Informace o bezpečnostním obsahu OS X Mountain Lionu 10.8.3 a bezpečnostní aktualizace 2013-001
Tento dokument popisuje bezpečnostní obsah OS X Mountain Lionu 10.8.3 a bezpečnostní aktualizaci 2013-001.
OS X Mountain Lion 10.8.3 a bezpečnostní aktualizaci 2013-001 si můžete stáhnout a nainstalovat na panelu předvoleb Aktualizace softwaru nebo z webu Apple se soubory ke stažení.
Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici potřebné opravy nebo aktualizace. Podrobnější informace o zabezpečení produktů Apple najdete na webové stránce Zabezpečení produktů Apple.
Informace o klíči PGP zabezpečení produktů Apple najdete v článku Jak používat klíč PGP zabezpečení produktů Apple.
Pokud je to možné, jako odkazy na další informace o bezpečnostních chybách se používají identifikátory CVE ID.
Informace o dalších bezpečnostních aktualizacích najdete v článku Bezpečnostní aktualizace Apple.
Poznámka: OS X Mountain Lion 10.8.3 zahrnuje Safari 6.0.3. Další podrobnosti najdete v článku Informace o bezpečnostním obsahu Safari 6.0.3.
OS X Mountain Lion 10.8.3 a bezpečnostní aktualizace 2013-001
Apache
K dispozici pro: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.2
Dopad: Útočníkovi se může podařit získat přístup k adresářům chráněným ověřováním HTTP bez znalosti správných přihlašovacích údajů.
Popis: Ve zpracování identifikátorů URI s ignorovatelnými sekvencemi znaků Unicode existoval problém s normalizací. Problém byl vyřešen aktualizací komponenty mod_hfs_apple, aby byl zakázán přístup k identifikátorům URI s ignorovatelnými sekvencemi znaků Unicode.
CVE-ID
CVE-2013-0966 : Clint Ruoho, Laconic Security
CoreTypes
K dispozici pro: OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.2
Dopad: Při návštěvě nebezpečně vytvořeného webu by se mohla automaticky spustit aplikace Java Web Start, i když je plug-in Java deaktivovaný.
Popis: Aplikace Java Web Start by se spustila, i když je plug-in Java deaktivovaný. Problém byl vyřešen odstraněním souborů JNLP ze seznamu bezpečných typů souborů CoreTypes. Aplikace Web Start se tedy nespustí, pokud ji uživatel sám neotevře ve složce Stahování.
CVE-ID
CVE-2013-0967
Mezinárodní komponenty pro Unicode
K dispozici pro: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.2
Dopad: Návštěva škodlivého webu může vést ke skriptovému útoku napříč weby.
Popis: Ve zpracování kódování EUC-JP existoval problém s kanonikalizací, který by mohl vést ke skriptovému útoku napříč weby v kódování EUC-JP. Problém byl vyřešen aktualizací mapovací tabulky kódování EUC-JP.
CVE-ID
CVE-2011-3058 : Masato Kinugawa
Identity Services
K dispozici pro: OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.2
Dopad: Ověřování totožnosti Apple ID pomocí certifikátu se v některých případech dá obejít.
Popis: Ve součásti Identity Services existoval problém se zpracováváním chyb. V případech, kdy se nepodařilo ověřit platnost certifikátu uživatelova Apple ID, bylo automaticky předpokládáno, že uživatelovo Apple ID je prázdný řetězec. Pokud se do tohoto stavu dostane více systémů náležících jiným uživatelům, aplikace používající tento způsob ověřování identity mohou nesprávně povolit přístup. Problém byl vyřešen tak, že nově je místo prázdného řetězce vracena hodnota NULL.
CVE-ID
CVE-2013-0963
ImageIO
K dispozici pro: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.2
Dopad: Zobrazení škodlivého TIFF souboru může vést k nečekanému ukončení aplikace nebo ke spuštění libovolného kódu.
Popis: V knihovně libtiff docházelo při zpracovávání obrázků TIFF k přetečení vyrovnávací paměti. Problém byl vyřešen vylepšením ověřování obrázků TIFF.
CVE-ID
CVE-2012-2088
IOAcceleratorFamily
K dispozici pro: OS X Mountain Lion 10.8 až 10.8.2
Dopad: Zobrazení nebezpečně vytvořeného obrázku může vést k nečekanému ukončení systému nebo ke svévolnému spuštění kódu.
Popis: Ve zpracování grafických dat existoval problém s možným poškozením paměti. Problém byl vyřešen vylepšením kontroly rozsahu.
CVE-ID
CVE-2013-0976 : Anonymní výzkumník
Jádro
K dispozici pro: OS X Mountain Lion 10.8 až 10.8.2
Dopad: Nebezpečně vytvořené nebo narušené aplikace mohou zjistit adresy v jádru.
Popis: Při zpracování rozhraní API vztahujících se k rozšířením jádra se vyskytl problém s možným únikem informací. Odezvy obsahující klíč OSBundleMachOHeaders mohly zahrnovat adresy jádra, které mohou pomoci při pokusu o obejití ochrany náhodného generování rozložení adresního prostoru. Problém byl vyřešen zrušením posunu adres před jejich vrácením.
CVE-ID
CVE-2012-3749 : Mark Dowd ze společnosti Azimuth, Eric Monti ze společnosti Square a další anonymní výzkumníci
Přihlašovací okno
K dispozici pro: OS X Mountain Lion 10.8 až 10.8.2
Dopad: Útočník s přístupem ke klávesnici může pozměnit konfiguraci systému.
Popis: Ve zpracování přihlašovacího okna funkcí VoiceOver existovala logická chyba, která mohla umožnit útočníkovi s přístupem ke klávesnici spuštění Předvoleb systému a úpravu konfigurace systému. Problém byl vyřešen zablokováním spouštění aplikací z přihlašovacího okna pomocí VoiceOveru.
CVE-ID
CVE-2013-0969 : Eric A. Schulman z Purpletree Labs
Zprávy
K dispozici pro: OS X Mountain Lion 10.8 až 10.8.2
Dopad: Kliknutím na odkaz ve Zprávách se může bez jakékoli výzvy zahájit hovor FaceTime.
Popis: Kliknutí na specificky formátovanou adresu FaceTime:// ve Zprávách může obejít standardní žádost o potvrzení. Problém byl vyřešen vylepšením ověřování adres FaceTime://.
CVE-ID
CVE-2013-0970 : Aaron Sigel z týmu vtty.com
Messages Server
K dispozici pro: Mac OS X Server 10.6.8, OS X Lion Server 10.7 až 10.7.5
Dopad: Vzdálený útočník může přesměrovat federované zprávy Jabberu.
Popis: Existoval problém ve způsobu, jakým server Jabberu vyřizoval zprávy s výsledky zpětného volání. Útočník mohl přimět server Jabberu k odhalení informací určených pro uživatele federovaných serverů. Problém byl vyřešen vylepšením zpracování zpráv s výsledky zpětného volání.
CVE-ID
CVE-2012-3525
PDFKit
K dispozici pro: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.2
Dopad: Zobrazení škodlivého PDF souboru mohlo vést k nečekanému ukončení aplikace nebo ke svévolnému spuštění kódu.
Popis: Ve zpracování tzv. inkoustových poznámek v souborech PDF existoval problém v použití po uvolnění. Tento problém byl vyřešen vylepšením správy paměti.
CVE-ID
CVE-2013-0971 : Tobias Klein ve spolupráci se Zero Day Initiative společnosti HP TippingPoint
Podcast Producer Server
K dispozici pro: Mac OS X Server 10.6.8, OS X Lion Server 10.7 až 10.7.5
Dopad: Vzdálenému útočníkovi se může podařit spustit libovolný kód.
Popis: Ve zpracování parametrů XML frameworkem Ruby on Rails existoval problém s vysíláním typu. Tento problém byl ošetřen zablokováním parametrů XML v implementaci Rails, kterou používá Podcast Producer Server.
CVE-ID
CVE-2013-0156
Podcast Producer Server
K dispozici pro: OS X Lion Server 10.7 až 10.7.5
Dopad: Vzdálenému útočníkovi se může podařit spustit libovolný kód.
Popis: Ve zpracování dat JSON frameworkem Ruby on Rails existoval problém s vysíláním typu. Tento problém byl ošetřen přechodem na backend JSONGem pro analýzu JSON v implementaci Rails, kterou používá Podcast Producer Server.
CVE-ID
CVE-2013-0333
PostgreSQL
K dispozici pro: Mac OS X Server 10.6.8, OS X Lion Server 10.7 až 10.7.5
Dopad: Několik bezpečnostních chyb v PostgreSQL.
