Informace o bezpečnostním obsahu Xcode 7.0

Tento dokument popisuje bezpečnostní obsah Xcode 7.0.

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici potřebné opravy nebo aktualizace. Podrobnější informace o zabezpečení produktů Apple najdete na webové stránce Zabezpečení produktů Apple.

Informace o klíči PGP zabezpečení produktů Apple najdete v článku Jak používat klíč PGP zabezpečení produktů Apple.

Pokud je to možné, jako odkazy na další informace o bezpečnostních chybách se používají identifikátory CVE ID.

Informace o dalších bezpečnostních aktualizacích najdete v článku Bezpečnostní aktualizace Apple.

Xcode 7.0

• DevTools

  K dispozici pro: OS X Yosemite 10.10.4 a novější

  Dopad: Útočníkovi se může podařit obejít omezení přístupu.

  Popis: V konfiguraci apache existoval problém s API. Problém byl vyřešen aktualizací souborů záhlaví na nejnovější verzi.

  CVE-ID

  CVE-2015-3185: Branko Äibej z organizace Apache Software Foundation

• IDE Xcode Server

  K dispozici pro: OS X Yosemite 10.10.4 a novější

  Dopad: Útočníkovi se může podařit získat přístup k omezeným částem souborového systému.

  Popis: Ve verzích modulu node.js send před 0.8.4 existoval problém se srovnáváním. Problém byl vyřešen aktualizací na verzi 0.12.3.

  CVE-ID

  CVE-2014-6394: Ilya Kantor

• IDE Xcode Server

  K dispozici pro: OS X Yosemite 10.10.4 a novější

  Dopad: Několik bezpečnostních slabin v OpenSSL.

  Popis: Ve verzích modulu node.js OpenSSL před 1.0.1j existovalo několik bezpečnostních slabin. Problémy byly vyřešeny aktualizací OpenSSL na verzi 1.0.1j.

  CVE-ID

  CVE-2014-3513

  CVE-2014-3566

  CVE-2014-3567

  CVE-2014-3568

• IDE Xcode Server

  K dispozici pro: OS X Yosemite 10.10.4 a novější

  Dopad: Útočníkovi s vysokými oprávněními v síti se může podařit zkoumat provoz směřující na Xcode Server.

  Popis: Bylo možné navázat připojení k Xcode Serveru i bez šifrování. Tento problém byl vyřešen vylepšením logiky síťového připojování.

  CVE-ID

  CVE-2015-5910: anonymní výzkumník

• IDE Xcode Server

  K dispozici pro: OS X Yosemite 10.10.4 a novější

  Dopad: Oznámení o sestavách můžou chodit nezamýšleným příjemcům.

  Popis: Existoval problém se zpracováním e-mailových seznamů repozitářů. Problém byl vyřešen vylepšením ověřování.

  CVE-ID

  CVE-2015-5909: Daniel Tomlinson ze společnosti Rocket Apps, David Gatwood ze společnosti Anchorfree

• subversion

  K dispozici pro: OS X Yosemite 10.10.4 a novější

  Dopad: Ve verzích svn před 1.7.19 existoval několik bezpečnostních slabin.

  Popis: Ve verzích svn před 1.7.19 existovalo několik bezpečnostních slabin. Problémy byly vyřešeny aktualizací svn na verzi 1.7.20.

  CVE-ID

  CVE-2015-0248

  CVE-2015-0251