Tietoja suojauspäivityksestä 2014-002

Tässä asiakirjassa kerrotaan suojauspäivitys 2014-002:n turvallisuussisällöstä.

Päivityksen voi ladata ja asentaa ohjelmiston päivityksen kautta tai Applen tukisivustosta.

Apple haluaa suojella asiakkaitaan eikä siksi paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustossa.

Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.

CVE-tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.

• CFNetwork HTTPProtocol

  Saatavuus: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9.2

  Vaikutus: Etuoikeutetussa verkkoasemassa oleva hyökkääjä saattoi saada haltuunsa verkkosivustojen kirjautumistietoja.

  Kuvaus: Set-Cookie-HTTP-otsikot käsiteltiin, vaikka yhteys olisi suljettu ennen otsikkorivin päättymistä. Hyökkääjä pystyi poistamaan evästeen suojausasetukset pakottamalla yhteyden sulkeutumaan ennen suojausasetusten lähettämistä ja saamaan näin haltuunsa suojaamattoman evästeen arvon. Ongelma on korjattu jättämällä osittaiset HTTP-otsikkorivit huomiotta.

  CVE-ID

  CVE-2014-1296: Antoine Delignat-Lavaud (Prosecco, Inria Paris)

• CoreServicesUIAgent

  Saatavuus: OS X Mavericks 10.9.2

  Vaikutus: Haitallisessa verkkosivustossa käyminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mahdollistaa mielivaltaisen ohjelmakoodin suorittamisen.

  Kuvaus: URL-osoitteiden käsittelyssä oli muotoilumerkkijonoihin liittyvä ongelma. Ongelma on ratkaistu URL-osoitteiden lisätarkistuksella. Ongelma ei vaikuta OS X Mavericksia edeltäviin järjestelmiin.

  CVE-ID

  CVE-2014-1315: Lukasz Pilorz (runic.pl), Erik Kooistra

• FontParser

  Saatavuus: OS X Mountain Lion 10.8.5

  Vaikutus: Haitallisen PDF-tiedoston avaaminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mahdollistaa mielivaltaisen ohjelmakoodin suorittamisen.

  Kuvaus: PDF-tiedostojen sisältämien fonttien käsittelyssä oli puskurialivuoto. Ongelma on ratkaistu rajojen lisätarkistuksella. Ongelma ei koske OS X Mavericks ‑järjestelmiä.

  CVE-ID

  CVE-2013-5170: Will Dormann (CERT/CC)

• Heimdal Kerberos

  Saatavuus: OS X Mavericks 10.9.2

  Vaikutus: Etähyökkääjä saattoi pystyä estämään palvelun käytön.

  Kuvaus: ASN.1-tietojen käsittelyssä oli saavutettavissa oleva lopetusehto. Ongelma on korjattu ASN.1-tietojen lisätarkistuksella.

  CVE-ID

  CVE-2014-1316: Joonas Kuorilehto (Codenomicon)

• ImageIO

  Saatavuus: OS X Mavericks 10.9.2

  Vaikutus: Haitallisen JPEG-kuvan avaaminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mahdollistaa mielivaltaisen ohjelmakoodin suorittamisen.

  Kuvaus: ImageIO:n JPEG-kuvien käsittelyssä oli puskurin ylivuotoon liittyvä ongelma. Ongelma on ratkaistu parantamalla rajojen tarkistusta. Ongelma ei vaikuta OS X Mavericksia edeltäviin järjestelmiin.

  CVE-ID

  CVE-2014-1319: Cristian Draghici (Modulo Consulting), Karl Smith (NCC Group)

• Intel-grafiikkaohjain

  Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9.2

  Vaikutus: Haitallinen appi saattoi pystyä ottamaan järjestelmän hallintaansa.

  Kuvaus: Käyttäjätilasta peräisin olevien osoittimien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu osoittimien lisätarkistuksella.

  CVE-ID

  CVE-2014-1318: Ian Beer (Google Project Zero) yhteistyössä HP:n Zero Day Initiativen kanssa

• IOKit Kernel

  Saatavuus: OS X Mavericks 10.9.2

  Vaikutus: Paikallinen käyttäjä pystyi lukemaan kernel-osoittimia ja saattoi niiden avulla ohittaa kernelin osoitetilan asettelun satunnaistamisen.

  Kuvaus: IOKit-objektiin tallennetut kernel-osoittimet pystyttiin lukemaan käyttäjätilasta. Ongelma on korjattu poistamalla osoittimet objektista.

  CVE-ID

  CVE-2014-1320: Ian Beer (Google Project Zero) yhteistyössä HP:n Zero Day Initiativen kanssa

• Kernel

  Saatavuus: OS X Mavericks 10.9.2

  Vaikutus: Paikallinen käyttäjä pystyi lukemaan kernel-osoittimen ja ohittamaan kernelin osoiteavaruuden asettelun satunnaistamisen sen avulla.

  Kuvaus: XNU-objektiin tallennettu kernel-osoitin pystyttiin lukemaan käyttäjätilasta. Ongelma on ratkaistu poistamalla osoitin objektista.

  CVE-ID

  CVE-2014-1322: Ian Beer (Google Project Zero)

• Virranhallinta

  Saatavuus: OS X Mavericks 10.9.2

  Vaikutus: Näytön lukitseminen saattoi epäonnistua.

  Kuvaus: Jos jotakin näppäintä painettiin tai kosketuslevyyn kosketettiin välittömästi kannen sulkemisen jälkeen, järjestelmä saattoi herätä lepotilaan siirtymisen ollessa meneillään, minkä vuoksi näyttöä ei lukittu. Ongelma on ratkaistu jättämällä lepotilaan siirtymisen aikana vastaanotetut näppäinten painallukset huomiotta. Ongelma ei vaikuta OS X Mavericksia edeltäviin järjestelmiin.

  CVE-ID

  CVE-2014-1321: Paul Kleeberg (Stratis Health Bloomington MN), Julian Sincu (Baden-Wuerttemberg Cooperative State University, DHBW Stuttgart), Gerben Wierda (R&A), Daniel Luz

• Ruby

  Saatavuus: OS X Mavericks 10.9.2

  Vaikutus: Ei-luotettuja YAML-tunnisteita käsittelevän Ruby-komentosarjan suorittaminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mahdollistaa mielivaltaisen ohjelmakoodin suorittamisen.

  Kuvaus: LibYAML:n YAML-tunnisteiden käsittelyssä oli kokonaislukujen ylivuoto-ongelma. Ongelma on ratkaistu YAML-tunnisteiden lisätarkistuksella. Ongelma ei vaikuta OS X Mavericksia edeltäviin järjestelmiin.

  CVE-ID

  CVE-2013-6393

• Ruby

  Saatavuus: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9.2

  Vaikutus: Ei-luotettua syötettä Float-objektin luomisessa käyttävän Ruby-komentosarjan suorittaminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mahdollistaa mielivaltaisen ohjelmakoodin suorittamisen.

  Kuvaus: Rubyssä oli merkkijonoja liukulukuarvoiksi muunnettaessa ilmenevä pinopohjaisen puskurin ylivuoto-ongelma. Ongelma on ratkaistu liukulukuarvojen lisätarkistuksella.

  CVE-ID

  CVE-2013-4164

• Suojaus – Secure Transport

  Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9.2

  Vaikutus: Etuoikeutetussa verkkoasemassa oleva hyökkääjä saattoi saada haltuunsa SSL-suojatun istunnon tiedot tai muuttaa istunnossa suoritettavia toimintoja.

  Kuvaus: Hyökkääjä saattoi ns. kolminkertaisen kättelyn hyökkäyksen avulla avata kaksi yhteyttä, jotka käyttivät samoja salausavaimia ja kättelyä, syöttää hyökkääjän tiedot yhden yhteyden kautta ja neuvotella yhteydet uudelleen siten, että yhteydet välitettiin toisiinsa. Tähän skenaarioon perustuvien hyökkäysten estämiseksi Secure Transportia muutettiin siten, että yhteyden uudelleenneuvottelussa on käytettävä samaa palvelinvarmennetta kuin alkuperäisessä yhteydessä. Ongelma ei koske Mac OS X 10.7 -järjestelmiä ja sitä vanhempia järjestelmiä.

  CVE-ID

  CVE-2014-1295: Antoine Delignat-Lavaud, Karthikeyan Bhargavan ja Alfredo Pironti (Prosecco, Inria Paris)

• WindowServer

  Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9.2

  Vaikutus: Haitalliset apit saattoivat pystyä suorittamaan mielivaltaista ohjelmakoodia eristyksen ulkopuolella.

  Kuvaus: Eristetyt apit saattoivat pystyä luomaan WindowServer-istuntoja. Ongelma on ratkaistu estämällä WindowServer-istuntojen luominen eristetyiltä apeilta.

  CVE-ID

  CVE-2014-1314: KeenTeam yhteistyössä HP:n Zero Day Initiativen kanssa

• Huomautus: OS X Mavericks -järjestelmien suojauspäivitys 2014-002 sisältää Safari 7.0.3:n turvallisuussisällön.