Langues

À propos des correctifs de sécurité d’OS X Mountain Lion 10.8.2, d’OS X Lion 10.7.5 et de la mise à jour de sécurité 2012-004

Découvrez les correctifs de sécurité d’OS X Mountain Lion 10.8.2, d’OS X Lion 10.7.5 et de la mise à jour de sécurité 2012-004.

Ce document décrit les correctifs de sécurité d’OS X Mountain Lion 10.8.2, d’OS X Lion 10.7.5 et de la mise à jour de sécurité 2012-004.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Pour obtenir des informations supplémentaires sur la sécurité produit d’Apple, consultez le site Web Sécurité produit d’Apple.

Pour obtenir des informations sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article Comment utiliser la clé PGP du groupe de sécurité produit d’Apple.

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.

Pour obtenir des informations supplémentaires sur les autres mises à jour de sécurité, consultez l’article Mises à jour de sécurité Apple.

OS X Mountain Lion 10.8.2, OS X Lion 10.7.5 et mise à jour de sécurité 2012-004

Remarque : OS X Mountain Lion 10.8.2 comprend le contenu de Safari 6.0.1. Pour obtenir des informations supplémentaires, consultez l’article À propos des correctifs de sécurité de Safari 6.0.1.

  • Apache

    Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : Apache présente plusieurs vulnérabilités.

    Description : la mise à jour 2.2.22 d’Apache permet de résoudre plusieurs vulnérabilités, la plus grave pouvant entraîner un refus de service. Pour en savoir plus, consultez le site Web d’Apache à l’adresse http://httpd.apache.org/. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-2011-3368

    CVE-2011-3607

    CVE-2011-4317

    CVE-2012-0021

    CVE-2012-0031

    CVE-2012-0053

  • BIND

    Disponible pour : OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : un attaquant distant peut provoquer un refus de service sur les systèmes configurés de façon à exécuter BIND en tant que serveur de noms DNS.

    Description : la gestion des enregistrements DNS présentait un problème d’assertion accessible. Ce problème a été résolu par l’installation de BIND 9.7.6-P1. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-2011-4313

  • BIND

    Disponible pour : OS X Lion 10.7 à 10.7.4, OS X Lion Server 10.7 à 10.7.4, OS X Mountain Lion 10.8 et 10.8.1.

    Conséquence : un attaquant distant peut être à l’origine d’un refus de service ou d’une corruption de données, ou obtenir des informations sensibles à partir de la mémoire de traitement dans des systèmes configurés de façon à exécuter BIND en tant que serveur de noms DNS.

    Description : le traitement des enregistrements DNS présentait un problème au niveau de la gestion de la mémoire. Le problème a été résolu par l’installation de BIND 9.7.6-P1 sur les systèmes OS X Lion et de BIND 9.8.3-P1 sur les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-2012-1667

  • CoreText

    Disponible pour : OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : les applications utilisant CoreText peuvent être exposées à une fermeture inopinée ou à l’exécution arbitraire de code.

    Description : la gestion des glyphes de texte présentait un problème de vérification des limites, qui risquait de générer des lectures ou des écritures de mémoire hors limite. Ce problème a été résolu par l’amélioration de la vérification des limites. Ce problème n’affecte pas les systèmes Mac OS X 10.6 ou OS X Mountain Lion.

    Référence CVE

    CVE-2012-3716 : Jesse Ruderman de Mozilla Corporation.

  • Sécurité des données

    Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4, OS X Lion Server 10.7 à 10.7.4, OS X Mountain Lion 10.8 et 10.8.1.

    Conséquence : un attaquant bénéficiant d’une position privilégiée sur le réseau peut intercepter les informations d’identification de l’utilisateur ou d’autres données sensibles.

    Description : TrustWave, une autorité de certification racine de confiance, a émis, puis révoqué un certificat d’une sous-autorité de certification à partir de l’un de ses repères de confiance. Cette sous-autorité de certification a facilité l’interception de communications sécurisées par le protocole TLS (Transport Layer Security). Cette mise à jour ajoute le certificat de la sous-autorité de certification concerné à la liste des certificats non sécurisés d’OS X.

  • DirectoryService

    Disponible pour : Mac OS X 10.6.8 et Mac OS X Server 10.6.8.

    Conséquence : si le proxy DirectoryService est utilisé, un attaquant distant peut provoquer un déni de service ou l’exécution arbitraire de code.

    Description : le proxy DirectoryService présentait un dépassement de la mémoire tampon. Ce problème a été résolu par l’amélioration de la vérification des limites. Ce problème n’affecte pas les systèmes OS X Lion et Mountain Lion.

    Référence CVE

    CVE-2012-0650 : aazubel en collaboration avec le programme Zero Day Initiative de HP.

  • ImageIO

    Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : l’affichage d’une image PNG malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : la gestion des images PNG par libpng présentait plusieurs problèmes de corruption de la mémoire. Ces problèmes ont été résolus par une meilleure validation des images PNG. Ces problèmes n’affectent pas les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-2011-3026 : Jüri Aedla.

    CVE-2011-3048

  • ImageIO

    Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : l’affichage d’une image TIFF malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : la gestion par libTIFF des images TIFF présentait un problème de dépassement d’entier. Ce problème a été résolu par une meilleure validation des images TIFF. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-2012-1173 : Alexander Gavrun en collaboration avec le programme Zero Day Initiative de HP.

  • Programme d’installation

    Disponible pour : OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : les administrateurs distants et les personnes disposant d’un accès physique au système peuvent obtenir les données du compte.

    Description : le correctif pour CVE-2012-0652 sous OS X Lion 10.7.4 empêchait l’enregistrement des mots de passe des utilisateurs dans le journal système et ne supprimait pas les anciennes entrées du journal. Ce problème a été résolu par la suppression des fichiers journaux contenant les mots de passe. Ce problème n’affecte pas les systèmes Mac OS X 10.6 ou OS X Mountain Lion.

    Référence CVE

    CVE-2012-0652

  • Composants internationaux pour Unicode

    Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : les applications utilisant ICU peuvent se fermer de manière inopinée ou être sujettes à une exécution arbitraire de code.

    Description : la gestion des identifiants locaux ICU présentait un dépassement de la mémoire tampon de la pile. Ce problème a été résolu par l’amélioration de la vérification des limites. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-2011-4599

  • Noyau

    Disponible pour : OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : un programme malveillant peut ignorer les restrictions sandbox.

    Description : la gestion des appels système de débogage présentait un problème de logique. Ceci peut permettre à un programme malveillant de déclencher l’exécution de codes dans d’autres programmes, à l’aide des mêmes privilèges d’utilisateur. Ce problème a été résolu par la désactivation des adresses dans PT_STEP et PT_CONTINUE. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-0643 : Jailbreak Dream Team iOS 2012.

  • Fenêtre d’ouverture de session

    Disponible pour : OS X Mountain Lion 10.8 et 10.8.1.

    Conséquence : un utilisateur local peut obtenir les mots de passe de connexion d’autres utilisateurs.

    Description : une méthode de saisie installée par l’utilisateur pouvait intercepter les frappes de touches associées aux mots de passe dans la fenêtre d’ouverture de session ou la session de déverrouillage de l’économiseur d’écran. Ce problème a été résolu en empêchant l’utilisation des méthodes installées par l’utilisateur lors de la gestion par le système d’informations de connexion.

    Référence CVE

    CVE-2012-3718 : un chercheur anonyme.

  • Mail

    Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : l’affichage d’un message électronique peut entraîner l’exécution de modules externes Web.

    Description : la gestion par Mail des modules externes intégrés présentait une erreur de validation de saisie. Ce problème a été résolu par la désactivation des modules externes tiers dans Mail. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-2012-3719 : Will Dormann du CERT/CC.

  • Comptes mobiles

    Disponible pour : OS X Mountain Lion 10.8 et 10.8.1.

    Conséquence : un utilisateur ayant accès au contenu d’un compte mobile peut obtenir le mot de passe du compte.

    Description : la création d’un compte mobile a entraîné le hachage du mot de passe dans le compte, qui a été utilisé pour la connexion lors de l’utilisation du compte mobile en tant que compte externe. Le hachage du mot de passe a pu être utilisé pour accéder au mot de passe de l’utilisateur. Le problème a été résolu par la création du hachage du mot de passe uniquement lorsque les comptes externes sont activés sur le système sur lequel le compte mobile est créé.

    Référence CVE

    CVE-2012-3720 : Harald Wagener de Google, Inc.

  • PHP

    Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4, OS X Lion Server 10.7 à 10.7.4, OS X Mountain Lion 10.8 et 10.8.1.

    Conséquence : PHP présente plusieurs vulnérabilités.

    Description :> la mise à jour 5.3.15 de PHP permet de résoudre plusieurs vulnérabilités, la plus grave pouvant entraîner l’exécution arbitraire de code. Pour obtenir des informations supplémentaires, consultez le site Web de PHP, à l’adresse http://www.php.net.

    Référence CVE

    CVE-2012-0831

    CVE-2012-1172

    CVE-2012-1823

    CVE-2012-2143

    CVE-2012-2311

    CVE-2012-2386

    CVE-2012-2688

  • PHP

    Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : les scripts PHP utilisant libpng peuvent être exposés à la fermeture inopinée de l’application ou à l’exécution arbitraire de code.

    Description : la gestion par des fichiers PNG présentait un problème de corruption de la mémoire. Ce problème a été résolu par l’installation de la version 1.5.10 de la copie libpng de PHP. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-2011-3048

  • Gestionnaire de profils

    Disponible pour : OS X Lion Server 10.7 à 10.7.4.

    Conséquence : un utilisateur non authentifié pouvait énumérer des appareils gérés.

    Description : l’interface privée de gestion des périphériques présentait un problème d’authentification. Ce problème a été résolu par la suppression de l’interface.

    Ce problème n’affecte pas les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-2012-3721 : Derick Cassidy de XEquals Corporation.

  • QuickLook

    Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : la lecture d’un fichier .pict malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : la gestion des fichiers .pict présentait un problème de corruption de la mémoire. Ce problème a été résolu par une meilleure validation des images .pict. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-2012-0671 : Rodrigo Rubira Branco (twitter.com/bsdaemon) de Qualys Vulnerability & Malware Research Labs (VMRL).

  • QuickTime

    Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : la lecture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : la gestion par QuickTime des atomes « sean » présentait un problème de dépassement d’entier. Ce problème a été résolu par l’amélioration de la vérification des limites. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-2012-0670 : Tom Gallagher (Microsoft) et Paul Bates (Microsoft) en collaboration avec le programme Zero Day Initiative de HP.

  • QuickTime

    Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : la lecture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : la gestion des fichiers vidéo encodés au format Sorenson présente un problème d’accès mémoire non initialisé. Ce problème a été résolu par l’amélioration de l’initialisation de la mémoire. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-2012-3722 : Will Dormann du CERT/CC.

  • QuickTime

    Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : la lecture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : la gestion des fichiers vidéo encodés au format RLE présentait un problème de dépassement de la mémoire tampon. Ce problème a été résolu par l’amélioration de la vérification des limites. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-2012-0668 : Luigi Auriemma en collaboration avec le programme Zero Day Initiative de HP.

  • Ruby

    Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : un attaquant peut déchiffrer des données protégées par le protocole SSL.

    Description : la confidentialité des protocoles SSL 3.0 et TLS 1.0 est sujette à des attaques lorsqu’une suite de chiffrement utilise un chiffrement de bloc en mode d’enchaînement des blocs. Le module Ruby OpenSSL a désactivé la contre-mesure « fragment vide » qui permettait d’empêcher ces attaques d’aboutir. Ce problème a été résolu par l’activation des fragments vides.Ce problème n’affecte pas les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-2011-3389

  • USB

    Disponible pour : OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

    Conséquence : la connexion d’un périphérique USB peut entraîner la fermeture inopinée du système ou l’exécution arbitraire de code.

    Description : la gestion des descripteurs de concentrateur USB présentait un problème de corruption de la mémoire. Ce problème a été résolu par l’amélioration de la gestion du champ du descripteur bNbrPorts. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

    Référence CVE

    CVE-2012-3723 : Andy Davis de NGS Secure.

Important : les mentions de sites Web et de produits tiers ne sont fournies qu’à titre indicatif et ne constituent ni une recommandation ni une approbation d’Apple. Apple n’endosse aucune responsabilité au sujet de la sélection, des performances ou de l’utilisation des informations ou des produits qui se trouvent sur des sites Web tiers. Apple ne fournit ces renseignements que pour la commodité de ses utilisateurs. Apple n’a pas vérifié les informations qui se trouvent sur lesdits sites et n’effectue aucune déclaration concernant leur exactitude ou leur fiabilité. Il existe des dangers inhérents à l’usage de tout renseignement ou produit trouvé sur Internet et Apple n’endosse aucune responsabilité à cet égard. Veuillez comprendre qu’un site tiers est indépendant d’Apple et qu’Apple n’a aucun contrôle sur le contenu dudit site. Veuillez contacter le vendeur pour tout renseignement supplémentaire.

Dernière modification : 2 oct. 2012
Avez-vous trouvé cet article utile ?
Oui
Non
Not helpful Somewhat helpful Helpful Very helpful Solved my problem
Imprimer cette page
  • Dernière modification : 2 oct. 2012
  • Article : HT5501
  • Visites:

    234321
  • Note :
    • 87.0

    (21 réponses)