O bezpečnostním obsahu OS X Mavericks 10.9

Tento dokument popisuje bezpečnostní obsah OS X Mavericks 10.9.

Apple v zájmu ochrany zákazníků nezveřejňuje, nerozebírá ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřeny a nejsou k dispozici potřebné opravy nebo aktualizace. Podrobnější informace o zabezpečení produktů Apple najdete na webové stránce Zabezpečení produktů Apple.

Informace o klíči PGP zabezpečení produktů Apple najdete v článku Jak používat klíč PGP zabezpečení produktů Apple.

Pokud je to možné, jako odkazy na další informace o bezpečnostních chybách se používají identifikátory CVE ID.

Informace o dalších bezpečnostních aktualizacích najdete v článku Bezpečnostní aktualizace Apple.

OS X Mavericks 10.9

  • Aplikační firewall

    Dopad: Socketfilterfw --blockApp nemusí blokovat přijímání síťových připojení v aplikacích.

    Popis: Volba --blockApp nástroje příkazového řádku socketfilterfw řádně neblokovala přijímání síťových připojení v aplikacích. Problém byl vyřešen lepším zpracováním volby --blockApp.

    CVE-ID

    CVE-2013-5165: Alexander Frangis ze společnosti PopCap Games

  • Aplikační sandbox

    Dopad: Aplikační sandbox mohl být obcházen.

    Popis: Rozhraní LaunchServices pro spuštění aplikace umožňovalo aplikacím v sandboxu specifikovat seznam argumentů předávaných novému procesu. Narušené aplikace v sandboxu mohly tyto informace používat k obejití sandboxu. Problém byl vyřešen zakázáním specifikace argumentů aplikacemi v sandboxu.

    CVE-ID

    CVE-2013-5179: Friedrich Graeter ze společnosti The Soulmen GbR

  • Bluetooth

    Dopad: Škodlivá místní aplikace mohla způsobit neočekávané ukončení systému.

    Popis: Hostitelský řadič USB Bluetooth odstranil rozhraní potřebná pro pozdější operace. Problém byl vyřešen tak, že se nyní uchovává rozhraní tak dlouho, dokud není potřeba.

    CVE-ID

    CVE-2013-5166: Stefano Bianchi Mazzone, Mattia Pagnozzi a Aristide Fattori z týmu Computer and Network Security Lab (LaSER), Università degli Studi di Milano

  • CFNetwork

    Dopad: Cookies relace mohou přetrvávat i po resetování Safari.

    Popis: Dokud nebyla aplikace Safari zavřena, nepodařilo se resetováním Safari vždy odstranit cookies relace. Tento problém byl vyřešen vylepšeným zpracováním cookies relace.

    CVE-ID

    CVE-2013-5167: Graham Bennett, Rob Ansaldo z týmu Amherst College

  • CFNetwork SSL

    Dopad: Útočník mohl dešifrovat část připojení SSL.

    Popis: Používaly se pouze tyto verze SSL: SSL 3 a TLS 1.0. Tyto verze obsahovaly protokol se slabými místy, která se projevila při použití blokových šifer. Útočník typu „man in the middle“ mohl vkládat neplatná data, způsobit ukončení připojení a odhalit informace týkající se předchozích dat. Pokud byl pokus o připojení proveden opakovaně, útočník mohl být schopen dešifrovat odesílaná data, například heslo. Tento problém byl vyřešen povolením protokolu TLS 1.2.

    CVE-ID

    CVE-2011-3389

  • Konzola

    Dopad: Kliknutí na závadnou položku protokolu mohlo vést k neočekávanému spuštění aplikace.

    Popis: Tato aktualizace upravila chování Konzoly při kliknutí na položku protokolu s připojenou adresou URL. Konzola nyní neotevře adresu URL, ale zobrazí náhled adresy URL pomocí rychlého náhledu.

    CVE-ID

    CVE-2013-5168 : Aaron Sigel z týmu vtty.com

  • CoreGraphics

    Dopad: Okna můžou být vidět skrz zamčenou obrazovku po uspání displeje.

    Popis: Ve zpracování režimu uspání displeje v CoreGraphics existovala logická chyba, která vedla k poškození dat a následnému možnému zobrazení oken skrz zamčenou obrazovku. Problém byl vyřešen vylepšeným zpracováním uspání displeje.

    CVE-ID

    CVE-2013-5169

  • CoreGraphics

    Dopad: Zobrazení nebezpečně vytvořeného souboru PDF mohlo vést k nečekanému ukončení aplikace nebo ke spuštění škodlivého kódu.

    Popis: Při zpracování souborů PDF mohlo dojít k přetečení vyrovnávací paměti. Problém byl vyřešen vylepšenou kontrolou rozsahu.

    CVE-ID

    CVE-2013-5170 : Will Dormann ze skupiny CERT/CC

  • CoreGraphics

    Dopad: Neoprávněná aplikace mohla být schopna protokolovat stisknutí kláves zadaná v jiných aplikacích i při povoleném režimu zabezpečeného vstupu.

    Popis: Registrováním události klávesové zkratky mohla neoprávněná aplikace protokolovat stisknutí kláves zadaná v jiných aplikacích i při povoleném režimu zabezpečeného vstupu. Problém byl vyřešen vylepšeným ověřováním událostí klávesových zkratek.

    CVE-ID

    CVE-2013-5171

  • cURL

    Dopad: Několik možností ohrožení v softwaru Curl.

    Popis: Curl obsahoval několik bezpečnostních slabin, z nichž ty nejvážnější mohly umožnit spuštění škodlivého kódu. Problémy byly vyřešeny aktualizací softwaru Curl na verzi 7.30.0.

    CVE-ID

    CVE-2013-0249

    CVE-2013-1944

  • dyld

    Dopad: Útočník, který v zařízení může svévolně spouštět kód, dokáže spouštět kód i po restartování.

    Popis: Ve funkci openSharedCacheFile() modulu dyld existovalo několik problémů s přetečením zásobníku. Problémy byly vyřešeny vylepšenou kontrolou rozsahu.

    CVE-ID

    CVE-2013-3950 : Stefan Esser

  • IOKitUser

    Dopad: Škodlivá místní aplikace mohla způsobit neočekávané ukončení systému.

    Popis: V katalogu IOCatalogue existovala dereference na ukazatel NULL. Problém byl vyřešen vylepšenou kontrolou typu.

    CVE-ID

    CVE-2013-5138 : Will Estes

  • IOSerialFamily

    Dopad: Spuštění škodlivé aplikace mohlo vést ke svévolnému spuštění kódu v jádru.

    Popis: V ovladači IOSerialFamily existoval přístup k poli vymykající se rozsahu. Problém byl vyřešen vylepšenou kontrolou rozsahu.

    CVE-ID

    CVE-2013-5139 : @dent1zt

  • Jádro

    Dopad: Důsledkem použití hashovacích funkcí SHA-2 v jádru mohlo být neočekávané ukončení systému.

    Popis: Pro sadu hashovacích funkcí SHA-2 byla použita nesprávná délka výstupu. V důsledku toho může při použití těchto funkcí, zejména během IPSec připojení, dojít k chybě „kernel panic“. Problém byl vyřešen použitím očekávané délky výstupu.

    CVE-ID

    CVE-2013-5172: Christoph Nadig ze společnosti Lobotomo Software

  • Jádro

    Dopad: Místní uživatelé mohou získat přístup k paměti zásobníku jádra

    Popis: V API msgctl a segctl existoval problém s vyzrazováním informací. Problém byl vyřešen inicializací datových struktur vrácených z jádra.

    CVE-ID

    CVE-2013-5142 : Kenzley Alphonse ze společnosti Kenx Technology, Inc

  • Jádro

    Dopad: Místní uživatel mohl způsobit odmítnutí služby.

    Popis: Generátor náhodných čísel jádra zablokoval zámek během uspokojování požadavku z uživatelského prostoru. Umožnil místnímu uživateli vytvořit obsáhlý požadavek, zablokovat zámek na dlouhé časové úseky a způsobit odmítnutí služby pro jiné uživatele generátoru náhodných čísel. Tento problém byl vyřešen častějším uvolněním a opětovným získáním zámku pro velké požadavky.

    CVE-ID

    CVE-2013-5173: Jaakko Pero z týmu Aalto University

  • Jádro

    Dopad: Místní neoprávněný uživatel mohl způsobit neočekávané ukončení systému.

    Popis: Ve zpracování čtení tty existoval problém se znaménkem celých čísel. Tento problém byl vyřešen vylepšeným zpracováním čtení tty.

    CVE-ID

    CVE-2013-5174 : CESG

  • Jádro

    Dopad: Místní uživatel mohl způsobit zpřístupnění informací paměti jádra nebo neočekávané ukončení systému.

    Popis: Ve zpracování souborů Mach-O existoval problém se čtením mimo hranice. Problém byl vyřešen vylepšenou kontrolou rozsahu.

    CVE-ID

    CVE-2013-5175

  • Jádro

    Dopad: Místní uživatel mohl způsobit zamrznutí systému.

    Popis: Ve zpracování zařízení tty existoval problém se zkracováním celých čísel. Problém byl vyřešen vylepšenou kontrolou rozsahu.

    CVE-ID

    CVE-2013-5176 : CESG

  • Jádro

    Dopad: Místní uživatel mohl způsobit neočekávané ukončení systému.

    Popis: V případě zjištění neplatné struktury iovec dodané uživatelem mohlo dojít k chybě „kernel panic“. Problém byl vyřešen vylepšeným ověřováním struktur iovec.

    CVE-ID

    CVE-2013-5177 : CESG

  • Jádro

    Dopad: Neoprávněný proces může způsobit neočekávané ukončení systému nebo svévolné spuštění kódu v jádru

    Popis: Ve zpracovávání argumentů pro API posix_spawn existoval problém s možným poškozením paměti. Problém byl vyřešen vylepšenou kontrolou rozsahu.

    CVE-ID

    CVE-2013-3954 : Stefan Esser

  • Jádro

    Dopad: Program vícesměrového vysílání specifický pro zdroj mohl při použití sítě Wi-Fi způsobit neočekávané ukončení systému.

    Popis: Ve zpracování paketů vícesměrového vysílání existoval problém s kontrolou chyb. Tento problém byl vyřešen vylepšeným zpracováním paketů vícesměrového vysílání.

    CVE-ID

    CVE-2013-5184: Octoshape

  • Jádro

    Dopad: Útočník v místní síti mohl způsobit odmítnutí služeb

    Popis: Útočník v místní síti mohl zasílat účelně vytvořené pakety IPv6 ICMP a tím způsobit přetížení procesoru. Problém byl vyřešen tím, že před ověřením kontrolního součtu ICMP paketů je teď omezeno, kolik je jich možné maximálně přijmout za časovou jednotku.

    CVE-ID

    CVE-2011-2391 : Marc Heuse

  • Jádro

    Dopad: Škodlivá místní aplikace mohla způsobit zamrznutí systému.

    Popis: Útočník mohl v rozhraní jádrových soketů využít problém se zkracováním celých čísel a dostat procesor do nekonečné smyčky. Problém byl vyřešen použitím delší proměnné.

    CVE-ID

    CVE-2013-5141 : CESG

  • Správa rozšíření jádra (kext)

    Dopad: Neoprávněný proces mohl zakázat některá načtená rozšíření jádra.

    Popis: Při zpracovávání zpráv IPC od neoprávněných odesílatelů docházelo k problému se zpracováním správou rozšíření jádra. Problém byl vyřešen přidáním dodatečných kontrol oprávnění.

    CVE-ID

    CVE-2013-5145 : „Rainbow PRISM“

  • LaunchServices

    Dopad: Soubor mohl zobrazovat špatnou příponu.

    Popis: Při zpracovávání určitých znaků Unicode docházelo k problému, který umožňoval, aby se v názvech souborů zobrazovaly nesprávné přípony. Problém byl vyřešen odfiltrováním nebezpečných znaků z názvů souborů.

    CVE-ID

    CVE-2013-5178: Jesse Ruderman ze společnosti Mozilla Corporation, Stephane Sudre ze společnosti Intego

  • Libc

    Dopad: Za neobvyklých okolností mohou být předvídatelná některá náhodná čísla.

    Popis: Pokud nebyl generátor náhodných čísel jádra přístupný pro funkci srandomdev(), vrátila se tato funkce k alternativní metodě odstraněné optimalizací, což vedlo k nedostatečné nahodilosti. Problém byl vyřešen úpravou správného kódu v rámci optimalizace.

    CVE-ID

    CVE-2013-5180: Xi Wang

  • Poštovní účty

    Dopad: Mail si nemohl vybrat nejbezpečnější dostupnou metodu ověřování.

    Popis: Při automatické konfiguraci poštovního účtu na určitých poštovních serverech si aplikace Mail vybrala místo ověřování CRAM-MD5 ověřování pomocí prostého textu. Problém byl vyřešen vylepšeným zpracováním logiky.

    CVE-ID

    CVE-2013-5181

  • Zobrazení hlavičky zprávy

    Dopad: Nepodepsaná zpráva se může zobrazovat jako platně podepsaná.

    Popis: Při zpracování nepodepsaných zpráv, které však obsahovaly vícedílnou/podepsanou část, docházelo k logické chybě. Problém byl vyřešen vylepšeným zpracováním nepodepsaných zpráv.

     

    CVE-ID

    CVE-2013-5182: Michael Roitzsch z týmu Technische Universität Dresden

  • Práce Mailu v síti

    Dopad: Pokud je nakonfigurováno šifrování jiné než TLS, mohly být informace stručně převedeny do formátu prostého textu.

    Popis: Pokud bylo povoleno ověřování Kerberos a zakázáno ověřování TLS (Transport Layer Security), Mail odesílal poštovnímu serveru nešifrovaná data, což vedlo k neočekávanému ukončení připojení. Problém byl vyřešen vylepšeným zpracováním této konfigurace.

    CVE-ID

    CVE-2013-5183: Richard E. Silverman z www.qoxp.net

  • OpenLDAP

    Dopad: Nástroj příkazového řádku ldapsearch nepoužíval konfiguraci minssf.

    Popis: Nástroj příkazového řádku ldapsearch nepoužíval konfiguraci minssf, což mohlo vést k neočekávanému povolení nedostatečného šifrování. Problém byl vyřešen vylepšeným zpracováním konfigurace minssf.

    CVE-ID

    CVE-2013-5185

  • Perl

    Dopad: Skripty jazyka Perl mohly být náchylné k odmítnutí služby.

    Popis: Mechanismus rehash v zastaralých verzích jazyka Perl mohl být ve skriptech, které používají nedůvěryhodný vstup jako klíče hash, náchylný k odmítnutí služby. Problém byl vyřešen aktualizací na verzi Perl 5.16.2.

    CVE-ID

    CVE-2013-1667

  • Řízení spotřeby

    Dopad: Zámek obrazovky se někdy po uplynutí zadané doby neaktivoval.

    Popis: V řízení spotřeby existoval problém se zámkem. Problém byl vyřešen lepší správou zámku.

    CVE-ID

    CVE-2013-5186: David Herman ze společnosti Sensible DB Design

  • Python

    Dopad: Několik možností ohrožení v jazyce Python 2.7

    Popis: V Pythonu 2.7.2 existovalo několik možností ohrožení, nejvážnější z nich mohlo vést k dešifrování obsahu připojení SSL. Tato aktualizace řeší problémy prostřednictvím aktualizace Pythonu na verzi 2.7.5. Další informace jsou k dispozici na webu jazyka Python na adrese http://www.python.org/download/releases/.

    CVE-ID

    CVE-2011-3389

    CVE-2011-4944

    CVE-2012-0845

    CVE-2012-0876

    CVE-2012-1150

  • Python

    Dopad: Několik možností ohrožení v jazyce Python 2.6

    Popis: V Pythonu 2.6.7 existovalo několik možností ohrožení, nejvážnější z nich mohlo vést k dešifrování obsahu připojení SSL. Tato aktualizace řeší problémy prostřednictvím aktualizace jazyka Python na verzi 2.6.8 a použitím patche pro CVE-2011-4944 z projektu Pythonu. Další informace jsou k dispozici na webu jazyka Python na adrese http://www.python.org/download/releases/.

    CVE-ID

    CVE-2011-3389

    CVE-2011-4944

    CVE-2012-0845

    CVE-2012-0876

    CVE-2012-1150

  • Ruby

    Dopad: Útočník s vysokými oprávněními v síti může zachytit přihlašovací údaje nebo jiné citlivé informace.

    Popis: Ve zpracovávání certifikátů SSL v Ruby existoval problém s ověřováním názvů hostitele. Problém byl vyřešen aktualizací Ruby na verzi 2.0.0p247.

    CVE-ID

    CVE-2013-4073

  • Zabezpečení

    Dopad: Podpora certifikátů X.509 s algoritmy hash MD5 mohla u zdokonalených útoků vystavit uživatele falšování a úniku informací.

    Popis: OS X akceptoval certifikáty podepsané pomocí algoritmu hash MD5. Tento algoritmus má známé kryptografické slabiny. Další postup nebo špatně nakonfigurovaná certifikační autorita mohly povolit vytvoření certifikátů X.509 s hodnotami ovládanými útočníkem, kterým by systém důvěřoval. Protokoly založené na X.509 by byly vystaveny falšování, útokům typu „man in the middle“ a úniku informací. Tato aktualizace zakazuje podporu certifikátu X.509 s algoritmem MD5. Tento certifikát lze použít pouze jako důvěryhodný kořenový certifikát.

    CVE-ID

    CVE-2011-3427

  • Zabezpečení – autorizace

    Dopad: Předvolby zabezpečení správce nebyly vždy respektovány.

    Popis: Nastavení „Při přístupu k systémovým předvolbám s ikonami zámku požadovat heslo správce“ umožňuje správcům přidat další vrstvu ochrany pro citlivá systémová nastavení. V některých případech, kdy správce toto nastavení povolil, došlo použitím aktualizace nebo upgradu softwaru k následnému zakázání tohoto nastavení. Problém byl vyřešen vylepšeným zpracováním autorizačních práv.

    CVE-ID

    CVE-2013-5189: Greg Onufer

  • Zabezpečení – služby čipových karet

    Dopad: Při povolení kontroly odvolání certifikátů mohly být služby čipových karet nedostupné.

    Popis: Při zpracovávání kontrol odvolání certifikátů čipových karet v OS X docházelo k logickým chybám. Problém byl vyřešen vylepšenou podporou odvolávání certifikátů.

    CVE-ID

    CVE-2013-5190: Yongjun Jeon ze společnosti Centrify Corporation

  • Zámek obrazovky

    Dopad: Příkaz „Uzamknout obrazovku“ nenabyl platnosti okamžitě.

    Popis: Příkaz „Uzamknout obrazovku“ na řádku nabídek stavu svazku klíčů začal platit až po uplynutí nastavení „Požadovat heslo [časové období] po spánku nebo spuštění spořiče obrazovky“.

    CVE-ID

    CVE-2013-5187: Michael Kisor z OrganicOrb.com, Christian Knappskog z týmu NTNU (Norwegian University of Science and Technology), Stefan Grönke (CCC Trier), Patrick Reed

  • Zámek obrazovky

    Dopad: Hibernovaný Mac s automatickým přihlášením nemusel vyžadovat heslo k probuzení.

    Popis: Mac s hibernací a povoleným automatickým přihlášením mohl umožnit probuzení ze stavu hibernace bez výzvy k zadání hesla. Problém byl vyřešen lepší správou zámku.

    CVE-ID

    CVE-2013-5188: Levi Musters

  • Server sdílení obrazovky

    Dopad: Vzdálenému útočníkovi se může podařit spustit libovolný kód.

    Popis: Zpracování uživatelských jmen VNC serverem sdílení obrazovky obsahovalo chybu zabezpečení formátovacího řetězce.

    CVE-ID

    CVE-2013-5135: SilentSignal spolupracující s iDefense VCP

  • Syslog

    Dopad: Host mohl vidět zprávy protokolu předchozích hostů.

    Popis: Host mohl vidět protokol konzoly, který obsahoval zprávy relací předchozích hostů. Problém byl vyřešen tak, že protokol konzoly hostů nyní mohou zobrazit pouze správci.

    CVE-ID

    CVE-2013-5191: Sven-S. Porst ze společnosti earthlingsoft

  • USB

    Dopad: Škodlivá místní aplikace mohla způsobit neočekávané ukončení systému.

    Popis: Řadič USB rozbočovače nekontroloval port ani číslo portu požadavků. Problém byl vyřešen přidáním kontrol portu a čísla portu.

    CVE-ID

    CVE-2013-5192: Stefano Bianchi Mazzone, Mattia Pagnozzi a Aristide Fattori z Computer and Network Security Lab (LaSER), Università degli Studi di Milano

Poznámka: OS X Mavericks obsahuje Safari 7.0, které zahrnuje bezpečnostní obsah Safari 6.1. Další podrobnosti najdete v článku „O bezpečnostním obsahu Safari 6.1“ na adrese http://support.apple.com/kb/HT6000?viewlocale=cs_CZ.

Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. S používáním internetu jsou neodmyslitelně spojena rizika. Další informace získáte od výrobce. Názvy jiných společností a produktů mohou být ochrannými známkami příslušných vlastníků.

Datum zveřejnění: