O bezpečnostní aktualizaci 2006-003

Tento dokument popisuje bezpečnostní aktualizaci 2006-003, kterou jde stáhnout a nainstalovat pomocí předvoleb Aktualizace softwaru nebo z webu Apple se soubory ke stažení.

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici potřebné opravy nebo aktualizace. Podrobnější informace o zabezpečení produktů Apple najdete na webové stránce Zabezpečení produktů Apple.

Informace o klíči PGP zabezpečení produktů Apple najdete v článku Jak používat klíč PGP zabezpečení produktů Apple.

Pokud je to možné, jako odkazy na další informace o bezpečnostních chybách se používají identifikátory CVE ID.

Informace o dalších bezpečnostních aktualizacích najdete v článku Bezpečnostní aktualizace Apple.

Bezpečnostní aktualizace 2006-003

• AppKit

  CVE-ID: CVE-2006-1439

  K dispozici pro: Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Znaky zadané do zabezpečeného textového pole lze číst jinými aplikacemi ve stejné relaci okna.

  Popis: Za určitých okolností může při přepínání mezi textovými vstupními poli NSSecureTextField dojít k selhání při opětovném zapnutí zabezpečeného zadávání událostí. To může umožnit dalším aplikacím ve stejné relaci okna zobrazit některé zadávané znaky a akce na klávesnici. Tato aktualizace řeší tento problém tím, že zajišťuje správné zapnutí zabezpečeného zadávání událostí. Tento problém nemá vliv na systémy starší než Mac OS X 10.4.

• AppKit, ImageIO

  CVE-ID: CVE-2006-1982, CVE-2006-1983, CVE-2006-1984

  K dispozici pro: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Zobrazení škodlivého obrázku GIF nebo TIFF může vést ke spuštění libovolného kódu.

  Popis: Zpracování škodlivého obrázku GIF nebo TIFF může vést ke spuštění libovolného kódu při analýze škodlivého obrázku. To se týká aplikací, které ke čtení obrázků používají framework ImageIO (Mac OS X v10.4 Tiger) nebo AppKit (Mac OS X v10.3 Panther). Tato aktualizace řeší problém dalším ověřováním obrázků GIF a TIFF.

• BOM

  CVE-ID: CVE-2006-1985

  K dispozici pro: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Rozbalení archivu může vést ke spuštění libovolného kódu.

  Popis: Propracovaným vytvořením archivu (například archivu Zip) obsahujícího dlouhé názvy cest může útočník vyvolat haldové přetečení vyrovnávací paměti v paměti BOM. To může vést ke spuštění libovolného kódu. Paměť BOM se používá ke zpracování archivů ve Finderu a dalších aplikacích. Tato aktualizace řeší tento problém správným zpracováním za mezních podmínek.

• BOM

  CVE-ID: CVE-2006-1440

  K dispozici pro: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Rozbalení škodlivého archivu může způsobit vytvoření nebo přepsání libovolných souborů.

  Popis: Problém při zpracování symbolických odkazů v rámci procházení adresářů, které se vyskytují v archivech, může způsobit, že paměť BOM vytvoří nebo přepíše soubory na libovolných místech přístupných uživateli, který archiv rozbaluje. BOM zpracovává archivy pro Finder a další aplikace. Tato aktualizace řeší tento problém tím, že zajišťuje, aby soubory rozbalené z archivu nebyly umístěny mimo cílový adresář.

• CFNetwork

  CVE-ID: CVE-2006-1441

  K dispozici pro: Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Návštěva škodlivých webů může vést ke spuštění libovolného kódu.

  Popis: Přetečení celých čísel při kódování blokového přenosu může vést ke spuštění libovolného kódu. Framework CFNetwork využívá Safari a další aplikace. Aktualizace tento problém řeší provedením dodatečného ověření. Tento problém nemá vliv na systémy starší než Mac OS X 10.4.

• ClamAV

  CVE-ID: CVE-2006-1614, CVE-2006-1615, CVE-2006-1630

  K dispozici pro: Mac OS X Server v10.4.6

  Dopad: Zpracování škodlivých zpráv pomocí softwaru ClamAV může vést ke spuštění libovolného kódu.

  Popis: Antivirový program ClamAV byl v nejnovější verzi aktualizován a obsahuje bezpečnostní opravy. Program ClamAV byl uveden do systému Mac OS X Server v10.4 a slouží ke skenování e-mailů. Nejzávažnější z těchto problémů může vést ke spuštění libovolného kódu s oprávněními programu ClamAV. Další informace naleznete na webu projektu http://www.clamav.net.

• CoreFoundation

  CVE-ID: CVE-2006-1442

  K dispozici pro: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Registrace nedůvěryhodného balíčku může vést ke spuštění libovolného kódu.

  Popis: Za určitých okolností jsou balíčky implicitně registrovány aplikacemi nebo systémem. Funkce rozhraní API pro balíčky umožňuje načítání a spouštění dynamických knihoven při registraci balíčku, i když o to klientská aplikace výslovně nepožádá. V důsledku toho může být z nedůvěryhodného balíčku spuštěn libovolný kód bez přímé interakce s uživatelem. Tato aktualizace řeší tento problém tím, že načítá a spouští knihovny z balíčku pouze ve správnou dobu.

• CoreFoundation

  CVE-ID: CVE-2006-1443

  K dispozici pro: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Konverze řetězců na reprezentaci v souborovém systému může vést ke spuštění libovolného kódu.

  Popis: Podtečení celého čísla může při zpracování mezní podmínky pomocí funkce CFStringGetFileSystemRepresentation vést ke spuštění libovolného kódu. Aplikace, které používají toto rozhraní API nebo některé ze souvisejících rozhraní API, například getFileSystemRepresentation:maxLength:withPath: nástroje NSFileManager, mohou tento problém vyvolat a vést ke spuštění libovolného kódu. Tato aktualizace řeší tento problém správným zpracováním za mezních podmínek.

• CoreGraphics

  CVE-ID: CVE-2006-1444

  K dispozici pro: Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Znaky zadané do zabezpečeného textového pole lze číst jinými aplikacemi ve stejné relaci okna.

  Popis: Služba Quartz Event Services umožňuje aplikacím sledovat a měnit vstupní události uživatele na nízké úrovni. Za normálních okolností aplikace nemohou zachytávat události, když je zapnutý zabezpečený vstup událostí. Pokud je však zapnuta volba „Povolit přístup pro asistenční zařízení“, lze službu Quartz Event Services použít k zachytávání událostí i v případě, že je zapnutý zabezpečený vstup událostí. Tato aktualizace řeší tento problém tím, že zajišťuje filtrování událostí, když je zapnutí zabezpečený vstup událostí. Tento problém se netýká systémů starších než Mac OS X 10.5. Poděkování za nahlášení zaslouží Damien Bobillot.

• Finder

  CVE-ID: CVE-2006-1448

  K dispozici pro: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Spuštění položky internetové adresy může vést ke spuštění libovolného kódu.

  Popis: Položky internetových adres jsou jednoduché kontejnery adres URL, které mohou odkazovat na adresy URL http://, ftp://, file:// a několik dalších schémat adres URL. Tyto různé typy položek internetových adres jsou vizuálně odlišné a mají být bezpečné pro přímé spuštění. Schéma adresy URL se však může lišit od typu internetové adresy. V důsledku toho může být útočník schopen přesvědčit uživatele, aby spustil údajně neškodnou položku (například internetovou adresu, http://), přičemž ve skutečnosti se použije jiné schéma adresy URL. Za určitých okolností to může vést ke spuštění libovolného kódu. Tato aktualizace řeší problémy omezením použití schématu adres URL na základě internetové adresy.

• FTPServer

  CVE-ID: CVE-2006-1445

  K dispozici pro: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Operace FTP prováděné ověřenými uživateli FTP mohou vést ke spuštění libovolného kódu.

  Popis: Několik problémů při zpracování názvů cest serveru FTP může vést k přetečení vyrovnávací paměti. Škodlivý ověřený uživatel může být schopen zapříčinit toto přetečení, které může vést ke spuštění libovolného kódu s oprávněními serveru FTP. Tato aktualizace řeší tento problém správným zpracováním za mezních podmínek.

• Flash Player

  CVE-ID: CVE-2005-2628, CVE-2006-0024

  K dispozici pro: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Přehrávání obsahu v přehrávači Flash může vést ke spuštění libovolného kódu.

  Popis: Adobe Flash Player obsahuje kritické bezpečnostní slabiny, které můžou vést ke spuštění libovolného kódu při načtení speciálně vytvořených souborů. Další informace jsou k dispozici na webu společnosti Adobe zde: http://www.adobe.com/devnet/security/security_zone/apsb06-03.html. Tato aktualizace řeší problém aktualizací Adobe Flash Playeru na verzi 8.0.24.0.

• ImageIO

  CVE-ID: CVE-2006-1552

  K dispozici pro: Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Zobrazení škodlivého obrázku JPEG může vést ke spuštění libovolného kódu.

  Popis: Přetečení celého čísla při zpracování metadat v souboru JPEG může vyvolat haldové přetečení vyrovnávací paměti. Propracovaným vytvořením obrázku se škodlivými metadaty JPEG může útočník při prohlížení obrázku způsobit spuštění libovolného kódu. Aktualizace tento problém řeší provedením dodatečného ověření obrázků. Tento problém se netýká systémů starších než Mac OS X v10.4. Poděkování za nahlášení problému zaslouží Brent Simmons ze společnosti NewsGator Technologies, Inc.

• Keychain

  CVE-ID: CVE-2006-1446

  K dispozici pro: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Aplikace může být schopna používat položky klíčenky, i když je klíčenka uzamčena.

  Popis: Pokud je klíčenka uzamčena, není možné, aby aplikace přistupovaly k položkám v ní obsaženým bez předchozí žádosti o odemčení klíčenky. Aplikace, která získala odkaz na položku klíčenky před uzamčením klíčenky, však může za určitých okolností pokračovat v používání této položky klíčenky bez ohledu na to, zda je klíčenka uzamčena nebo odemčena. Tato aktualizace řeší tento problém tím, že klíčenka odmítá požadavky na používání položek, pokud je klíčenka uzamčena. Poděkování za nahlášení problému zaslouží Tobias Hahn z Humboldtovy univerzity v Berlíně.

• LaunchServices

  CVE-ID: CVE-2006-1447

  K dispozici pro: Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Zobrazení škodlivého webu může vést ke spuštění libovolného kódu.

  Popis:Dlouhé přípony názvů souborů mohou zamezit funkci ověření stahování správně určit aplikaci, ve které lze položku otevřít. Útočník tak může obejít funkci ověření stahování a způsobit, že Safari automaticky otevře nebezpečný obsah, pokud je povolena možnost „Otevřít bezpečné soubory po stažení“ a nejsou nainstalovány určité aplikace. Tato aktualizace řeší tento problém pomocí vylepšené kontroly přípony názvu souboru. Tento problém nemá vliv na systémy starší než Mac OS X 10.4.

• libcurl

  CVE-ID: CVE-2005-4077

  K dispozici pro: Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Zpracování adresy URL může vést ke spuštění libovolného kódu.

  Popis: V open source knihovně HTTP libcurl dochází při zpracování adres URL k přetečení vyrovnávací paměti. Aplikace používající knihovnu curl pro zpracování adres URL mohou tento problém vyvolat, což může vést ke spuštění libovolného kódu. Aktualizace tento problém řeší aktualizací knihovny na verzi 7.15.1. Tento problém nemá vliv na systémy před Mac OS X v10.4.

• Mail

  CVE-ID: CVE-2006-1449

  K dispozici pro: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad Zobrazení škodlivé e-mailové zprávy může vést ke spuštění libovolného kódu.

  Popis: Útočník může speciálně vytvořenými e-mailovými zprávami se zapouzdřenými přílohami MacMIME vyvolat přetečení celého čísla. To může vést ke spuštění libovolného kódu s oprávněními uživatele, který spustil aplikaci Mail. Tato aktualizace řeší problém dalším ověřováním zpráv

• Mail

  CVE-ID: CVE-2006-1450

  K dispozici pro: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Zobrazení škodlivé e-mailové zprávy může vést ke spuštění libovolného kódu.

  Popis: Zpracování neplatných informací o barvě v e-mailových zprávách s textem ve formátu RTF může způsobit přidělení a inicializaci libovolných tříd. To může vést ke spuštění libovolného kódu s oprávněními uživatele, který spustil aplikaci Mail. Tato aktualizace řeší tento problém správným zpracováním škodlivých dat textu ve formátu RTF.

• MySQL Manager

  CVE-ID: CVE-2006-1451

  K dispozici pro: Mac OS X Server v10.4.6

  Dopad: K databázi MySQL lze přistupovat s prázdným heslem.

  Popis: Při počátečním nastavení databázového serveru MySQL pomocí nástroje MySQL Manager může být zadáno nové heslo uživatele root MySQL. Toto heslo se však ve skutečnosti neuloží. V důsledku toho zůstane heslo uživatele root MySQL prázdné. Lokální uživatel pak může získat přístup k databázi MySQL se všemi oprávněními. Tato aktualizace řeší tento problém tím, že zajišťuje uložení zadaného hesla. Tento problém se netýká systémů starších než Mac OS X v10.4. Poděkování za nahlášení problému zaslouží Ben Low z University of New South Wales.

• Preview

  CVE-ID: CVE-2006-1452

  K dispozici pro: Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Procházení škodlivě vytvořené hierarchie adresářů může vést ke spuštění libovolného kódu.

  Popis: Při procházení velmi hlubokých hierarchií adresářů v Náhledu může dojít k přetečení vyrovnávací paměti. Propracovaným vytvořením takové hierarchie adresářů může útočník způsobit spuštění libovolného kódu, pokud jsou adresáře otevřeny v Náhledu. Tento problém nemá vliv na systémy starší než Mac OS X 10.4.

• QuickDraw

  CVE-ID: CVE-2006-1453, CVE-2006-1454

  K dispozici pro: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Zobrazení škodlivého obrázku PICT může vést ke spuštění libovolného kódu.

  Popis: Při zpracování obrázků PICT v aplikaci QuickDraw vyskytují dva problémy. Chybně formátované informace o písmu můžou způsobit přetečení vyrovnávací paměti a chybně formátovaná obrazová data můžou způsobit haldové přetečení vyrovnávací paměti. Propracovaným vytvořením obrázku PICT může útočník při zobrazení obrázku způsobit spuštění libovolného kódu. Tato aktualizace řeší problém dalším ověřováním obrázků PICT. Poděkování za nahlášení tohoto problému si zaslouží Mike Price z McAfee AVERT Labs.

• QuickTime Streaming Server

  CVE-ID: CVE-2006-1455

  K dispozici pro: Mac OS X Server v10.3.9, Mac OS X Server v10.4.6

  Dopad: Chybně formátovaný film QuickTime může způsobit ukončení QuickTime Streaming Serveru.

  Popis: Film QuickTime s chybějící stopou může způsobit přístup přes nulový ukazatel, což způsobí pád procesu serveru. To způsobí přerušení aktivních klientských připojení. Server se však automaticky restartuje. Tato aktualizace řeší tento problém tím, že při výskytu chybně formátovaných filmů zobrazí chybu.

• QuickTime Streaming Server

  CVE-ID: CVE-2006-1456

  K dispozici pro: Mac OS X Server v10.3.9, Mac OS X Server v10.4.6

  Dopad: Škodlivé požadavky RTSP mohou vést k pádu nebo spuštění libovolného kódu.

  Popis: Propracovaným vytvořením požadavku RTSP může útočník vyvolat přetečení vyrovnávací paměti při protokolování zpráv. To může vést ke spuštění libovolného kódu s oprávněními QuickTime Streaming Serveru. Tato aktualizace řeší tento problém správným zpracováním za mezních podmínek. Poděkování za nahlášení problému zaslouží výzkumný tým Mu Security.

• Ruby

  CVE-ID: CVE-2005-2337

  K dispozici pro: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Omezení bezpečné úrovně programovacího jazyka lze obejít.

  Popis: Programovací jazyk Ruby obsahuje mechanismus zvaný „bezpečné úrovně“, který se používá k omezení určitých operací. Tento mechanismus se nejčastěji používá při spouštění privilegovaných aplikací Ruby nebo síťových aplikací Ruby. Za určitých okolností může útočník omezení v těchto aplikacích obejít. Aplikací, pro které se bezpečné úrovně nepoužívají, se tento problém netýká. Tato aktualizace řeší tento problém tím, že zajišťuje, že bezpečné úrovně nelze obejít.

• Safari

  CVE-ID: CVE-2006-1457

  K dispozici pro: Mac OS X v10.4.6, Mac OS X Server v10.4.6

  Dopad: Návštěva škodlivých webů může vést k manipulaci se soubory nebo ke spuštění libovolného kódu.

  Popis: Pokud je v prohlížeči Safari povolena možnost "Otevřít bezpečné soubory po stažení“, archivy se automaticky rozbalí. Pokud archiv obsahuje symbolický odkaz, může se cílový symbolický odkaz přesunout na plochu uživatele a spustit. Tato aktualizace řeší problém tím, že zamezuje použití stažených symbolických odkazů. Tento problém nemá vliv na systémy starší než Mac OS X 10.4.