O bezpečnostním obsahu OS X Mavericks 10.9

Tento dokument popisuje bezpečnostní obsah OS X Mavericks 10.9.

Apple v zájmu ochrany zákazníků nezveřejňuje, nerozebírá ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřeny a nejsou k dispozici potřebné opravy nebo aktualizace. Podrobnější informace o zabezpečení produktů Apple najdete na webové stránce Zabezpečení produktů Apple.

Informace o klíči PGP zabezpečení produktů Apple najdete v článku Jak používat klíč PGP zabezpečení produktů Apple.

Pokud je to možné, jako odkazy na další informace o bezpečnostních chybách se používají identifikátory CVE ID.

Informace o dalších bezpečnostních aktualizacích najdete v článku Bezpečnostní aktualizace Apple.

OS X Mavericks 10.9

• Aplikační firewall

  Dopad: Socketfilterfw --blockApp nemusí blokovat přijímání síťových připojení v aplikacích.

  Popis: Volba --blockApp nástroje příkazového řádku socketfilterfw řádně neblokovala přijímání síťových připojení v aplikacích. Problém byl vyřešen lepším zpracováním volby --blockApp.

  CVE-ID

  CVE-2013-5165: Alexander Frangis ze společnosti PopCap Games

• Aplikační sandbox

  Dopad: Aplikační sandbox mohl být obcházen.

  Popis: Rozhraní LaunchServices pro spuštění aplikace umožňovalo aplikacím v sandboxu specifikovat seznam argumentů předávaných novému procesu. Narušené aplikace v sandboxu mohly tyto informace používat k obejití sandboxu. Problém byl vyřešen zakázáním specifikace argumentů aplikacemi v sandboxu.

  CVE-ID

  CVE-2013-5179: Friedrich Graeter ze společnosti The Soulmen GbR

• Bluetooth

  Dopad: Škodlivá místní aplikace mohla způsobit neočekávané ukončení systému.

  Popis: Hostitelský řadič USB Bluetooth odstranil rozhraní potřebná pro pozdější operace. Problém byl vyřešen tak, že se nyní uchovává rozhraní tak dlouho, dokud není potřeba.

  CVE-ID

  CVE-2013-5166: Stefano Bianchi Mazzone, Mattia Pagnozzi a Aristide Fattori z týmu Computer and Network Security Lab (LaSER), Università degli Studi di Milano

• CFNetwork

  Dopad: Cookies relace mohou přetrvávat i po resetování Safari.

  Popis: Dokud nebyla aplikace Safari zavřena, nepodařilo se resetováním Safari vždy odstranit cookies relace. Tento problém byl vyřešen vylepšeným zpracováním cookies relace.

  CVE-ID

  CVE-2013-5167: Graham Bennett, Rob Ansaldo z týmu Amherst College

• CFNetwork SSL

  Dopad: Útočník mohl dešifrovat část připojení SSL.

  Popis: Používaly se pouze tyto verze SSL: SSL 3 a TLS 1.0. Tyto verze obsahovaly protokol se slabými místy, která se projevila při použití blokových šifer. Útočník typu „man in the middle“ mohl vkládat neplatná data, způsobit ukončení připojení a odhalit informace týkající se předchozích dat. Pokud byl pokus o připojení proveden opakovaně, útočník mohl být schopen dešifrovat odesílaná data, například heslo. Tento problém byl vyřešen povolením protokolu TLS 1.2.

  CVE-ID

  CVE-2011-3389

• Konzola

  Dopad: Kliknutí na závadnou položku protokolu mohlo vést k neočekávanému spuštění aplikace.

  Popis: Tato aktualizace upravila chování Konzoly při kliknutí na položku protokolu s připojenou adresou URL. Konzola nyní neotevře adresu URL, ale zobrazí náhled adresy URL pomocí rychlého náhledu.

  CVE-ID

  CVE-2013-5168 : Aaron Sigel z týmu vtty.com

• CoreGraphics

  Dopad: Okna můžou být vidět skrz zamčenou obrazovku po uspání displeje.

  Popis: Ve zpracování režimu uspání displeje v CoreGraphics existovala logická chyba, která vedla k poškození dat a následnému možnému zobrazení oken skrz zamčenou obrazovku. Problém byl vyřešen vylepšeným zpracováním uspání displeje.

  CVE-ID

  CVE-2013-5169

• CoreGraphics

  Dopad: Zobrazení nebezpečně vytvořeného souboru PDF mohlo vést k nečekanému ukončení aplikace nebo ke spuštění škodlivého kódu.

  Popis: Při zpracování souborů PDF mohlo dojít k přetečení vyrovnávací paměti. Problém byl vyřešen vylepšenou kontrolou rozsahu.

  CVE-ID

  CVE-2013-5170 : Will Dormann ze skupiny CERT/CC

• CoreGraphics

  Dopad: Neoprávněná aplikace mohla být schopna protokolovat stisknutí kláves zadaná v jiných aplikacích i při povoleném režimu zabezpečeného vstupu.

  Popis: Registrováním události klávesové zkratky mohla neoprávněná aplikace protokolovat stisknutí kláves zadaná v jiných aplikacích i při povoleném režimu zabezpečeného vstupu. Problém byl vyřešen vylepšeným ověřováním událostí klávesových zkratek.

  CVE-ID

  CVE-2013-5171

• cURL

  Dopad: Několik možností ohrožení v softwaru Curl.

  Popis: Curl obsahoval několik bezpečnostních slabin, z nichž ty nejvážnější mohly umožnit spuštění škodlivého kódu. Problémy byly vyřešeny aktualizací softwaru Curl na verzi 7.30.0.

  CVE-ID

  CVE-2013-0249

  CVE-2013-1944

• dyld

  Dopad: Útočník, který v zařízení může svévolně spouštět kód, dokáže spouštět kód i po restartování.

  Popis: Ve funkci openSharedCacheFile() modulu dyld existovalo několik problémů s přetečením zásobníku. Problémy byly vyřešeny vylepšenou kontrolou rozsahu.

  CVE-ID

  CVE-2013-3950 : Stefan Esser

• IOKitUser

  Dopad: Škodlivá místní aplikace mohla způsobit neočekávané ukončení systému.

  Popis: V katalogu IOCatalogue existovala dereference na ukazatel NULL. Problém byl vyřešen vylepšenou kontrolou typu.

  CVE-ID

  CVE-2013-5138 : Will Estes

• IOSerialFamily

  Dopad: Spuštění škodlivé aplikace mohlo vést ke svévolnému spuštění kódu v jádru.

  Popis: V ovladači IOSerialFamily existoval přístup k poli vymykající se rozsahu. Problém byl vyřešen vylepšenou kontrolou rozsahu.

  CVE-ID

  CVE-2013-5139 : @dent1zt

• Jádro

  Dopad: Důsledkem použití hashovacích funkcí SHA-2 v jádru mohlo být neočekávané ukončení systému.

  Popis: Pro sadu hashovacích funkcí SHA-2 byla použita nesprávná délka výstupu. V důsledku toho může při použití těchto funkcí, zejména během IPSec připojení, dojít k chybě „kernel panic“. Problém byl vyřešen použitím očekávané délky výstupu.

  CVE-ID

  CVE-2013-5172: Christoph Nadig ze společnosti Lobotomo Software

• Jádro

  Dopad: Místní uživatelé mohou získat přístup k paměti zásobníku jádra

  Popis: V API msgctl a segctl existoval problém s vyzrazováním informací. Problém byl vyřešen inicializací datových struktur vrácených z jádra.

  CVE-ID

  CVE-2013-5142 : Kenzley Alphonse ze společnosti Kenx Technology, Inc

• Jádro

  Dopad: Místní uživatel mohl způsobit odmítnutí služby.

  Popis: Generátor náhodných čísel jádra zablokoval zámek během uspokojování požadavku z uživatelského prostoru. Umožnil místnímu uživateli vytvořit obsáhlý požadavek, zablokovat zámek na dlouhé časové úseky a způsobit odmítnutí služby pro jiné uživatele generátoru náhodných čísel. Tento problém byl vyřešen častějším uvolněním a opětovným získáním zámku pro velké požadavky.

  CVE-ID

  CVE-2013-5173: Jaakko Pero z týmu Aalto University

• Jádro

  Dopad: Místní neoprávněný uživatel mohl způsobit neočekávané ukončení systému.

  Popis: Ve zpracování čtení tty existoval problém se znaménkem celých čísel. Tento problém byl vyřešen vylepšeným zpracováním čtení tty.

  CVE-ID

  CVE-2013-5174 : CESG

• Jádro

  Dopad: Místní uživatel mohl způsobit zpřístupnění informací paměti jádra nebo neočekávané ukončení systému.

  Popis: Ve zpracování souborů Mach-O existoval problém se čtením mimo hranice. Problém byl vyřešen vylepšenou kontrolou rozsahu.

  CVE-ID

  CVE-2013-5175

• Jádro

  Dopad: Místní uživatel mohl způsobit zamrznutí systému.

  Popis: Ve zpracování zařízení tty existoval problém se zkracováním celých čísel. Problém byl vyřešen vylepšenou kontrolou rozsahu.

  CVE-ID

  CVE-2013-5176 : CESG

• Jádro

  Dopad: Místní uživatel mohl způsobit neočekávané ukončení systému.

  Popis: V případě zjištění neplatné struktury iovec dodané uživatelem mohlo dojít k chybě „kernel panic“. Problém byl vyřešen vylepšeným ověřováním struktur iovec.

  CVE-ID

  CVE-2013-5177 : CESG

• Jádro

  Dopad: Neoprávněný proces může způsobit neočekávané ukončení systému nebo svévolné spuštění kódu v jádru

  Popis: Ve zpracovávání argumentů pro API posix_spawn existoval problém s možným poškozením paměti. Problém byl vyřešen vylepšenou kontrolou rozsahu.

  CVE-ID

  CVE-2013-3954 : Stefan Esser

• Jádro

  Dopad: Program vícesměrového vysílání specifický pro zdroj mohl při použití sítě Wi-Fi způsobit neočekávané ukončení systému.

  Popis: Ve zpracování paketů vícesměrového vysílání existoval problém s kontrolou chyb. Tento problém byl vyřešen vylepšeným zpracováním paketů vícesměrového vysílání.

  CVE-ID

  CVE-2013-5184: Octoshape

• Jádro

  Dopad: Útočník v místní síti mohl způsobit odmítnutí služeb

  Popis: Útočník v místní síti mohl zasílat účelně vytvořené pakety IPv6 ICMP a tím způsobit přetížení procesoru. Problém byl vyřešen tím, že před ověřením kontrolního součtu ICMP paketů je teď omezeno, kolik je jich možné maximálně přijmout za časovou jednotku.

  CVE-ID

  CVE-2011-2391 : Marc Heuse

• Jádro

  Dopad: Škodlivá místní aplikace mohla způsobit zamrznutí systému.

  Popis: Útočník mohl v rozhraní jádrových soketů využít problém se zkracováním celých čísel a dostat procesor do nekonečné smyčky. Problém byl vyřešen použitím delší proměnné.

  CVE-ID

  CVE-2013-5141 : CESG

• Správa rozšíření jádra (kext)

  Dopad: Neoprávněný proces mohl zakázat některá načtená rozšíření jádra.

  Popis: Při zpracovávání zpráv IPC od neoprávněných odesílatelů docházelo k problému se zpracováním správou rozšíření jádra. Problém byl vyřešen přidáním dodatečných kontrol oprávnění.

  CVE-ID

  CVE-2013-5145 : „Rainbow PRISM“

• LaunchServices

  Dopad: Soubor mohl zobrazovat špatnou příponu.

  Popis: Při zpracovávání určitých znaků Unicode docházelo k problému, který umožňoval, aby se v názvech souborů zobrazovaly nesprávné přípony. Problém byl vyřešen odfiltrováním nebezpečných znaků z názvů souborů.

  CVE-ID

  CVE-2013-5178: Jesse Ruderman ze společnosti Mozilla Corporation, Stephane Sudre ze společnosti Intego

• Libc

  Dopad: Za neobvyklých okolností mohou být předvídatelná některá náhodná čísla.

  Popis: Pokud nebyl generátor náhodných čísel jádra přístupný pro funkci srandomdev(), vrátila se tato funkce k alternativní metodě odstraněné optimalizací, což vedlo k nedostatečné nahodilosti. Problém byl vyřešen úpravou správného kódu v rámci optimalizace.

  CVE-ID

  CVE-2013-5180: Xi Wang

• Poštovní účty

  Dopad: Mail si nemohl vybrat nejbezpečnější dostupnou metodu ověřování.

  Popis: Při automatické konfiguraci poštovního účtu na určitých poštovních serverech si aplikace Mail vybrala místo ověřování CRAM-MD5 ověřování pomocí prostého textu. Problém byl vyřešen vylepšeným zpracováním logiky.

  CVE-ID

  CVE-2013-5181

• Zobrazení hlavičky zprávy

  Dopad: Nepodepsaná zpráva se může zobrazovat jako platně podepsaná.

  Popis: Při zpracování nepodepsaných zpráv, které však obsahovaly vícedílnou/podepsanou část, docházelo k logické chybě. Problém byl vyřešen vylepšeným zpracováním nepodepsaných zpráv.

  CVE-ID

  CVE-2013-5182: Michael Roitzsch z týmu Technische Universität Dresden

• Práce Mailu v síti

  Dopad: Pokud je nakonfigurováno šifrování jiné než TLS, mohly být informace stručně převedeny do formátu prostého textu.

  Popis: Pokud bylo povoleno ověřování Kerberos a zakázáno ověřování TLS (Transport Layer Security), Mail odesílal poštovnímu serveru nešifrovaná data, což vedlo k neočekávanému ukončení připojení. Problém byl vyřešen vylepšeným zpracováním této konfigurace.

  CVE-ID

  CVE-2013-5183: Richard E. Silverman z www.qoxp.net

• OpenLDAP

  Dopad: Nástroj příkazového řádku ldapsearch nepoužíval konfiguraci minssf.

  Popis: Nástroj příkazového řádku ldapsearch nepoužíval konfiguraci minssf, což mohlo vést k neočekávanému povolení nedostatečného šifrování. Problém byl vyřešen vylepšeným zpracováním konfigurace minssf.

  CVE-ID

  CVE-2013-5185

• Perl

  Dopad: Skripty jazyka Perl mohly být náchylné k odmítnutí služby.

  Popis: Mechanismus rehash v zastaralých verzích jazyka Perl mohl být ve skriptech, které používají nedůvěryhodný vstup jako klíče hash, náchylný k odmítnutí služby. Problém byl vyřešen aktualizací na verzi Perl 5.16.2.

  CVE-ID

  CVE-2013-1667

• Řízení spotřeby

  Dopad: Zámek obrazovky se někdy po uplynutí zadané doby neaktivoval.

  Popis: V řízení spotřeby existoval problém se zámkem. Problém byl vyřešen lepší správou zámku.

  CVE-ID

  CVE-2013-5186: David Herman ze společnosti Sensible DB Design

• Python

  Dopad: Několik možností ohrožení v jazyce Python 2.7

  Popis: V Pythonu 2.7.2 existovalo několik možností ohrožení, nejvážnější z nich mohlo vést k dešifrování obsahu připojení SSL. Tato aktualizace řeší problémy prostřednictvím aktualizace Pythonu na verzi 2.7.5. Další informace jsou k dispozici na webu jazyka Python na adrese http://www.python.org/download/releases/.

  CVE-ID

  CVE-2011-3389

  CVE-2011-4944

  CVE-2012-0845

  CVE-2012-0876

  CVE-2012-1150

• Python

  Dopad: Několik možností ohrožení v jazyce Python 2.6

  Popis: V Pythonu 2.6.7 existovalo několik možností ohrožení, nejvážnější z nich mohlo vést k dešifrování obsahu připojení SSL. Tato aktualizace řeší problémy prostřednictvím aktualizace jazyka Python na verzi 2.6.8 a použitím patche pro CVE-2011-4944 z projektu Pythonu. Další informace jsou k dispozici na webu jazyka Python na adrese http://www.python.org/download/releases/.

  CVE-ID

  CVE-2011-3389

  CVE-2011-4944

  CVE-2012-0845

  CVE-2012-0876

  CVE-2012-1150

• Ruby

  Dopad: Útočník s vysokými oprávněními v síti může zachytit přihlašovací údaje nebo jiné citlivé informace.

  Popis: Ve zpracovávání certifikátů SSL v Ruby existoval problém s ověřováním názvů hostitele. Problém byl vyřešen aktualizací Ruby na verzi 2.0.0p247.

  CVE-ID

  CVE-2013-4073

• Zabezpečení

  Dopad: Podpora certifikátů X.509 s algoritmy hash MD5 mohla u zdokonalených útoků vystavit uživatele falšování a úniku informací.

  Popis: OS X akceptoval certifikáty podepsané pomocí algoritmu hash MD5. Tento algoritmus má známé kryptografické slabiny. Další postup nebo špatně nakonfigurovaná certifikační autorita mohly povolit vytvoření certifikátů X.509 s hodnotami ovládanými útočníkem, kterým by systém důvěřoval. Protokoly založené na X.509 by byly vystaveny falšování, útokům typu „man in the middle“ a úniku informací. Tato aktualizace zakazuje podporu certifikátu X.509 s algoritmem MD5. Tento certifikát lze použít pouze jako důvěryhodný kořenový certifikát.

  CVE-ID

  CVE-2011-3427

• Zabezpečení – autorizace

  Dopad: Předvolby zabezpečení správce nebyly vždy respektovány.

  Popis: Nastavení „Při přístupu k systémovým předvolbám s ikonami zámku požadovat heslo správce“ umožňuje správcům přidat další vrstvu ochrany pro citlivá systémová nastavení. V některých případech, kdy správce toto nastavení povolil, došlo použitím aktualizace nebo upgradu softwaru k následnému zakázání tohoto nastavení. Problém byl vyřešen vylepšeným zpracováním autorizačních práv.

  CVE-ID

  CVE-2013-5189: Greg Onufer

• Zabezpečení – služby čipových karet

  Dopad: Při povolení kontroly odvolání certifikátů mohly být služby čipových karet nedostupné.

  Popis: Při zpracovávání kontrol odvolání certifikátů čipových karet v OS X docházelo k logickým chybám. Problém byl vyřešen vylepšenou podporou odvolávání certifikátů.

  CVE-ID

  CVE-2013-5190: Yongjun Jeon ze společnosti Centrify Corporation

• Zámek obrazovky

  Dopad: Příkaz „Uzamknout obrazovku“ nenabyl platnosti okamžitě.

  Popis: Příkaz „Uzamknout obrazovku“ na řádku nabídek stavu svazku klíčů začal platit až po uplynutí nastavení „Požadovat heslo [časové období] po spánku nebo spuštění spořiče obrazovky“.

  CVE-ID

  CVE-2013-5187: Michael Kisor z OrganicOrb.com, Christian Knappskog z týmu NTNU (Norwegian University of Science and Technology), Stefan Grönke (CCC Trier), Patrick Reed

• Zámek obrazovky

  Dopad: Hibernovaný Mac s automatickým přihlášením nemusel vyžadovat heslo k probuzení.

  Popis: Mac s hibernací a povoleným automatickým přihlášením mohl umožnit probuzení ze stavu hibernace bez výzvy k zadání hesla. Problém byl vyřešen lepší správou zámku.

  CVE-ID

  CVE-2013-5188: Levi Musters

• Server sdílení obrazovky

  Dopad: Vzdálenému útočníkovi se může podařit spustit libovolný kód.

  Popis: Zpracování uživatelských jmen VNC serverem sdílení obrazovky obsahovalo chybu zabezpečení formátovacího řetězce.

  CVE-ID

  CVE-2013-5135: SilentSignal spolupracující s iDefense VCP

• Syslog

  Dopad: Host mohl vidět zprávy protokolu předchozích hostů.

  Popis: Host mohl vidět protokol konzoly, který obsahoval zprávy relací předchozích hostů. Problém byl vyřešen tak, že protokol konzoly hostů nyní mohou zobrazit pouze správci.

  CVE-ID

  CVE-2013-5191: Sven-S. Porst ze společnosti earthlingsoft

• USB

  Dopad: Škodlivá místní aplikace mohla způsobit neočekávané ukončení systému.

  Popis: Řadič USB rozbočovače nekontroloval port ani číslo portu požadavků. Problém byl vyřešen přidáním kontrol portu a čísla portu.

  CVE-ID

  CVE-2013-5192: Stefano Bianchi Mazzone, Mattia Pagnozzi a Aristide Fattori z Computer and Network Security Lab (LaSER), Università degli Studi di Milano

Poznámka: OS X Mavericks obsahuje Safari 7.0, které zahrnuje bezpečnostní obsah Safari 6.1. Další podrobnosti najdete v článku „O bezpečnostním obsahu Safari 6.1“ na adrese http://support.apple.com/kb/HT6000?viewlocale=cs_CZ.