نبذة حول تحديث الأمان ‎2008-005

يصف هذا المستند تحديث الأمان ‎2008-005، الذي يمكن تنزيله وتثبيته من خلال تفضيلات "تحديث البرنامج" أو "تنزيلات Apple".

لحماية عملائنا، لا تفصح Apple عن مشاكل الأمان أو تناقشها أو تؤكدها لحين إجراء استقصاء كامل، مع توفّر أي برامج تصحيح أو إصدارات ضرورية. للتعرّف على المزيد حول أمان منتجات Apple، تفضل بزيارة موقع "أمان منتجات Apple".

لمعرفة معلومات حول مفتاح PGP لأمان منتجات Apple، راجع "كيفية استخدام مفتاح PGP لأمان منتجات Apple."

إن أمكن، يتم استخدام معرفات CVE للإشارة إلى الثغرات لمعرفة المزيد من المعلومات.

للتعرّف على تحديثات الأمان الأخرى، راجع "تحديثات أمان Apple."

تحديث الأمان Security Update 2008-005

  • فتح بنية البرمجة النصية

    CVE-ID: CVE-2008-2830

    متوفر لما يلي: الإصدار 10.4.11 من Mac OS X، الإصدار 10.4.11 من Mac OS X Server، الإصدار 10.5.4 من Mac OS X، الإصدار 10.5.4 من Mac OS X Server

    التأثير: قد يقوم مستخدم محلي بتنفيذ أوامر ذات امتيازات مرتفعة

    الوصف: توجد مشكلة في التصميم في مكتبات فتح بنية البرمجة النصية عند تحديد ما إذا كان سيتم تحميل المكونات الإضافية لإضافة البرمجة النصية إلى التطبيقات التي تعمل بامتيازات مرتفعة. قد يؤدي إرسال أوامر إضافة البرمجة النصية إلى تطبيق مميز إلى السماح بتنفيذ تعليمات برمجية عشوائية بهذه الامتيازات. يعالج هذا التحديث المشكلة عن طريق عدم تحميل المكونات الإضافية للبرمجة النصية في التطبيقات التي تعمل بامتيازات النظام. يعالج هذا التحديث مشكلات ARDAgent وSecurityAgent التي تم الإبلاغ عنها مؤخرًا. نشكر Charles Srstka على الإبلاغ عن هذه المشكلة.

  • BIND

    CVE-ID: CVE-2008-1447

    متوفر لما يلي: الإصدار 10.4.11 من Mac OS X، الإصدار 10.4.11 من Mac OS X Server، الإصدار 10.5.4 من Mac OS X، الإصدار 10.5.4 من Mac OS X Server

    التأثير: يكون BIND عرضة لإفساد ذاكرة التخزين المؤقت لنظام أسماء النطاقات (DNS) وقد يقوم بإرجاع معلومات مزورة

    الوصف: يتم توزيع خادم Berkeley Internet Name Domain (BIND) مع نظام التشغيل Mac OS X، ولا يتم تمكينه افتراضيًا. عند التمكين، يوفر خادم BIND الترجمة بين أسماء المضيفين وعناوين IP. قد يسمح الضعف في بروتوكول DNS للمهاجمين عن بعد بتنفيذ هجمات تسميم ذاكرة التخزين المؤقت لـ DNS. ونتيجة لذلك، قد تتلقى الأنظمة التي تعتمد على خادم BIND لـ DNS معلومات مزورة. يعالج هذا التحديث المشكلة عن طريق تنفيذ التوزيع العشوائي للمنفذ المصدر لتحسين القدرة على مواجهة هجمات إفساد ذاكرة التخزين المؤقت. بالنسبة لأنظمة إصدار 10.4.11 من Mac OS X، يتم تحديث BIND إلى الإصدار 9.3.5-P1. بالنسبة لأنظمة إصدار 10.5.4 من Mac OS X، يتم تحديث BIND إلى الإصدار 9.4.2-P1. نشكر Dan Kaminsky من IOActive للإبلاغ عن هذه المشكلة.

  • CarbonCore

    CVE-ID: CVE-2008-7259

    متوفر لما يلي: الإصدار 10.4.11 من Mac OS X، الإصدار 10.4.11 من Mac OS X Server، الإصدار 10.5.4 من Mac OS X، الإصدار 10.5.4 من Mac OS X Server

    التأثير: قد تؤدي معالجة أسماء الملفات الطويلة إلى إنهاء غير متوقع للتطبيق أو تنفيذ تعليمات برمجية عشوائية

    الوصف: يوجد تجاوز سعة المخزن المؤقت للمكدس أثناء معالجة أسماء الملفات الطويلة. قد تؤدي معالجة أسماء الملفات الطويلة إلى إنهاء غير متوقع للتطبيق أو تنفيذ تعليمات برمجية عشوائية. يعالج هذا التحديث المشكلة من خلال التحقق المحسن للحدود. نشكر Thomas Raffetseder من International Secure Systems Lab وSergio 'shadown' Alvarez من n.runs AG للإبلاغ عن هذه المشكلة.

  • CoreGraphics

    CVE-ID: CVE-2008-2321

    متوفر لما يلي: الإصدار 10.4.11 من Mac OS X، الإصدار 10.4.11 من Mac OS X Server، الإصدار 10.5.4 من Mac OS X، الإصدار 10.5.4 من Mac OS X Server

    التأثير: قد تؤدي زيارة موقع ويب متطفل إلى إنهاء غير متوقع للتطبيق أو تنفيذ تعليمات برمجية عشوائية

    الوصف: يحتوي CoreGraphics على مشكلات تلف الذاكرة أثناء معالجة الوسائط. قد يؤدي تمرير مدخلات غير موثوقة إلى CoreGraphics عبر أحد التطبيقات، مثل متصفح الويب، إلى إنهاء غير متوقع للتطبيق أو تنفيذ تعليمات برمجية عشوائية. يعالج هذا التحديث المشكلة من خلال التحقق المحسن للحدود. نشكر Michal Zalewski من Google للإبلاغ عن هذه المشكلة.

  • CoreGraphics

    CVE-ID: CVE-2008-2322

    متوفر لما يلي: الإصدار 10.4.11 من Mac OS X، الإصدار 10.4.11 من Mac OS X Server، الإصدار 10.5.4 من Mac OS X، الإصدار 10.5.4 من Mac OS X Server

    التأثير: قد يؤدي عرض ملف PDF متطفل إلى إنهاء غير متوقع للتطبيق أو تنفيذ تعليمات برمجية عشوائية

    الوصف: قد يؤدي تجاوز عدد صحيح في معالجة ملفات PDF إلى تجاوز سعة المخزن المؤقت للكومة. قد يؤدي عرض ملف PDF متطفل إلى إنهاء غير متوقع للتطبيق أو تنفيذ تعليمة برمجية عشوائية. يعالج هذا التحديث المشكلة من خلال التحقق الإضافي من صحة ملفات PDF. نشكر Pariente Kobi الذي يعمل مع iDefense VCP للإبلاغ عن هذه المشكلة.

  • محرك كشف البيانات

    CVE-ID: CVE-2008-2323

    الإصدار 10.5.4 من Mac OS X، الإصدار 10.5.4 من Mac OS X Server

    التأثير: قد يؤدي عرض الرسائل المتطفلة باستخدام كشف البيانات إلى إنهاء غير متوقع للتطبيق

    الوصف: يتم استخدام أجهزة كشف البيانات لاستخراج المعلومات المرجعية من المحتوى النصي أو الأرشيف. توجد مشكلة تتعلق باستهلاك الموارد في معالجة كشف البيانات للمحتوى النصي. قد يؤدي عرض محتوى تم إنشاؤه بشكل متطفل في تطبيق يستخدم كشف البيانات إلى رفض الخدمة، ولكن ليس إلى تنفيذ تعليمات برمجية عشوائية. لا تؤثر هذه المشكلة على الأنظمة التي تسبق الإصدار 10.5 من Mac OS X.

  • أداة القرص

    CVE-ID: CVE-2008-2324

    الإصدار 10.4.11 من Mac OS X، الإصدار 10.4.11 من Mac OS X Server

    التأثير: قد يحصل مستخدم محلي على امتيازات النظام

    الوصف: تقوم أداة "إصلاح الأذونات" في أداة القرص بإنشاء /usr/bin/emacs setuid. بعد تشغيل أداة إصلاح الأذونات، يمكن للمستخدم المحلي استخدام emacs لتشغيل الأوامر بامتيازات النظام. يعالج هذا التحديث المشكلة عن طريق تصحيح الأذونات المطبقة على emacs في أداة إصلاح الأذونات. لا تؤثر هذه المشكلة على الأنظمة التي تعمل بالإصدار 10.5 من Mac OS X أو الإصدارات الأحدث. نشكر Anton Rang وBrian Timares للإبلاغ عن هذه المشكلة.

  • OpenLDAP

    CVE-ID: CVE-2008-2952

    متوفر لما يلي: الإصدار 10.4.11 من Mac OS X، الإصدار 10.4.11 من Mac OS X Server، الإصدار 10.5.4 من Mac OS X، الإصدار 10.5.4 من Mac OS X Server

    التأثير: قد يتمكن مخترق عن بعد من التسبب في إنهاء غير متوقع للتطبيق

    الوصف: توجد مشكلة في فك تشفير ASN.1 BER الخاص بـ OpenLDAP. قد تؤدي معالجة رسالة LDAP متطفلة إلى تشغيل تأكيد وتؤدي إلى إنهاء غير متوقع للتطبيق لبرنامج OpenLDAP الخفي، slapd. يعالج هذا التحديث المشكلة عن طريق إجراء التحقق الإضافي من صحة رسائل LDAP.

  • OpenSSL

    CVE-ID: CVE-2007-5135

    متوفر لما يلي: الإصدار 10.4.11 من Mac OS X، الإصدار 10.4.11 من Mac OS X Server، الإصدار 10.5.4 من Mac OS X، الإصدار 10.5.4 من Mac OS X Server

    التأثير: قد يتمكن مهاجم عن بعد من التسبب في إنهاء غير متوقع للتطبيق أو تنفيذ تعليمات برمجية عشوائية

    الوصف: توجد مشكلة في التحقق من النطاق في وظيفة الأداة المساعدة SSL_get_shared_ciphers() ضمن OpenSSL. في أحد التطبيقات التي تستخدم هذه الوظيفة، قد تؤدي معالجة الحزم المتطفلة إلى إنهاء غير متوقع للتطبيق أو تنفيذ تعليمات برمجية عشوائية. يعالج هذا التحديث المشكلة من خلال التحقق المحسن للحدود.

  • PHP

    CVE-ID: CVE-2008-2051, CVE-2008-2050, CVE-2007-4850, CVE-2008-0599, CVE-2008-0674

    متوفر لما يلي: الإصدار 10.5.4 من Mac OS X، الإصدار 10.5.4 من Mac OS X Server

    التأثير: ثغرات أمنية متعددة في PHP 5.2.5

    الوصف: تم تحديث PHP إلى الإصدار 5.2.6 لمعالجة العديد من الثغرات الأمنية، والتي قد يؤدي أخطرها إلى تنفيذ تعليمات برمجية عشوائية. مزيد من المعلومات متاحة عبر موقع PHP على http://www.php.net/ يتوفر إصدار PHP 5.2.x فقط مع أنظمة إصدار 10.5 من Mac OS X.

  • QuickLook

    CVE-ID: CVE-2008-2325

    متوفر لما يلي: الإصدار 10.4.11 من Mac OS X، الإصدار 10.4.11 من Mac OS X Server، الإصدار 10.5.4 من Mac OS X، الإصدار 10.5.4 من Mac OS X Server

    التأثير: قد يؤدي تنزيل ملف Microsoft Office متطفل إلى إنهاء غير متوقع للتطبيق أو تنفيذ تعليمات برمجية عشوائية

    الوصف: توجد مشكلات متعددة تتعلق بتلف الذاكرة أثناء معالجة QuickLook لملفات Microsoft Office. قد يؤدي تنزيل ملف Microsoft Office متطفّل إلى إنهاء غير متوقع للتطبيق أو تنفيذ تعليمة برمجية عشوائية. يعالج هذا التحديث المشكلة من خلال التحقق المحسن للحدود. لا تؤثر هذه المشكلة على الأنظمة التي تسبق الإصدار 10.5 من Mac OS X.

  • rsync

    CVE-ID: CVE-2007-6199, CVE-2007-6200

    متوفر لما يلي: الإصدار 10.4.11 من Mac OS X، الإصدار 10.4.11 من Mac OS X Server، الإصدار 10.5.4 من Mac OS X، الإصدار 10.5.4 من Mac OS X Server

    التأثير: قد يتم الوصول إلى الملفات الموجودة خارج جذر الوحدة النمطية أو الكتابة فوقها عن بُعد

    الوصف: توجد مشكلات في التحقق من صحة المسار أثناء معالجة rsync للروابط الرمزية عند التشغيل في الوضع. قد يؤدي وضع روابط رمزية في وحدة rsync إلى السماح بالوصول إلى الملفات خارج جذر الوحدة أو الكتابة فوقها. يعالج هذا التحديث المشكلة من خلال المعالجة المحسنة للارتباطات الرمزية. يتوفر مزيد من المعلومات حول التصحيحات المطبقة عبر موقع ويب rsync على http://rsync.samba.org/

مهم: تعد الإشارة إلى مواقع الويب والمنتجات الخاصة بالجهات الخارجية لأغراض معلوماتية فقط، ولا تشكّل إقرارًا أو توصية. لا تتحمّل Apple أية مسؤولية فيما يتعلق باختيار المعلومات أو المنتجات الموجودة على مواقع الويب التابعة لجهات خارجية أو أدائها أو استخدامها. توفر Apple ذلك من باب التيسير على مستخدمينا. لم تختبر Apple المعلومات الموجودة على هذه المواقع، ولا تُقدّم أية إقرارات فيما يتعلق بدقتها أو موثوقيتها. ثمة مخاطر كامنة في استخدام أي معلومات أو منتجات موجودة على الإنترنت، ولا تتحمل Apple أي مسؤولية في هذا الشأن. الرجاء إدراك أن هذا موقع تابع لجهة خارجية مستقلة عن Apple، ولا تمارس Apple أي رقابة على المحتوى المعروض على هذا الموقع الإلكتروني. يرجى الاتصال بالبائع للحصول على معلومات إضافية.

تاريخ النشر: