Informace o bezpečnostním obsahu OS X Yosemite 10.10

Tento článek obsahuje informace o bezpečnostním obsahu OS X Yosemite 10.10.

Apple v zájmu ochrany zákazníků nezveřejňuje, nerozebírá ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřeny a nejsou k dispozici potřebné opravy nebo aktualizace. Podrobnější informace o zabezpečení produktů Apple najdete na webové stránce Zabezpečení produktů Apple.

Informace o klíči PGP zabezpečení produktů Apple najdete v článku Jak používat klíč PGP zabezpečení produktů Apple.

Pokud je to možné, jako odkazy na další informace o bezpečnostních chybách se používají identifikátory CVE ID.

Informace o dalších bezpečnostních aktualizacích najdete v článku Bezpečnostní aktualizace Apple.

OS X Yosemite 10.10

  • 802.1X

    Dopad: Útočník může získat přihlašovací údaje k Wi-Fi.

    Popis: Útočník se mohl vydávat za přístupový bod Wi-Fi, nabízet ověřování s protokolem LEAP, poškodit hash protokolu MS-CHAPv1 a používat odvozené přihlašovací údaje pro ověření k zamýšlenému přístupovému bodu, i když tento přístupový bod podporoval silnější metody ověřování. Tento problém byl vyřešen zakázáním protokolu LEAP ve výchozím nastavení.

    CVE-ID

    CVE-2014-4364: Pieter Robyns, Bram Bonne, Peter Quax, a Wim Lamotte z Hasseltské univezity

  • Souborový server AFP

    Dopad: Vzdálený útočník mohl rozpoznat všechny síťové adresy systému.

    Popis: Souborový server AFP podporoval příkaz, který vracel všechny síťové adresy systému. Problém byl vyřešen odebráním adres z výsledků.

    CVE-ID

    CVE-2014-4426 : Craig Young z týmu Tripwire VERT

  • apache

    Dopad: Několik bezpečnostních slabin softwaru Apache.

    Popis: Software Apache obsahoval několik bezpečnostních slabin, z nichž ty nejvážnější mohly vést k odmítnutí služby. Problém byl vyřešen aktualizací softwaru Apache na verzi 2.4.9.

    CVE-ID

    CVE-2013-6438

    CVE-2014-0098

  • Aplikační sandbox

    Dopad: Aplikace podléhající omezením sandboxu mohla zneužívat dostupnosti API.

    Popis: Aplikace běžící v sandboxu mohla bez vědomí uživatele zneužívat dostupnost API. Problém byl vyřešen tím, že teď každá aplikace zvlášť vyžaduje souhlas správce s používáním API.

    CVE-ID

    CVE-2014-4427 : Paul S. Ziegler z týmu Reflare UG

  • Bash

    Dopad: V určitých konfiguracích může být vzdálený útočník schopen svévolně spouštět příkazy shellu.

    Popis: Existoval problém v analýze proměnných prostředí v shellu Bash. Problém byl vyřešen vylepšením analýzy proměnných prostředí a lepší detekcí ukončení výrazu funkce.

    Tato aktualizace také zahrnuje doporučovanou změnu CVE-2014-7169, která resetuje stav analyzátoru.

    Aktualizace navíc přidává nový obor názvů pro funkce exportované vytvořením dekorátoru funkce, což má bránit nechtěnému průchodu hlavičky do shellu Bash. Názvy všech proměnných prostředí, které zavádějí definice funkcí, musí mít předponu „__BASH_FUNC<“ a příponu „>()“, aby nedocházelo k nechtěnému předávání funkcí prostřednictvím hlaviček HTTP.

    CVE-ID

    CVE-2014-6271: Stephane Chazelas

    CVE-2014-7169: Tavis Ormandy

  • Bluetooth

    Dopad: Podvodné vstupní zařízení Bluetooth může obejít párování.

    Popis: U nízkoenergetických Bluetooth zařízení třídy HID (Human Interface Device) byla povolena nešifrovaná připojení. Pokud se s takovým zařízením spároval Mac, útočník mohl toto zařízení napodobit a navázat tak spojení. Problém byl vyřešen odmítnutím nešifrovaných spojení HID.

    CVE-ID

    CVE-2014-4428 : Mike Ryan z týmu iSEC Partners

  • CFPreferences

    Dopad: Předvolba „požadovat heslo po přechodu do režimu spánku nebo po spuštění spořiče obrazovky“ se projevovala až po restartu.

    Popis: Ve zpracovávání předvoleb systému existoval problém se správou relací. Problém byl vyřešen vylepšením sledováním relací.

    CVE-ID

    CVE-2014-4425

  • Zásady důvěryhodnosti certifikátů

    Dopad: Aktualizace zásad důvěryhodnosti certifikátů.

    Popis: Byly aktualizovány zásady důvěryhodnosti certifikátů. Kompletní seznam certifikátů je k nalezení na http://support.apple.com/kb/HT6005?viewlocale=cs_CZ.

  • CoreStorage

    Dopad: Šifrovaný svazek mohl po vysunutí zůstat odemčený.

    Popis: Když byl připojený zašifrovaný svazek logicky vysunut, sice se tím odpojil od počítače, ale klíče byly zachovány – ve výsledku pak bylo možné svazek znovu připojit bez zadání hesla. Problém byl vyřešen mazáním klíčů při vysunutí.

    CVE-ID

    CVE-2014-4430 : Benjamin King z týmu See Ben Click Computer Services LLC, Karsten Iwen, Dustin Li (http://dustin.li/), Ken J. Takekoshi a další anonymní výzkumníci

  • CUPS

    Dopad: Místní uživatel s oprávněním správce systému může svévolně spustit kód.

    Popis: Když webové rozhraní CUPS zpracovávalo soubory, řídilo se symbolickými odkazy. Místní uživatel mohl vytvořit symbolické odkazy na škodlivé soubory a ty potom přes webové rozhraní nahrát. Problém byl vyřešen zákazem symbolických odkazů ve webovém rozhraní CUPS.

    CVE-ID

    CVE-2014-3537

  • Dock

    Dopad: V některých případech můžou být okna viditelná i na zamčené obrazovce.

    Popis: Ve zpracovávání zámku obrazovky existoval problém se správou stavu. Problém byl vyřešen vylepšením sledování stavu.

    CVE-ID

    CVE-2014-4431 : Emil Sjölander z univerzity v Umeå

  • fdesetup

    Dopad: Příkaz fdsetup může hlásit zavádějící stav šifrování na disku.

    Popis: Po aktualizaci nastavení a zároveň ještě přes restartem hlásil příkaz fdsetup zavádějící stav. Problém byl vyřešen vylepšením hlášení stavu.

    CVE-ID

    CVE-2014-4432

  • Služba Najít můj Mac v iCloudu

    Dopad: Ve ztraceném režimu iCloudu bylo možné uhodnout PIN hrubou silou.

    Popis: V omezení počtu pokusů existoval problém se zachováváním stavů, který umožňoval útoky hrubou silou na kódy PIN zařízení ve ztraceném režimu. Problém byl vyřešen vylepšením zachovávání stavů po restartu.

    CVE-ID

    CVE-2014-4435 : knoy

  • IOAcceleratorFamily

    Dopad: Aplikace může způsobit odmítnutí služeb.

    Popis: V ovladači IntelAccelerator existoval přístup přes nulový ukazatel. Problém byl vyřešen lepší správou chyb.

    CVE-ID

    CVE-2014-4373: cunzhang z laboratoře Adlab společnosti Venustech

  • IOHIDFamily

    Dopad: Škodlivé aplikace mohly svévolně spouštět kód s oprávněním správce.

    Popis: Ve zpracovávání vlastností mapování klíčů součástí IOHIDFamily existoval přístup přes nulový ukazatel. Problém byl vyřešen vylepšením ověřování vlastností mapování klíčů v součásti IOHIDFamily.

    CVE-ID

    CVE-2014-4405: Ian Beer z týmu Google Project Zero

  • IOHIDFamily

    Dopad: Škodlivé aplikace mohly svévolně spouštět kód s oprávněním správce.

    Popis: Při zpracovávání vlastností mapování klíčů součástí IOHIDFamily docházelo k přetečení haldy vyrovnávací paměti. Problém byl vyřešen vylepšením kontroly rozsahu.

    CVE-ID

    CVE-2014-4404: Ian Beer z týmu Google Project Zero

  • IOHIDFamily

    Dopad: Aplikace může způsobit odmítnutí služeb.

    Popis: V ovladači IOHIDFamily docházelo ke čtení paměti mimo rozsah. Problém byl vyřešen vylepšením ověřování vstupů.

    CVE-ID

    CVE-2014-4436 : cunzhang z laboratoře Adlab společnosti Venustech

  • IOHIDFamily

    Dopad: Uživatel s oprávněním správce může svévolně spustit kód.

    Popis: V ovladači IOHIDFamily existoval problém se čtením paměti mimo rozsah. Problém byl vyřešen vylepšením ověřování vstupů.

    CVE-ID

    CVE-2014-4380: cunzhang z laboratoře Adlab společnosti Venustech

  • IOKit

    Dopad: Škodlivá aplikace může být schopna číst neinicializovaná data z paměti jádra.

    Popis: Při zpracovávání funkcí frameworku IOKit docházelo k problému s neinicializovaným přístupem k paměti. Problém byl vyřešen vylepšením inicializace paměti.

    CVE-ID

    CVE-2014-4407: @PanguTeam

  • IOKit

    Dopad: Škodlivé aplikace mohly svévolně spouštět kód s oprávněním správce.

    Popis: Při zpracovávání určitých polí metadat objektů IODataQueue docházelo k problému s ověřováním. Problém byl vyřešen vylepšením ověřování metadat.

    CVE-ID

    CVE-2014-4388: @PanguTeam

  • IOKit

    Dopad: Škodlivé aplikace mohly svévolně spouštět kód s oprávněním správce.

    Popis: Při zpracovávání určitých polí metadat objektů IODataQueue docházelo k problému s ověřováním. Problém byl vyřešen vylepšením ověřování metadat.

    CVE-ID

    CVE-2014-4418: Ian Beer z týmu Google Project Zero

  • Jádro

    Dopad: Místní uživatel může rozpoznat rozvržení paměti jádra.

    Popis: V rozhraní statistiky sítě existovalo několik problémů s neinicializovanou pamětí, které vedly ke zveřejnění obsahu paměti jádra. Problém byl vyřešen dodatečnou inicializací paměti.

    CVE-ID

    CVE-2014-4371: Fermin J. Serna z týmu Google Security

    CVE-2014-4419: Fermin J. Serna z týmu Google Security

    CVE-2014-4420: Fermin J. Serna z týmu Google Security

    CVE-2014-4421: Fermin J. Serna z týmu Google Security

  • Jádro

    Dopad: Škodlivý souborový systém může způsobit neočekávané ukončení systému nebo svévolné spuštění kódu.

    Popis: Ve zpracovávání prostředkových větví HFS existoval problém s přetečením haldy vyrovnávací paměti. Škodlivý souborový systém pak mohl způsobit neočekávané ukončení systému nebo svévolné spuštění kódu s přístupem k jádru. Problém byl vyřešen vylepšením kontroly rozsahu.

    CVE-ID

    CVE-2014-4433 : Maksymilian Arciemowicz

  • Jádro

    Dopad: Škodlivý souborový systém může způsobit neočekávané ukončení systému.

    Popis: Ve zpracovávání názvů souborů HFS existoval přístup přes nulový ukazatel. Škodlivý souborový systém pak mohl způsobit neočekávané ukončení systému. Problém byl vyřešen odstraněním přístupu přes nulový ukazatel.

    CVE-ID

    CVE-2014-4434 : Maksymilian Arciemowicz

  • Jádro

    Dopad: Místní uživatel může způsobit neočekávané ukončení systému nebo svévolné spuštění kódu v jádru.

    Popis: Při zpracovávání portů Mach docházelo k problému s dvojitým uvolněním paměti. Problém byl vyřešen vylepšením ověřování portů Mach.

    CVE-ID

    CVE-2014-4375: anonymní výzkumník

  • Jádro

    Dopad: Osoba s vysokými oprávněními v síti může způsobovat odepření služby.

    Popis: Při zpracovávání paketů IPv6 docházelo ke konfliktu časování. Problém byl vyřešen vylepšením kontroly stavu zamčení.

    CVE-ID

    CVE-2011-2391 : Marc Heuse

  • Jádro

    Dopad: Místní uživatel může způsobit neočekávané ukončení systému nebo svévolné spuštění kódu v jádru.

    Popis: Ve funkci rt_setgate docházelo k problému se čtením mimo rozsah. To mohlo vést ke zveřejnění paměti nebo poškození paměti. Problém byl vyřešen vylepšením kontroly rozsahu.

    CVE-ID

    CVE-2014-4408

  • Jádro

    Dopad: Místní uživatel může způsobit neočekávané ukončení systému.

    Popis: Při zpracovávání zpráv odeslaných do řídicích systémových soketů bylo možné způsobit chybu typu „panic“. Problém byl vyřešen dalším ověřováním zpráv.

    CVE-ID

    CVE-2014-4442 : Darius Davis z týmu VMware

  • Jádro

    Dopad: Může dojít k obejití některých opatření pro zvýšení zabezpečení jádra.

    Popis: Generátor náhodných čísel používaný opatřeními pro zvýšení bezpečnosti jádra ze začátku procesu spouštění nebyl kryptograficky bezpečný. Některé z jeho výstupů se daly odvodit z uživatelského prostoru, což umožňovalo obejít opatření pro zvýšení zabezpečení. Problém byl vyřešen použitím kryptograficky bezpečného algoritmu.

    CVE-ID

    CVE-2014-4422: Tarjei Mandt ze společnosti Azimuth Security

  • LaunchServices

    Dopad: Místní aplikace může obejít omezení sandboxu.

    Popis: Rozhraní LaunchServices sloužící k nastavení obslužných rutin typů obsahu umožňovalo aplikacím v sandboxu určovat obslužné rutiny existujících typů obsahu. Napadená aplikace pomocí tohoto mohla obejít omezení sandboxu. Problém byl vyřešen tím, že aplikace v sandboxu teď nemají dovoleno určovat obslužné rutiny typů obsahu.

    CVE-ID

    CVE-2014-4437 : Meder Kydyraliev z týmu Google Security

  • Přihlašovací okno

    Dopad: Obrazovka se někdy nezamyká.

    Popis: V nástroji LoginWindow existoval konflikt časování, který někdy bránil v zamčení obrazovky. Problém byl vyřešen změnou pořadí akcí.

    CVE-ID

    CVE-2014-4438 : Harry Sintonen z týmu nSense, Alessandro Lobina ze společnosti Helvetia Insurances, Patryk Szlagowski z týmu Funky Monkey Labs

  • Mail

    Dopad: Mail může odesílat zprávy nezamýšleným adresátům.

    Popis: Nekonzistence v uživatelském rozhraní Mailu způsobovala odesílání e-mailů na adresy, které už byly ze seznamu příjemců odebrány. Problém byl vyřešen vylepšením kontroly konzistentnosti uživatelského rozhraní.

    CVE-ID

    CVE-2014-4439 : Patrick J Power z australského Melbourne

  • Konfigurační profily plochy MCX

    Dopad: Při odinstalování mobilních konfiguračních profilů se neodstranila jejich nastavení.

    Popis: Při odinstalování mobilního konfiguračního profilu se neodstraňovala nastavení webové proxy, která tento profil nainstaloval. Problém byl vyřešen vylepšením odinstalace profilu.

    CVE-ID

    CVE-2014-4440 : Kevin Koster ze společnosti Cloudpath Networks

  • Architektura klientů NetFS

    Dopad: Sdílení souborů může přejít do stavu, ve kterém ho není možné vypnout.

    Popis: V architektuře Sdílení souborů existoval problém se správou stavu. Problém byl vyřešen vylepšením správy stavu.

    CVE-ID

    CVE-2014-4441 : Eduardo Bonsi z týmu BEARTCOMMUNICATIONS

  • QuickTime

    Dopad: Přehrání škodlivého souboru m4a může vést k nečekanému ukončení aplikace nebo ke svévolnému spuštění kódu.

    Popis: Při zpracovávání zvukových samplů mohlo dojít k přetečení vyrovnávací paměti. Problém byl vyřešen vylepšením kontroly rozsahu.

    CVE-ID

    CVE-2014-4351 : Karl Smith z týmu NCC Group

  • Safari

    Dopad: Po vymazání historie navštívených stránek můžou v historii zůstat stránky z právě otevřených panelů.

    Popis: Při vymazání historie navštívených stránek se v Safari nevymazaly stránky dostupné pomocí funkce Zpět/Vpřed v otevřených panelech. Problém byl vyřešen tím, že nově se vymažou i stránky dostupné přes Zpět/Vpřed.

    CVE-ID

    CVE-2013-5150

  • Safari

    Dopad: Souhlas se zapnutím push oznámení na škodlivém webu může způsobit, že Safari od téhle chvíle nebude přijímat push oznámení.

    Popis: Ve zpracovávání push oznámení v Safari v nástroji SafariNotificationAgent existovala opomenutá výjimka. Problém byl vyřešen vylepšením zpracovávání push oznámení v Safari.

    CVE-ID

    CVE-2014-4417 : Marek Isalski ze společnosti Faelix Limited

  • Zabezpečený přenos

    Dopad: Útočník může dešifrovat data chráněná protokolem SSL.

    Popis: Byly zaznamenány útoky na důvěrnost protokolu SSL 3.0 v situaci, kdy šifrovací sada používala blokovou šifru v režimu CBC. Útočník mohl zablokovat pokusy o přihlášení přes protokol TLS 1.0 nebo vyšší, a tím vynutit používání protokolu SSL 3.0 i v případě, kdy server podporoval lepší verzi TLS. Problém byl vyřešen vypnutím šifrovací sady CBC v případě, že selže pokus o připojení přes TLS.

    CVE-ID

    CVE-2014-3566 : Bodo Moeller, Thai Duong a Krzysztof Kotowicz z týmu Google Security

  • Zabezpečení

    Dopad: Vzdálenému útočníkovi se může podařit způsobit odepření služby.

    Popis: Ve zpracovávání dat ASN.1 existoval problém s přístupem přes nulový ukazatel. Problém byl vyřešen dodatečným ověřováním dat ASN.1.

    CVE-ID

    CVE-2014-4443 : Coverity

  • Zabezpečení

    Dopad: Místní uživatel může mít přístup ke Kerberos lístkům jiného uživatele.

    Popis: V nástroji SecurityAgent existoval problém se správou stavu. Při rychlém přepínání uživatelů se Kerberos lístky nového uživatele ukládaly do mezipaměti předchozího uživatele. Problém byl vyřešen vylepšením správy stavu.

    CVE-ID

    CVE-2014-4444 : Gary Simon z týmu Sandia National Laboratories, Ragnar Sundblad z univerzity KTH Royal Institute of Technology, Eugene Homyakov z týmu Kaspersky Lab

  • Zabezpečení – Podepisování kódu

    Dopad: Upraveným aplikacím není možné zabránit ve spuštění.

    Popis: Aplikace podepsané v OS X před verzí OS X Mavericks 10.9 nebo aplikace používající vlastní pravidla zdrojů byly náchylné ke škodlivým úpravám, které neznehodnotily podpis. Na systémech, které povolovaly jenom aplikace z Mac App Storu nebo od známých vývojářů, pak bylo možné upravenou aplikaci stáhnout a spustit ji, jako kdyby byla zcela legitimní. Problém byl vyřešen ignorováním podpisů u balíků s obálkami zdrojů neobsahujícími zdroje, které můžou ovlivňovat spuštění. OS X Mavericks 10.9.5 a aktualizace zabezpečení 2014-004 pro OS X Mountain Lion 10.8.5 už tyto změny obsahují.

    CVE-ID

    CVE-2014-4391 : Christopher Hickstein spolupracující s iniciativou Zero Day Initiative společnosti HP

Poznámka: OS X Yosemite obsahuje Safari 8.0, které obsahuje bezpečnostní obsah aktualizace Safari 7.1. Bližší podrobnosti najdete v článku Informace o bezpečnostním obsahu Safari 7.1.

Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. S používáním internetu jsou neodmyslitelně spojena rizika. Další informace získáte od výrobce. Názvy jiných společností a produktů mohou být ochrannými známkami příslušných vlastníků.

Datum zveřejnění: