Esta atualização pode ser transferida e instalada por meio das preferências de Atualização de Software ou pela página de Downloads da Apple.
Para garantir a proteção de nossos clientes, a Apple não divulga, discute nem confirma problemas de segurança até que uma investigação completa seja conduzida e qualquer correção ou versão necessária esteja disponível. Para saber mais sobre a Segurança do produto Apple, consulte o site Segurança do produto Apple.
Para informações sobre a Chave PGP de Segurança do Produto Apple, consulte "Como usar a chave PGP de Segurança do Produto Apple".
Sempre que possível, serão usados IDs de CVE para indicar vulnerabilidades e permitir que o usuário obtenha mais informações.
Para saber mais sobre outras Atualizações de segurança, consulte "Atualizações de segurança da Apple".
Mac OS X 10.6.8 e Atualização de Segurança 2011-004
AirPort
Disponível para: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Impacto: quando conectado a uma rede Wi-Fi, um invasor na mesma rede pode causar a redefinição do sistema
Descrição: ocorre um problema de leitura de memória fora dos limites durante o processamento de frames Wi-Fi. Quando conectado a uma rede Wi-Fi, um invasor na mesma rede pode causar a redefinição do sistema. Esse problema não afeta o Mac OS X 10.6
ID de CVE
CVE-2011-0196
App Store
Disponível para: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: a senha do ID Apple do usuário pode estar com a sessão iniciada por um arquivo local
Descrição: em determinadas circunstâncias, a App Store pode iniciar a sessão com a senha do ID Apple do usuário por um arquivo que não esteja legível por outros usuários no sistema. Esse problema foi solucionado pelas melhorias no processamento de credenciais.
ID de CVE
CVE-2011-0197: Paul Nelson
ATS
Disponível para: Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: a visualização ou download de um documento com uma fonte incorporada criada com códigos maliciosos pode causar a execução arbitrária de códigos
Descrição: ocorre um estouro de buffer de pilha durante o processamento de fontes TrueType. A visualização ou o download de um documento que contém uma fonte incorporada criada com códigos maliciosos pode causar a execução arbitrária de códigos.
ID de CVE
CVE-2011-0198: Harry Sintonen, Marc Schoenefeld da Red Hat Security Response Team
Política de confiabilidade dos certificados
Disponível para: Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: um invasor com uma posição de rede privilegiada pode interceptar credenciais do usuário ou outras informações confidenciais
Descrição: ocorre um problema no processamento de erros da Política de Confiabilidade de Certificados. Se um certificado de Validação Ampliada (EV) não possuir um URL OCSP, e a verificação do CRL estiver ativada, o CRL não será verificado, e um certificado revogado pode ser aceito como válido. Esse problema é atenuado, pois a maioria dos certificados de EV especifica um URL OCSP.
ID de CVE
CVE-2011-0199: Chris Hawk e Wan-Teh Chang do Google
ColorSync
Disponível para: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Impacto: visualizar uma imagem criada com códigos maliciosos com um perfil ColorSync incorporado pode causar o encerramento inesperado de aplicativos ou a execução arbitrária de códigos
Descrição: ocorre um estouro de inteiro durante o processamento de imagens com um perfil ColorSync incorporado, o que pode causar um estouro de buffer de pilha. Abrir uma imagem criada com códigos maliciosos com um perfil ColorSync incorporado pode resultar no encerramento inesperado de aplicativos ou na execução arbitrária de códigos.
ID de CVE
CVE-2011-0200: binaryproof, que trabalha na Zero Day Initiative da TippingPoint
CoreFoundation
Disponível para: Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: aplicativos que usam a estrutura CoreFoundation podem estar vulneráveis ao encerramento inesperado do aplicativo ou à execução arbitrária de códigos
Descrição: ocorre um estouro de inteiro com atraso de um dia durante o processamento de CFStrings. Aplicativos que usam a estrutura CoreFoundation podem estar vulneráveis ao encerramento inesperado do aplicativo ou à execução arbitrária de códigos.
ID de CVE
CVE-2011-0201: Harry Sintonen
CoreGraphics
Disponível para: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: abrir um arquivo PDF criado com códigos maliciosos pode causar o encerramento inesperado de aplicativos ou a execução arbitrária de códigos
Descrição: ocorre um estouro de inteiro durante o processamento de fontes Tipo 1. A visualização ou o download de um documento que contém uma fonte incorporada criada com códigos maliciosos pode causar a execução arbitrária de códigos.
ID de CVE
CVE-2011-0202: Cristian Draghici da Modulo Consulting, Felix Grobert da Google Security Team
Servidor FTP
Disponível para: Mac OS X Server 10.6 até 10.6.7
Impacto: uma pessoa com acesso ao FTP pode relacionar arquivos no sistema
Descrição: ocorre um problema de validação de caminho no xftpd. Uma pessoa com acesso ao FTP pode executar uma lista do diretório recursivo, iniciando pela raiz e incluindo diretórios que não estão compartilhados pelo FTP. A lista eventualmente incluirá qualquer arquivo que esteja acessível ao usuário do FTP. O conteúdo dos arquivos não é revelado. Esse problema foi solucionado através de melhorias na validação de caminhos. Esse problema afeta somente sistemas Mac OS X Server.
ID de CVE
CVE-2011-0203: team karlkani
ImageIO
Disponível para: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: a visualização de uma imagem TIFF criada com códigos mal-intencionados pode causar o fechamento inesperado de aplicativos ou a execução de códigos arbitrários
Descrição: ocorre um estouro de buffer de pilha durante o processamento de imagens TIFF pelo ImageIO. A visualização de uma imagem TIFF criada com códigos maliciosos pode causar o encerramento inesperado de aplicativos ou a execução arbitrária de códigos.
ID de CVE
CVE-2011-0204: Dominic Chell da NGS Secure
ImageIO
Disponível para: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: acessar um site criado com códigos maliciosos pode causar o encerramento inesperado de aplicativos ou a execução arbitrária de códigos
Descrição: ocorre um estouro de buffer de pilha durante o processamento de imagens JPEG2000 pelo ImageIO. Acessar um site criado com códigos mal-intencionados pode causar o encerramento inesperado de aplicativos ou a execução arbitrária de códigos.
ID de CVE
CVE-2011-0205: Harry Sintonen
Componentes Internacionais para Unicode
Disponível para: Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: aplicativos que usam ICU podem estar vulneráveis a um encerramento inesperado de aplicativos ou à execução de códigos arbitrários.
Descrição: ocorre um estouro de buffer durante o processamento de strings com letra maiúscula pelo ICU. Aplicativos que usam ICU podem estar vulneráveis a um encerramento inesperado de aplicativos ou à execução arbitrária de códigos.
ID de CVE
CVE-2011-0206: David Bienvenu, da Mozilla
Kernel
Disponível para: Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: um usuário local pode conseguir redefinir o sistema
Descrição: havia um problema de deferência nula durante a manipulação das opções de soquete IPV6. Um usuário local pode ser capaz de redefinir o sistema.
ID de CVE
CVE-2011-1132: Thomas Clement, da Intego
Libsystem
Disponível para: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: aplicativos que usam a API glob(3) podem estar vulneráveis a uma negação de serviço
Descrição: aplicativos que usam a API glob(3) podem estar vulneráveis a uma negação de serviço. Se o padrão glob vier de uma entrada não confiável, o aplicativo pode travar ou usar recursos excessivos da CPU. Esse problema foi corrigido através da melhoria da validação dos padrões glob.
ID de CVE
CVE-2010-2632: Maksymilian Arciemowicz
libxslt
Disponível para: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: acessar um site criado com códigos mal-intencionados pode causar a divulgação de endereços na pilha
Descrição: uma implementação do libxslt da função XPath do generate-id() divulgou o endereço de um buffer de pilha. Acessar um site criado com códigos maliciosos pode causar a divulgação dos endereços na pilha. Esse problema foi solucionado pela criação de um ID baseado na diferença entre o endereço dos dois buffers de pilha.
ID de CVE
CVE-2011-0195: Chris Evans da Google Chrome Security Team
MobileMe
Disponível para: Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: um invasor com uma posição de rede privilegiada pode ler os aliases de e-mail do MobileMe de um usuário
Descrição: ao se comunicar com o MobileMe para identificar aliases de e-mail do usuário, o Mail fará solicitações através de HTTP. Como resultado, um invasor com posição de rede privilegiada pode ler os aliases de e-mail do MobileMe de um usuário. Esse problema foi corrigido usando SSL para acessar os aliases de e-mail do usuário.
ID de CVE
CVE-2011-0207: Aaron Sigel da vtty.com
MySQL
Disponível para: Mac OS X Server 10.5.8, Mac OS X Server 10.6 até 10.6.7
Impacto: diversas vulnerabilidades no MySQL 5.0.91
Descrição: o MySQL foi atualizado para a versão 5.0.92 a fim de solucionar diversas vulnerabilidades. A mais grave pode causar a execução arbitrária de códigos. O MySQL é fornecido somente com os sistemas Mac OS X Server.
ID de CVE
CVE-2010-3677
CVE-2010-3682
CVE-2010-3833
CVE-2010-3834
CVE-2010-3835
CVE-2010-3836
CVE-2010-3837
CVE-2010-3838
OpenSSL
Disponível para: Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: várias vulnerabilidades no OpenSSL
Descrição: existem diversas vulnerabilidades no OpenSSL. A mais grave pode causar a execução arbitrária de códigos. Esses problemas foram corrigidos pela atualização do OpenSSL para a versão 0.9.8r.
ID de CVE
CVE-2009-3245
CVE-2010-0740
CVE-2010-3864
CVE-2010-4180
CVE-2011-0014
correção
Disponível para: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: a execução de um arquivo de correção criado com códigos maliciosos pode fazer com que arquivos arbitrários sejam criados ou substituídos
Descrição: ocorre um problema transversal de diretório na correção do GNU. A execução de um arquivo de correção criado com códigos maliciosos pode fazer com que arquivos arbitrários sejam criados ou substituídos. Esse problema foi corrigido através de melhorias na validação de arquivos de correção.
ID de CVE
CVE-2010-4651
QuickLook
Disponível para: Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: baixar um arquivo do Microsoft Office criado com códigos mal-intencionados pode causar o fechamento inesperado de aplicativos ou a execução arbitrária de códigos
Descrição: havia um problema de memória corrompida durante o processamento de arquivos do Microsoft Office pelo QuickLook. Baixar um arquivo do Microsoft Office criado com códigos maliciosos pode causar o encerramento inesperado de aplicativos ou a execução arbitrária de códigos. Esse problema não afeta sistemas anteriores ao Mac OS X 10.6.
ID de CVE
CVE-2011-0208 : Tobias Klein, que trabalha na iDefense VCP
QuickTime
Disponível para: Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: a visualização de um arquivo WAV criado com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução arbitrária de códigos
Descrição: ocorre um estouro de inteiro durante o processamento de arquivos RIFF WAV pelo QuickTime. A visualização de um arquivo WAV criado com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução arbitrária de códigos.
ID de CVE
CVE-2011-0209: Luigi Auriemma que trabalha na Zero Day Initiative da TippingPoint
QuickTime
Disponível para: Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: a visualização de um arquivo de filme criado com códigos maliciosos pode causar o encerramento inesperado de aplicativos ou a execução arbitrária de códigos
Descrição: ocorre um problema de corrompimento de memória durante o processamento de tabelas de amostra em arquivos de filmes do QuickTime pelo QuickTime. A visualização de arquivo de filme criado com códigos maliciosos pode causar o encerramento inesperado de aplicativos ou a execução arbitrária de códigos.
ID de CVE
CVE-2011-0210: Honggang Ren da FortiGuard Labs da Fortinet
QuickTime
Disponível para: Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: a visualização de um arquivo de filme criado com códigos maliciosos pode causar o encerramento inesperado de aplicativos ou a execução arbitrária de códigos
Descrição: ocorre um estouro de inteiro durante o processamento de arquivos de filme pelo QuickTime. A visualização de arquivo de filme criado com códigos maliciosos pode causar o encerramento inesperado de aplicativos ou a execução arbitrária de códigos.
ID de CVE
CVE-2011-0211: Luigi Auriemma, que trabalha na Zero Day Initiative da TippingPoint
QuickTime
Disponível para: Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: a visualização de uma imagem PICT criada com códigos maliciosos pode causar o encerramento inesperado de aplicativos ou a execução arbitrária de códigos
Descrição: ocorre um estouro de buffer durante o processamento imagens PICT pelo QuickTime. A visualização de uma imagem PICT criada com códigos maliciosos pode causar o encerramento inesperado de aplicativos ou a execução arbitrária de códigos.
ID de CVE
CVE-2010-3790: Subreption LLC que trabalha na Zero Day Initiative da TippingPoint
QuickTime
Disponível para: Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: a visualização de um arquivo JPEG criado com códigos maliciosos pode causar o encerramento inesperado de aplicativos ou a execução arbitrária de códigos
Descrição: ocorre um estouro de buffer durante o processamento de arquivos JPEG pelo QuickTime. A visualização de um arquivo JPEG criado com códigos maliciosos pode causar o encerramento inesperado de aplicativos ou a execução arbitrária de códigos.
ID de CVE
CVE-2011-0213: Luigi Auriemma, que trabalha na iDefense
Samba
Disponível para: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Impacto: se um compartilhamento de arquivos SMB estiver ativado, um invasor remoto poderá causar uma negação de serviço ou a execução arbitrária de códigos
Descrição: ocorre um estouro de buffer de pilha durante o processamento de IDs de Segurança do Windows pelo Samba. Se um compartilhamento de arquivos SMB estiver ativado, um invasor remoto poderá causar uma negação de serviço ou a execução arbitrária de códigos. Para os sistemas Mac OS X 10.6, esse problema foi corrigido no Mac OS X 10.6.7.
ID de CVE
CVE-2010-3069
Samba
Disponível para: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: se um compartilhamento de arquivos SMB estiver ativado, um invasor remoto poderá causar uma negação de serviço ou a execução arbitrária de códigos
Descrição: ocorre um problema de corrupção de memória durante o processamento de descritores pelo Samba. Se um compartilhamento de arquivos SMB estiver ativado, um invasor remoto poderá causar uma negação de serviço ou a execução arbitrária de códigos.
ID de CVE
CVE-2011-0719: Volker Lendecke da SerNet
servermgrd
Disponível para: Mac OS X Server 10.5.8, Mac OS X Server 10.6 até 10.6.7
Impacto: um invasor remoto pode ler arquivos aleatórios no sistema
Descrição: ocorre um problema na Entidade Externa XML durante o processamento de solicitações XML-RPC no servermgrd. O problema foi corrigido através da remoção da interface XML-RPC do servermgrd. Esse problema afeta somente sistemas Mac OS X Server.
ID de CVE
CVE-2011-0212: Apple
subversion
Disponível para: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 até 10.6.7, Mac OS X Server 10.6 até 10.6.7
Impacto: se um servidor Subversion baseado em http estiver configurado, um invasor remoto poderá causar uma negação de serviço
Descrição: ocorre um desreferenciamento nulo durante o processamento de tokens de bloqueio enviados através de HTTP pelo Subversion. Se um servidor Subversion baseado em http estiver configurado, um invasor remoto poderá causar uma negação de serviço. Para os sistemas Mac OS X 10.6, o Subversion está atualizado para a versão 1.6.6. Para os sistemas Mac OS X 10.5.8, o problema foi corrigido através de validação adicional dos tokens de bloqueio. Veja mais informações no site do Subversion em http://subversion.apache.org/
ID de CVE
CVE-2011-0715