Popis: PostgreSQL byl aktualizován na verzi 9.1.5, která řeší několik bezpečnostních chyb, z nichž nejvážnější mohla umožnit uživatelům databáze číst soubory ze souborového systému s oprávněními účtu v roli databázového serveru. Další informace jsou k dispozici na webu databázového systému PostgreSQL na stránce http://www.postgresql.org/docs/9.1/static/release-9-1-5.html
CVE-ID
CVE-2012-3488
CVE-2012-3489
Profile Manager
K dispozici pro: OS X Lion Server 10.7 až 10.7.5
Dopad: Vzdálenému útočníkovi se může podařit spustit libovolný kód.
Popis: Ve zpracování parametrů XML frameworkem Ruby on Rails existoval problém s vysíláním typu. Tento problém byl ošetřen zablokováním parametrů XML v implementaci Rails, kterou používá Profile Manager.
CVE-ID
CVE-2013-0156
QuickTime
K dispozici pro: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.2
Dopad: Zobrazení škodlivého videosouboru může vést k nečekanému ukončení aplikace nebo ke svévolnému spuštění kódu.
Popis: Ve zpracování boxů 'rnet' v souborech MP4 docházelo k přetečení zásobníku. Problém byl vyřešen vylepšením kontroly rozsahu.
CVE-ID
CVE-2012-3756 : Kevin Szkudlapski z QuarksLab
Ruby
K dispozici pro: Mac OS X Server 10.6.8
Dopad: Vzdálenému útočníkovi se může podařit způsobit svévolné spuštění kódu, pokud běží aplikace Rails.
Popis: Ve zpracování parametrů XML frameworkem Ruby on Rails existoval problém s vysíláním typu. Tento problém byl vyřešen deaktivací YAML a symbolů v XML parametrech ve frameworku Rails.
CVE-ID
CVE-2013-0156
Zabezpečení
K dispozici pro: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.2
Dopad: Útočník s výsadním oprávněním v síti může zachytit přihlašovací údaje nebo jiné citlivé informace.
Popis: Certifikační agentura TürkTrust nesprávně vydala několik zprostředkujících certifikátů. S jejich pomocí může útočník typu „man in the middle“ přesměrovávat připojení a zachycovat přihlašovací údaje či jiné citlivé informace. Problém byl vyřešen blokováním nesprávných SSL certifikátů.
Aktualizace softwaru
K dispozici pro: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5
Dopad: Útočníkovi s privilegovanou pozicí v síti se může podařit způsobit svévolné spuštění kódu.
Popis: Útočníkovi, který jednal jako prostředník v síti, umožňovala Aktualizace softwaru vložit obsah plug-inu do marketingového textu zobrazovaného pro aktualizace. To mohlo umožnit zneužití oslabeného plug-inu nebo uskutečnění sociálně manipulativních útoků zneužívajících plug-iny. Tento problém se netýká OS X Mountain Lionu. Tento problém byl ošetřen zabráněním načítání plug-inů modulem WebView pro marketingové texty v Aktualizaci softwaru.
CVE-ID
CVE-2013-0973 : Emilio Escobar
Wiki Server
K dispozici pro: OS X Lion Server 10.7 až 10.7.5
Dopad: Vzdálenému útočníkovi se může podařit spustit libovolný kód.
Popis: Ve zpracování parametrů XML frameworkem Ruby on Rails existoval problém s vysíláním typu. Tento problém byl ošetřen zablokováním parametrů XML v implementaci Rails, kterou používá Wiki Server.
CVE-ID
CVE-2013-0156
Wiki Server
K dispozici pro: OS X Lion Server 10.7 až 10.7.5
Dopad: Vzdálenému útočníkovi se může podařit spustit libovolný kód.
Popis: Ve zpracování dat JSON frameworkem Ruby on Rails existoval problém s vysíláním typu. Tento problém byl ošetřen přechodem na backend JSONGem pro analýzu JSON v implementaci Rails, kterou používá Wiki Server.
CVE-ID
CVE-2013-0333
Odstranění malwaru
K dispozici pro: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.2
Popis: Tato aktualizace spustí nástroj pro odstranění malwaru, který odstraní většinu běžných variant malwaru. Pokud je nalezen malware, zobrazí se dialogové okno s oznámením o odstranění malwaru. Není-li žádný malware nalezen, není to uživateli signalizováno.
FaceTime není k dispozici ve všech zemích a regionech.
Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. Další informace vám poskytne příslušný výrobce.