ohjelman odottamattomalle sulkeutumiselle tai mielivaltaisen koodin suorittamiselle.
Kuvaus: CFStringsin käsittelyssä oli puskurin off-by-one-ylivuoto-ongelma. CoreFoundation-sovelluskehystä käyttävät ohjelmat saattoivat olla alttiita ohjelman odottamattomalle sulkeutumiselle tai mielivaltaisen koodin suorittamiselle.
CVE-ID
CVE-2011-0201: Harry Sintonen
CoreGraphics
Saatavuus: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Haitallisen PDF-tiedoston avaaminen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: Type 1 -fonttien käsittelyssä oli kokonaisluvun ylivuoto-ongelma. Haitallisen upotetun fontin sisältävän asiakirjan tarkasteleminen tai lataaminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
CVE-ID
CVE-2011-0202: Modulo Consultingin Cristian Draghici ja Google Security Teamin Felix Grobert
FTP-palvelin
Saatavuus: Mac OS X Server 10.6–10.6.7.
Vaikutus: FTP-käyttöoikeuksien haltija saattoi pystyä luetteloimaan järjestelmässä olevat tiedostot.
Kuvaus: xftpd:ssä oli polun tarkistusongelma. FTP-käyttöoikeuksien haltija saattoi pystyä suorittamaan rekursiivisen hakemistoluetteloinnin juuresta alkaen. Mukana oli myös hakemistot, joita ei oltu jaettu FTP:ssä. Luetteloon sisältyi lopulta kaikki tiedostot, joita FTP-käyttäjä voisi käyttää. Tiedostojen sisältö ei paljastunut. Tämä ongelma on korjattu parantamalla polun tarkistusta. Tämä ongelma koskee ainoastaan Mac OS X Server -järjestelmiä.
CVE-ID
CVE-2011-0203: team karlkani
ImageIO
Saatavuus: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Haitallisen TIFF-kuvan katsominen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: ImageIO:n tavassa käsitellä TIFF-kuvia oli kekopuskurin ylivuoto. Haitallisen TIFF-kuvan tarkasteleminen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
CVE-ID
CVE-2011-0204: NGS Securen Dominic Chell
ImageIO
Saatavuus: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: haitallisella verkkosivustolla käynti saattoi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.
Kuvaus: ImageIO:n tavassa käsitellä JPEG2000-kuvia oli kekopuskurin ylivuoto-ongelma. Haitallisella verkkosivustolla käynti saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
CVE-tunnus
CVE-2011-0205: Harry Sintonen
Maakohtaiset Unicode-komponentit
Saatavuus: Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: ICU:ta käyttävät ohjelmat saattoivat olla alttiita ohjelman odottamattomalle sulkeutumiselle tai mielivaltaisen koodin suorittamiselle.
Kuvaus: ICU:n tavassa käsitellä isoilla kirjaimilla kirjoitettuja merkkijonoja oli puskurin ylivuoto-ongelma. ICU:ta käyttävät ohjelmat saattoivat olla alttiita ohjelman odottamattomalle sulkeutumiselle tai mielivaltaisen koodin suorittamiselle.
CVE-ID
CVE-2011-0206: Mozillan David Bienvenu
Kernel
Saatavuus: Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Paikallinen käyttäjä saattoi aiheuttaa järjestelmän nollauksen.
Kuvaus: IPV6-vastakeasetusten käsittelyssä oli tyhjän epäviittauksen ongelma. Paikallinen käyttäjä saattoi pystyä aiheuttamaan järjestelmän nollauksen.
CVE-ID
CVE-2011-1132: Integon Thomas Clement
Libsystem
Saatavuus: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: glob(3) APIa käyttävät ohjelmat saattoivat olla alttiita palvelunestolle.
Kuvaus: glob(3) APIa käyttävät ohjelmat saattoivat olla alttiita palvelunestolle. Jos glob-kaava tuli ei-luotetusta lähteestä, ohjelma saattoi jähmettyä tai käyttää liikaa keskusyksikön resursseja. Tämä ongelma on ratkaistu parantamalla glob-kaavojen tarkistusta.
CVE-ID
CVE-2010-2632: Maksymilian Arciemowicz
libxslt
Saatavuus: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Haitallisella verkkosivustolla käynti saattoi aiheuttaa keossa olevien osoitteiden paljastumisen.
Kuvaus: libxslt:n generate-id() -XPath-funktion toteutustapa paljasti kekopuskurin osoitteen. Haitallisella verkkosivustolla käynti saattoi aiheuttaa keossa olevien osoitteiden paljastumisen. Tämä ongelma on ratkaistu luomalla tunnus, joka perustuu kahden kekopuskurin osoitteiden väliseen eroon.
CVE-ID
CVE-2011-0195: Google Chrome Security Teamin Chris Evans
MobileMe
Saatavuus: Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Hyökkääjä, jolla oli etuoikeutettu verkkoasema, saattoi pystyä selvittämään käyttäjän MobileMe-sähköpostialiakset.
Kuvaus: Kun MobileMen kanssa kommunikoitiin käyttäjän sähköpostialiasten selvittämiseksi, Mail suoritti pyyntöjä HTTP:n kautta. Tämän seurauksena hyökkääjä, jolla oli etuoikeutettu verkkoasema, saattoi pystyä selvittämään käyttäjän MobileMe-sähköpostialiakset. Tämä ongelma on ratkaistu käyttämällä käyttäjän sähköpostialiaksia SSL:n avulla.
CVE-ID
CVE-2011-0207: vtty.comin Aaron Sigel
MySQL
Saatavuus: Mac OS X Server 10.5.8 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: MySQL:n versiossa 5.0.91 on useita haavoittuvuuksia.
Kuvaus: MySQL on päivitetty versioon 5.0.92 useiden haavoittuvuuksien korjaamiseksi. Vakavin haavoittuvuus saattoi aiheuttaa mielivaltaisen koodin suorittamisen. MySQL on mukana ainoastaan Mac OS X Server -järjestelmissä.
CVE-ID
CVE-2010-3677
CVE-2010-3682
CVE-2010-3833
CVE-2010-3834
CVE-2010-3835
CVE-2010-3836
CVE-2010-3837
CVE-2010-3838
OpenSSL
Saatavuus: Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Useita haavoittuvuuksia OpenSSL:ssä.
Kuvaus: OpenSSL:ssä oli useita haavoittuvuuksia, joista vakavin saattoi aiheuttaa mielivaltaisen koodin suorittamisen. Nämä ongelmat on ratkaistu päivittämällä OpenSSL versioon 0.9.8r.
CVE-tunnus
CVE-2009-3245
CVE-2010-0740
CVE-2010-3864
CVE-2010-4180
CVE-2011-0014
patch
Saatavuus: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Patchin käyttäminen haitallisessa patch-tiedostossa voi aiheuttaa sattumanvaraisten tiedostojen luomisen tai ylikirjoittamisen.
Kuvaus: GNU-patchissa oli hakemistopolun väärinkäyttöön liittyvä ongelma. Patchin käyttäminen haitallisessa patch-tiedostossa voi aiheuttaa sattumanvaraisten tiedostojen luomisen tai ylikirjoittamisen. Tämä ongelma on ratkaistu parantamalla patch-tiedostojen tarkistusta.
CVE-tunnus
CVE-2010-4651
Pikakatselu
Saatavuus: Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Haitallisen Microsoft Office -tiedoston lataaminen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: Pikakatselun tavassa käsitellä Microsoft Office -tiedostoja oli muistin vioittumisongelma. Haitallisen Microsoft Office -tiedoston lataaminen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen. Tämä ongelma ei koske Mac OS X 10.6 -käyttöjärjestelmää vanhempia järjestelmiä.
CVE-ID
CVE-2011-0208: iDefense VCP:n parissa työskentelevä Tobias Klein
QuickTime
Saatavuus: Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Haitallisen WAV-tiedoston tarkasteleminen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: QuickTimen tavassa käsitellä RIFF WAV -tiedostoja oli kokonaisluvun ylivuoto. Haitallisen WAV-tiedoston tarkasteleminen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
CVE-tunnus
CVE-2011-0209: TippingPointin Zero Day Initiativen parissa työskentelevä Luigi Auriemma
QuickTime
Saatavuus: Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Haitallisen elokuvatiedoston katsominen saattoi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.
Kuvaus: QuickTimen tavassa käsitellä QuickTime-elokuvatiedostojen esimerkkitaulukkoja oli muistin vioittumisongelma. Haitallisen elokuvatiedoston tarkasteleminen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
CVE-ID
CVE-2011-0210: Fortinetin FortiGuard Labsin Honggang Ren
QuickTime
Saatavuus: Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Haitallisen elokuvatiedoston katsominen saattoi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.
Kuvaus: QuickTimen tavassa käsitellä elokuvatiedostoja oli kokonaisluvun ylivuoto. Haitallisen elokuvatiedoston tarkasteleminen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
CVE-tunnus
CVE-2011-0211: TippingPointin Zero Day Initiativen parissa työskentelevä Luigi Auriemma
QuickTime
Saatavuus: Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Haitallisen PICT-kuvan katsominen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: QuickTimen tavassa käsitellä PICT-tiedostoja oli puskurin ylivuoto. Haitallisen PICT-kuvan katsominen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
CVE-ID
CVE-2010-3790: TippingPointin Zero Day Initiativen parissa työskentelevä Subreption LLC
QuickTime
Saatavuus: Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Haitallisen JPEG-tiedoston katsominen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: QuickTimen tavassa käsitellä JPEG-tiedostoja oli puskurin ylivuoto. Haitallisen JPEG-tiedoston katsominen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
CVE-ID
CVE-2011-0213: iDefensen parissa työskentelevä Luigi Auriemma
Samba
Saatavuus: Mac OS X 10.5.8 ja Mac OS X Server 10.5.8.
Vaikutus: Jos SMB-tiedostonjako oli käytössä, etähyökkääjä saattoi pystyä aiheuttamaan palveluneston tai mielivaltaisen koodin suorittamisen.
Kuvaus: Samban tavassa käsitellä Windowsin suojaustunnuksia oli pinopuskurin ylivuoto. Jos SMB-tiedostonjako oli käytössä, etähyökkääjä saattoi pystyä aiheuttamaan palveluneston tai mielivaltaisen koodin suorittamisen. Mac OS X 10.6 -järjestelmien osalta tämä ongelma on ratkaistu Mac OS X 10.6.7:ssä.
CVE-ID
CVE-2010-3069
Samba
Saatavuus: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Jos SMB-tiedostonjako oli käytössä, etähyökkääjä saattoi pystyä aiheuttamaan palveluneston tai mielivaltaisen koodin suorittamisen.
Kuvaus: Samban tavassa käsitellä tiedostokuvaajia oli muistin vioittumisongelma. Jos SMB-tiedostonjako oli käytössä, etähyökkääjä saattoi pystyä aiheuttamaan palveluneston tai mielivaltaisen koodin suorittamisen.
CVE-ID
CVE-2011-0719: SerNetin Volker Lendecke
servermgrd
Saatavuus: Mac OS X Server 10.5.8 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Etähyökkääjä saattoi pystyä lukemaan satunnaisia tiedostoja järjestelmästä.
Kuvaus: servermgrdin XML-RPC-pyyntöjen-käsittelyssä oli ulkoisia XML-entiteettejä koskeva ongelma. Tämä ongelma on ratkaistu poistamalla servermgrdin XML-RPC-liittymä. Tämä ongelma koskee ainoastaan Mac OS X Server -järjestelmiä.
CVE-ID
CVE-2011-0212: Apple
subversion
Saatavuus: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6–10.6.7 ja Mac OS X Server 10.6–10.6.7.
Vaikutus: Jos http-pohjainen Subversion-palvelin oli määritetty, etähyökkääjä saattoi pystyä aiheuttamaan palveluneston.
Kuvaus: Subversionin tavassa käsitellä HTTP:n kautta lähetettyjä lukitusarvoja oli tyhjän epäviittauksen ongelma. Jos http-pohjainen Subversion-palvelin oli määritetty, etähyökkääjä saattoi pystyä aiheuttamaan palveluneston. Mac OS X 10.6 -järjestelmissä Subversion on päivitetty versioon 1.6.6. Mac OS X 10.5.8 -järjestelmissä ongelma on ratkaistu lukitusarvojen lisätarkistuksella. Lisätietoja on Subversionin verkkosivustossa osoitteessa http://subversion.apache.org/.
CVE-ID
CVE-2011-0715