Informace o bezpečnostním obsahu OS X Mountain Lionu 10.8.4 a aktualizace zabezpečení 2013-002

Tento dokument popisuje bezpečnostní obsah OS X Mountain Lionu 10.8.4 a aktualizace zabezpečení 2013-002, kterou lze stáhnout a nainstalovat pomocí Aktualizace softwaru nebo stránky produktů Apple ke stažení.

Apple v zájmu ochrany zákazníků nezveřejňuje, nerozebírá ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřeny a nejsou k dispozici potřebné opravy nebo aktualizace. Podrobnější informace o zabezpečení produktů Apple najdete na webové stránce Zabezpečení produktů Apple.

Informace o klíči PGP zabezpečení produktů Apple najdete v článku Jak používat klíč PGP zabezpečení produktů Apple.

Pokud je to možné, jako odkazy na další informace o bezpečnostních chybách se používají identifikátory CVE ID.

Informace o dalších bezpečnostních aktualizacích najdete v článku Bezpečnostní aktualizace Apple.
 

OS X Mountain Lion 10.8.4 a aktualizace zabezpečení 2013-002

Poznámka: OS X Mountain Lion 10.8.4 zahrnuje obsah aktualizace Safari 6.0.5. Další podrobnosti najdete v článku Informace o bezpečnostním obsahu Safari 6.0.5.

  • CFNetwork

    K dispozici pro: OS X Mountain Lion 10.8 až 10.8.3

    Dopad: Útočník, který má přístup k uživatelově relaci, se může přihlásit na dříve navštívené weby, a to i v případě, že byl použit režim Anonymního prohlížení.

    Popis: Cookies se po ukončení Safari ukládaly natrvalo, i když bylo zapnuté Anonymní prohlížení. Problém byl vyřešen lepším zacházením s cookies.

    CVE-ID

    CVE-2013-0982 : Alexander Traud z www.traud.de

  • CoreAnimation

    K dispozici pro: OS X Mountain Lion 10.8 až 10.8.3

    Dopad: Návštěva nebezpečně vytvořeného webu může vést k nečekanému ukončení aplikace nebo ke spuštění libovolného kódu.

    Popis: Při zpracování textových znaků mohly nastat problémy s neomezeným přidělovaným zásobníků. Problém mohl být způsoben škodlivými URL adresami v Safari. Problém byl vyřešen vylepšenou kontrolou rozsahu.

    CVE-ID

    CVE-2013-0983 : David Fifield ze Stanfordské univerzity, Ben Syverson

  • CoreMedia Playback

    K dispozici pro: OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.3

    Dopad: Zobrazení škodlivého videosouboru může vést k nečekanému ukončení aplikace nebo ke spuštění libovolného kódu.

    Popis: Při zpracování textových stop mohly nastat problémy s neinicializovaným přístupem k paměti. Problém byl vyřešen vylepšeným ověřováním textových stop.

    CVE-ID

    CVE-2013-1024 : Richard Kuo a Billy Suguitan z Triemt Corporation

  • CUPS

    K dispozici pro: OS X Mountain Lion 10.8 až 10.8.3

    Dopad: Místní uživatel ve skupině lpadmin může číst nebo zapisovat libovolné soubory se systémovými oprávněními.

    Popis: Ve zpracovávání konfigurace CUPS přes webové rozhraní CUPS existoval problém s eskalací oprávnění. Místní uživatel ve skupině lpadmin pak mohl číst nebo zapisovat libovolné soubory se systémovými oprávněními. Problém byl vyřešen přesunutím určitých konfiguračních instrukcí do souboru cups-files.conf, který se z webového rozhraní CUPS upravovat nedá.

    CVE-ID

    CVE-2012-5519

  • Adresářová služba

    K dispozici pro: Mac OS X 10.6.8, Mac OS X Server 10.6.8

    Dopad: Vzdálený útočník může v systémech se zapnutou adresářovou službou spouštět libovolný kód se systémovými oprávněnými.

    Popis: Existoval problém ve zpracovávání zpráv ze sítě adresářovým serverem. Vzdálený útočník mohl zaslat škodlivou zprávu a tím způsobit vypnutí adresářového serveru nebo spustit libovolný kód se systémovými oprávněními. Problém byl vyřešen vylepšenou kontrolou rozsahu. Problém se nevztahuje na systémy OS X Lion ani OS X Mountain Lion.

    CVE-ID

    CVE-2013-0984 : Nicolas Economou ze společnosti Core Security

  • Správa disků

    K dispozici pro: OS X Mountain Lion 10.8 až 10.8.3

    Dopad: Místní uživatel může vypnout FileVault.

    Popis: Místní uživatel, který není správcem, mohl pomocí příkazového řádku vypnout ochranu FileVault. Problém byl vyřešen přidáním dodatečného ověřování.

    CVE-ID

    CVE-2013-0985

  • OpenSSL

    K dispozici pro: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.3

    Dopad: Útočník může dešifrovat data chráněná protokolem SSL.

    Popis: Bylo známo několik útoků, které se daly provést proti zabezpečení TLS 1.0 při zapnuté kompresi. Problém byl vyřešen vypnutím komprese u OpenSSL.

    CVE-ID

    CVE-2012-4929 : Juliano Rizzo a Thai Duong

  • OpenSSL

    K dispozici pro: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.3

    Dopad: Několik bezpečnostních slabin v knihovně OpenSSL.

    Popis: Protokol OpenSSL byl aktualizován na verzi 0.9.8x a tím bylo napraveno několik bezpečnostních slabin, které mohly vést k zamítnutí služby nebo vyzrazení soukromého klíče. Další informace jsou k dispozici na webu OpenSSL: http://www.openssl.org/news/

    CVE-ID

    CVE-2011-1945

    CVE-2011-3207

    CVE-2011-3210

    CVE-2011-4108

    CVE-2011-4109

    CVE-2011-4576

    CVE-2011-4577

    CVE-2011-4619

    CVE-2012-0050

    CVE-2012-2110

    CVE-2012-2131

    CVE-2012-2333

  • QuickDraw Manager

    K dispozici pro: OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.2

    Dopad: Otevření škodlivého obrázku PICT může vést k nečekanému ukončení aplikace nebo ke spuštění libovolného kódu.

    Popis: Při zpracování obrázků PICT mohlo dojít k přetečení vyrovnávací paměti. Problém byl vyřešen vylepšenou kontrolou rozsahu.

    CVE-ID

    CVE-2013-0975 : Tobias Klein spolupracující na projektu Zero Day Initiative společnosti HP

  • QuickTime

    K dispozici pro: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.3

    Dopad: Zobrazení škodlivého videosouboru může vést k nečekanému ukončení aplikace nebo ke spuštění libovolného kódu.

    Popis: Při zpracování prvků 'enof' atom mohlo dojít k přetečení vyrovnávací paměti. Problém byl vyřešen vylepšenou kontrolou rozsahu.

    CVE-ID

    CVE-2013-0986 : Tom Gallagher (Microsoft) a Paul Bates (Microsoft) spolupracující se Zero Day Initiative společnosti HP

  • QuickTime

    K dispozici pro: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.3

    Dopad: Zobrazení škodlivého souboru QTIF může vést k nečekanému ukončení aplikace nebo ke spuštění libovolného kódu.

    Popis: Ve zpracovávání souborů QTIF existoval problém s poškozením paměti. Problém byl vyřešen vylepšenou kontrolou rozsahu.

    CVE-ID

    CVE-2013-0987 : roob spolupracující s iDefense VCP

  • QuickTime

    K dispozici pro: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.3

    Dopad: Zobrazení škodlivého souboru FPX může vést k nečekanému ukončení aplikace nebo ke spuštění libovolného kódu.

    Popis: Při zpracování souborů FPX mohlo dojít k přetečení vyrovnávací paměti. Problém byl vyřešen vylepšenou kontrolou rozsahu.

    CVE-ID

    CVE-2013-0988 : G. Geshev spolupracující se Zero Day Initiative společnosti HP

  • QuickTime

    K dispozici pro: OS X Mountain Lion 10.8 až 10.8.3

    Dopad: Přehrání škodlivého souboru MP3 může vést k nečekanému ukončení aplikace nebo ke spuštění libovolného kódu.

    Popis: Při zpracování souborů MP3 mohlo dojít k přetečení vyrovnávací paměti. Problém byl vyřešen vylepšenou kontrolou rozsahu.

    CVE-ID

    CVE-2013-0989 : G. Geshev spolupracující se Zero Day Initiative společnosti HP

  • Ruby

    K dispozici pro: Mac OS X 10.6.8, Mac OS X Server 10.6.8

    Dopad: Několik bezpečnostních slabin v Ruby on Rails.

    Popis: Framework Ruby on Rails obsahoval několik bezpečnostních slabin, přičemž ty nejhorší mohly v systémech s aplikacemi Ruby on Rails vést ke spuštění libovolného kódu. Problémy byly vyřešeny aktualizováním Ruby on Rails na verzi 2.3.18. Tento problém se může týkat systémů OS X Lion nebo OS X Mountain Lion, které byly upgradovány z Mac OS X 10.6.8 nebo dřívějších verzí. Uživatelé těchto systémů mohou ovlivněné gemy aktualizovat pomocí nástroje /usr/bin/gem.

    CVE-ID

    CVE-2013-0155

    CVE-2013-0276

    CVE-2013-0277

    CVE-2013-0333

    CVE-2013-1854

    CVE-2013-1855

    CVE-2013-1856

    CVE-2013-1857

  • SMB

    K dispozici pro: OS X Lion 10.7 až 10.7.5, OS X Lion Server 10.7 až 10.7.5, OS X Mountain Lion 10.8 až 10.8.3

    Dopad: Ověřený uživatel může zapisovat soubory i mimo sdílený adresář.

    Popis: Pokud bylo zapnuté sdílení SMB souborů, ověřený uživatel mohl zapisovat soubory i mimo sdílený adresář. Problém byl vyřešen vylepšenou kontrolou přístupu.

    CVE-ID

    CVE-2013-0990 : Ward van Wanrooij

  • Poznámka: Počínaje OS X 10.8.4 musejí být všechny aplikace Java Web Start (tj. JNLP) stažené z internetu podepsané certifikátem vývojářova ID. Gatekeeper ověří podpis stažených aplikací Java Web Start a zabrání spuštění aplikací, které nebudou správně podepsané.

Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. S používáním internetu jsou neodmyslitelně spojena rizika. Další informace získáte od výrobce. Názvy jiných společností a produktů mohou být ochrannými známkami příslušných vlastníků.

Datum zveřejnění: