Informace o bezpečnostním obsahu OS X El Capitan 10.11

Tento dokument popisuje bezpečnostní obsah OS X El Capitan 10.11.

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici potřebné opravy nebo aktualizace. Podrobnější informace o zabezpečení produktů Apple najdete na této stránce.

Informace o klíči PGP zabezpečení produktů Apple najdete v článku Jak používat klíč PGP zabezpečení produktů Apple.

Pokud je to možné, jako odkazy na další informace o bezpečnostních chybách se používají identifikátory CVE ID.

Informace o dalších bezpečnostních aktualizacích najdete v článku Bezpečnostní aktualizace Apple.

OS X El Capitan 10.11

  • Adresář

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místní útočník může vkládat libovolný kód do procesů, které načítají framework Adresáře.

    Popis: Existoval problém v tom, jak framework Adresáře zpracovával proměnné prostředí. Problém byl vyřešen lepším zpracováváním proměnných prostředí.

    CVE-ID

    CVE-2015-5897 : Dan Bastone ze společnosti Gotham Digital Science

  • AirScan

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Útočník s vysokými oprávněními v síti může vytáhnout datové sady z eSCL paketů posílaných přes zabezpečené připojení.

    Popis: Existoval problém ve zpracovávání eSCL paketů. Problém byl vyřešen lepší kontrolou ověřování.

    CVE-ID

    CVE-2015-5853 : anonymní výzkumník

  • apache_mod_php

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Několik bezpečnostních slabin v PHP.

    Popis: V softwaru PHP ve verzích před 5.5.27 existovalo několik bezpečnostních slabin včetně jedné, která mohla vést ke vzdálenému spuštění kódu. Problém byl vyřešen aktualizací systému PHP na verzi 5.5.27.

    CVE-ID

    CVE-2014-9425

    CVE-2014-9427

    CVE-2014-9652

    CVE-2014-9705

    CVE-2014-9709

    CVE-2015-0231

    CVE-2015-0232

    CVE-2015-0235

    CVE-2015-0273

    CVE-2015-1351

    CVE-2015-1352

    CVE-2015-2301

    CVE-2015-2305

    CVE-2015-2331

    CVE-2015-2348

    CVE-2015-2783

    CVE-2015-2787

    CVE-2015-3329

    CVE-2015-3330

  • Apple Online Store Kit

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Škodlivá aplikace může získat přístup k položkám v uživatelově svazku klíčů.

    Popis: Existoval problém s ověřováním seznamů řízení přístupu k položkám v Klíčence na iCloudu. Problém byl vyřešen lepší kontrolou seznamů řízení přístupu.

    CVE-ID

    CVE-2015-5836 : XiaoFeng Wang z Indianské univerzity, Luyi Xing z Indianské univerzity, Tongxin Li z Pekingské univerzity, Tongxin Li z Pekingské univerzity, Xiaolong Bai z univerzity Tsinghua

  • AppleEvents

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Uživatel připojený přes sdílení obrazovky může do relace místního uživatele posílat události Apple Events.

    Popis: Ve filtrování událostí Apple Events existoval problém, který některým uživatelům umožňoval posílat události jiným uživatelům. Problém byl vyřešen lepším zpracováváním událostí Apple Events.

    CVE-ID

    CVE-2015-5849 : Jack Lawrence (@_jackhl)

  • Zvuk

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Přehrání škodlivého zvukového souboru může vést k nečekanému ukončení aplikace.

    Popis: Ve zpracovávání zvukových souborů existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

    CVE-ID

    CVE-2015-5862 : YoungJin Yoon z týmu Information Security Lab. (konzultace: prof. Taekyoung Kwon), Yonsei University, Soul, Korea

  • Bash

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Několik bezpečnostních slabin v shellu Bash.

    Popis: Bash obsahoval ve verzích před 3.2 s patchem 57 několik bezpečnostních slabin. Problém byl vyřešen aktualizací shellu Bash verzi 3.2, patch 57.

    CVE-ID

    CVE-2014-6277

    CVE-2014-7186

    CVE-2014-7187

  • Zásady důvěryhodnosti certifikátů

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Aktualizace zásad důvěryhodnosti certifikátů.

    Popis: Byly aktualizovány zásady důvěryhodnosti certifikátů. Kompletní seznam certifikátů je k nalezení na https://support.apple.com/cs-cz/HT202858.

  • Cookies frameworku CFNetwork

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Útočník s vysokými oprávněními v síti může sledovat uživatelovu aktivitu.

    Popis: Ve zpracovávání domén prvního řádu existoval problém s cookies napříč doménami. Problém byl vyřešen lepšími omezeními vytváření cookies.

    CVE-ID

    CVE-2015-5885 : Xiaofeng Zheng z týmu Blue Lotus Team, Tsinghua University

  • Protokol FTP frameworku CFNetwork

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Škodlivé FTP servery můžou klienta donutit, aby špehoval jiné hostitele.

    Popis: Při používání příkazu PASV existoval problém ve zpracovávání FTP paketů. Problém byl vyřešen vylepšením ověřování.

    CVE-ID

    CVE-2015-5912 : Amit Klein

  • Protokol HTTP frameworku CFNetwork

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Škodlivá URL adresa může obejít mechanismus HSTS a způsobit únik citlivých dat.

    Popis: Ve zpracovávání HSTS existovala bezpečnostní slabina s vyhodnocováním URL adres. Problém byl vyřešen lepším vyhodnocováním URL adres.

    CVE-ID

    CVE-2015-5858 : Xiaofeng Zheng z týmu Blue Lotus Team, Tsinghua University

  • Protokol HTTP frameworku CFNetwork

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Útočníkovi s vysokými oprávněními v síti se může podařit zachycovat síťový provoz.

    Popis: V anonymním režimu Safari existoval problém ve zpracovávání položek přednačítaných ze seznamu HSTS. Problém byl vyřešen lepším zpracováváním stavů.

    CVE-ID

    CVE-2015-5859 : Rosario Giustolisi z Lucemburské univerzity

  • Protokol HTTP frameworku CFNetwork

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Škodlivému webu se může podařit sledovat uživatele Safari, kteří mají zapnuté anonymní prohlížení.

    Popis: Existoval problém se zpracováváním stavu HSTS při zapnutém anonymním režimu v Safari. Problém byl vyřešen lepším zpracováváním stavů.

    CVE-ID

    CVE-2015-5860 : Sam Greenhalgh ze společnosti RadicalResearch Ltd

  • Proxy servery frameworku CFNetwork

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Připojení ke škodlivému webovému proxy serveru může u webové stránky nastavit škodlivá cookies.

    Popis: Existoval problém ve zpracovávání odpovědí na připojení k proxy serverům. Problém byl vyřešen odebráním hlavičky set-cookie při zpracovávání správné reakce.

    CVE-ID

    CVE-2015-5841 : Xiaofeng Zheng z týmu Blue Lotus Team, Tsinghua University

  • SSL frameworku CFNetwork

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Útočník s vysokými oprávněními v síti může zachycovat připojení SSL/TLS.

    Popis: V NSURL existoval problém s ověřováním certifikátů potom, co byl nějaký certifikát změněn. Problém byl vyřešen vylepšením ověřování certifikátů.

    CVE-ID

    CVE-2015-5824 : Timothy J. Wood ze společnosti The Omni Group

  • SSL frameworku CFNetwork

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Útočník může dešifrovat data chráněná protokolem SSL.

    Popis: Ve verzi RC4 existovaly známé útoky na důvěrnost protokolu. Útočník mohl vynutit používání verze RC4, i když server třeba preferoval lepší šifry. Stačilo zablokovat TLS 1.0 a vyšší připojení, dokud framework CFNetwork nevyzkoušel SSL 3.0, které umožňuje jen RC4. Problém byl vyřešen odebráním možnosti návratu na SSL 3.0.

  • CoreCrypto

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Útočník může určit soukromý klíč.

    Popis: Pozorováním mnoha pokusů o podepsání nebo dešifrování mohl útočník rozeznat soukromý klíč RSA. Problém byl vyřešen použitím lepších šifrovacích algoritmů.

  • CoreText

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Zpracování škodlivého souboru písma může vést ke spuštění libovolného kódu.

    Popis: Ve zpracovávání souborů písem existoval problém s poškozením paměti. Problém byl vyřešen vylepšením ověřování vstupů.

    CVE-ID

    CVE-2015-5874 : John Villamil (@day6reak), Yahoo Pentest Team

  • Vývojářské nástroje

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Škodlivá aplikace může spouštět libovolný kód se systémovými oprávněními.

    Popis: V součásti dyld existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

    CVE-ID

    CVE-2015-5876 : beist z týmu grayhash

  • Vývojářské nástroje

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Aplikace může obejít podepisování kódu.

    Popis: U spustitelných souborů existoval problém s ověřováním podpisů kódu. Problém byl vyřešen vylepšením kontroly rozsahu.

    CVE-ID

    CVE-2015-5839 : @PanguTeam

  • Obrazy disků

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místnímu uživateli se může podařit spustit libovolný kód se systémovými oprávněními.

    Popis: V součásti DiskImages existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

    CVE-ID

    CVE-2015-5847 : Filippo Bigarella, Luca Todesco

  • dyld

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Aplikace může obejít podepisování kódu.

    Popis: U spustitelných souborů existoval problém s ověřováním podpisů kódu. Problém byl vyřešen vylepšením kontroly rozsahu.

    CVE-ID

    CVE-2015-5839 : TaiG Jailbreak Team

  • EFI

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Škodlivá aplikace může některým systémům bránit ve spuštění.

    Popis: Existoval problém s adresami, na které se vztahoval registr chráněného rozsahu. Problém byl vyřešen změnou chráněného rozsahu.

    CVE-ID

    CVE-2015-5900 : Xeno Kovah a Corey Kallenberg ze společnosti LegbaCore

  • EFI

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Škodlivý adaptér Apple Ethernet / Thunderbolt může ovlivnit flashování firmwaru.

    Popis: Adaptéry Apple Ethernet / Thunderbolt připojené během aktualizace EFI mohly upravovat firmware hostitele. Problém byl vyřešen tím, že během aktualizací se teď nenačítají ROM.

    CVE-ID

    CVE-2015-5914 : Trammell Hudson ze společnosti Two Sigma Investments a snare

  • Finder

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Funkce zabezpečeného vysypání koše nemusela zabezpečeně smazat některé soubory z koše.

    Popis: Na některých systémech existoval problém s garancí zabezpečeného mazání souborů z koše, například souborů z flashového úložiště. Problém byl vyřešen odebráním možnosti zabezpečeného vysypání koše.

    CVE-ID

    CVE-2015-5901 : Apple

  • Game Center

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Škodlivá aplikace pro Game Center může získat přístup k hráčově e-mailové adrese.

    Popis: V Game Center existoval problém ve zpracováváním hráčova e-mailu. Problém byl vyřešen vylepšením přístupových omezení.

    CVE-ID

    CVE-2015-5855 : Nasser Alnasser

  • Heimdal

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Útočníkovi může zkopírovat přihlašovací údaje protokolu Kerberos použité na SMB serveru.

    Popis: Existoval problém s přihlašovacími údaji protokolu Kerberos. Problém byl vyřešen dodatečným ověřováním přihlašovacích údajů pomocí seznamu údajů použitých v poslední době.

    CVE-ID

    CVE-2015-5913 : Tarun Chopra ze společnosti Microsoft Corporation, USA a Yu Fan ze společnosti Microsoft Corporation, Čína

  • ICU

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Několik bezpečnostních slabin v softwaru ICU.

    Popis: Software ICU obsahoval ve verzích před 53.1.0 několik bezpečnostních slabin. Ty byly vyřešeny aktualizací ICU na verzi 55.1.

    CVE-ID

    CVE-2014-8146 : Marc Deslauriers

    CVE-2014-8147 : Marc Deslauriers

    CVE-2015-5922 : Mark Brand z týmu Google Project Zero

  • Install Framework, starší verze

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místnímu uživateli se může podařit získat kořenová oprávnění.

    Popis: V soukromém instalačním frameworku obsahujícím jistý spustitelný soubor s vysokými oprávněnými existoval problém s omezeními. Problém byl vyřešen odebráním daného spustitelného souboru.

    CVE-ID

    CVE-2015-5888 : Apple

  • Ovladač grafiky Intel

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místnímu uživateli se může podařit spustit libovolný kód se systémovými oprávněními.

    Popis: V ovladači grafické karty Intel existovalo několik problémů s poškozením paměti. Problémy byly vyřešeny vylepšením správy paměti.

    CVE-ID

    CVE-2015-5830 : Yuki MIZUNO (@mzyy94)

    CVE-2015-5877 : Camillus Gerard Cai

  • IOAudioFamily

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místnímu uživateli se může podařit zjistit rozvržení paměti jádra.

    Popis: V součásti IOAudioFamily existoval problém, který vedl ke zveřejnění obsahu paměti jádra. Problém byl vyřešen permutací ukazatelů v jádru.

    CVE-ID

    CVE-2015-5864 : Luca Todesco

  • IOGraphics

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místnímu uživateli se může podařit spustit libovolný kód s oprávněními k jádru.

    Popis: V jádru existovalo několik problémů s poškozením paměti. Problémy byly vyřešeny vylepšením správy paměti.

    CVE-ID

    CVE-2015-5871 : Ilja van Sprundel ze společnosti IOActive

    CVE-2015-5872 : Ilja van Sprundel ze společnosti IOActive

    CVE-2015-5873 : Ilja van Sprundel ze společnosti IOActive

    CVE-2015-5890 : Ilja van Sprundel ze společnosti IOActive

  • IOGraphics

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Škodlivá aplikace může být schopna rozpoznat rozvržení paměti jádra.

    Popis: V součásti IOGraphics existoval problém, který mohl vést ke zveřejnění rozvržení paměti jádra. Problém byl vyřešen vylepšením správy paměti.

    CVE-ID

    CVE-2015-5865 : Luca Todesco

  • IOHIDFamily

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Škodlivá aplikace může spouštět libovolný kód se systémovými oprávněními.

    Popis: V součásti IOHIDFamily existovalo několik problémů s poškozením paměti. Problémy byly vyřešeny vylepšením správy paměti.

    CVE-ID

    CVE-2015-5866 : Apple

    CVE-2015-5867 : moony li z týmu Trend Micro

  • IOStorageFamily

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místnímu útočníkovi se může podařit číst paměť jádra.

    Popis: V jádru existoval problém s inicializací paměti. Problém byl vyřešen vylepšením správy paměti.

    CVE-ID

    CVE-2015-5863 : Ilja van Sprundel z týmu IOActive

  • Jádro

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místnímu uživateli se může podařit spustit libovolný kód s oprávněními k jádru.

    Popis: V jádru existovalo několik problémů s poškozením paměti. Problémy byly vyřešeny vylepšením správy paměti.

    CVE-ID

    CVE-2015-5868 : Cererdlong z týmu Alibaba Mobile Security

    CVE-2015-5896: Maxime Villard (m00nbsd)

    CVE-2015-5903 : CESG

  • Jádro

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místní proces může i bez kontroly oprávnění modifikovat jiné procesy.

    Popis: Existoval problém, kvůli kterému měly kořenové procesy používající API processor_set_tasks povoleno zjišťovat porty, na jakých operovaly úlohy jiných procesů. Problém byl vyřešen přidáním dodatečných kontrol oprávnění.

    CVE-ID

    CVE-2015-5882 : Pedro Vilaça na základě původního výzkumu, jehož autory jsou Ming-chieh Pan a Sung-ting Tsai; Jonathan Levin

  • Jádro

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místní útočník může ovládat hodnotu cookies zásobníku.

    Popis: Existovalo několik problémů v generování cookies zásobníku v rámci uživatelského prostoru. Problémy byly vyřešeny lepším generováním zásobníkových cookies.

    CVE-ID

    CVE-2013-3951 : Stefan Esser

  • Jádro

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Útočník může zapříčinit útok odmítnutím služby na cílová TCP spojení, aniž by musel znát správné číslo sekvence.

    Popis: V součásti XNU existoval problém s ověřováním hlaviček TCP paketů. Problém byl vyřešen lepším ověřováním hlaviček TCP paketů.

    CVE-ID

    CVE-2015-5879 : Jonathan Looney

  • Jádro

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Útočník v místním segmentu LAN sítě může vypnout přesměrovávání IPv6.

    Popis: Ve zpracovávání oznámení směrovače o protokolu IPv6 existoval problém s nedostatečným ověřováním, který útočníkovi umožňoval nastavit limit hopů na libovolnou hodnotu. Problém byl vyřešen vynucením určitého limitu hopů.

    CVE-ID

    CVE-2015-5869 : Dennis Spindel Ljungmark

  • Jádro

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místnímu uživateli se může podařit zjistit rozvržení paměti jádra.

    Popis: Existoval problém, který vedl ke zveřejnění rozvržení paměti jádra. Problém byl vyřešen lepší inicializací struktur paměti jádra.

    CVE-ID

    CVE-2015-5842 : beist z týmu grayhash

  • Jádro

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místnímu uživateli se může podařit zjistit rozvržení paměti jádra.

    Popis: V rozhraních pro ladění chyb existoval problém, který vedl ke zveřejnění obsahu paměti. Problém byl vyřešen očišťováním výstupů z rozhraní pro ladění chyb.

    CVE-ID

    CVE-2015-5870 : Apple

  • Jádro

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místnímu uživateli se může podařit způsobit systémové odmítnutí služby.

    Popis: Ve funkci ladění chyb existoval problém se správou stavu. Problém byl vyřešen vylepšením ověřování.

    CVE-ID

    CVE-2015-5902 : Sergi Alvarez (pancake) z týmu NowSecure Research

  • libc

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Vzdálenému útočníkovi se může podařit spustit libovolný kód.

    Popis: Ve funkci fflush existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

    CVE-ID

    CVE-2014-8611 : Adrian Chadd a Alfred Perlstein ze společnosti Norse Corporation

  • libpthread

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místnímu uživateli se může podařit spustit libovolný kód s oprávněními k jádru.

    Popis: V jádru existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

    CVE-ID

    CVE-2015-5899 : Lufeng Li z týmu Qihoo 360 Vulcan

  • libxpc

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Mnoho SSH připojení může způsobit odmítnutí služeb.

    Popis: Framework launchd neměl žádný limit toho, kolik procesů může spustit jedno síťové připojení. Problém byl vyřešen omezením počtu SSH procesů na 40.

    CVE-ID

    CVE-2015-5881 : Apple

  • Přihlašovací okno

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Zámek obrazovky se někdy po uplynutí zadané doby neaktivoval.

    Popis: Existoval problém se zamykáním zaznamenaných obrazovek. Problém byl vyřešen vylepšením správy zámku.

    CVE-ID

    CVE-2015-5833 : Carlos Moreira, Rainer Dorau ze společnosti rainer dorau informationsdesign, Chris Nehren, Kai Takac, Hans Douma, Toni Vaahtera a Jon Hall ze společnosti Asynchrony

  • lukemftpd

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Vzdálený útočník může způsobit odmítnutí služby FTP serveru.

    Popis: V součásti tnftpd existoval problém se zpracováváním globů. Problém byl vyřešen lepším ověřováním globů.

    CVE-ID

    CVE-2015-5917 : Maksymilian Arciemowicz z cxsecurity.com

  • Mail

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Vytištění e-mailu může vést k úniku citlivých uživatelských informací.

    Popis: V Mailu existoval problém, kdy při tisknutí e-mailů byly obcházeny uživatelské předvolby. Problém byl vyřešen lepším vynucováním uživatelských předvoleb.

    CVE-ID

    CVE-2015-5881 : Owen DeLong ze společnosti Akamai Technologies, Noritaka Kamiya, Dennis Klein z německého Eschenburgu, Jeff Hammett ze společnosti Systim Technology Partners

  • Mail

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Útočník s vysokými oprávněními v síti může zachycovat přílohy e-mailů šifrovaných pomocí S/MIME a poslaných přes Mail Drop.

    Popis: Existoval problém se zpracováváním šifrovacích parametrů u velkých příloh e-mailů poslaných přes Mail Drop. Problém byl vyřešen tím, že při posílání zašifrovaných e-mailů už není na výběr Mail Drop.

    CVE-ID

    CVE-2015-5884 : John McCombs ze společnosti Integrated Mapping Ltd

  • Multipeer Connectivity

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místní útočník může pozorovat nechráněná data multipeer.

    Popis: Ve zpracovávání tzv. „convenience“ inicializátorů existoval problém, kvůli kterému bylo možné aktivně degradovat šifrování na nešifrovanou relaci. Problém byl vyřešen nastavením „convenience“ inicializátorů tak, aby vyžadovaly šifrování.

    CVE-ID

    CVE-2015-5851 : Alban Diquet (@nabla_c0d3) z týmu Data Theorem

  • NetworkExtension

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Škodlivá aplikace může být schopna rozpoznat rozvržení paměti jádra.

    Popis: V jádru existoval problém s neinicializovanou pamětí, který vedl ke zveřejnění obsahu paměti jádra. Problém byl vyřešen lepší inicializací paměti.

    CVE-ID

    CVE-2015-5831 : Maxime Villard z týmu m00nbsd

  • Poznámky

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místnímu uživateli se může podařit odhalit citlivá uživatelská data.

    Popis: V aplikaci Poznámky existoval problém se zpracováváním odkazů. Problém byl vyřešen vylepšením ověřování vstupů.

    CVE-ID

    CVE-2015-5878 : Craig Young ze společnosti Tripwire VERT, anonymní výzkumník

  • Poznámky

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místnímu uživateli se může podařit odhalit citlivá uživatelská data.

    Popis: Ve způsobu, jakým aplikace Poznámky zpracovávala text, existoval problém se skriptováním napříč weby. Problém byl vyřešen vylepšením ověřování vstupů.

    CVE-ID

    CVE-2015-5875 : xisigr z týmu Xuanwu Lab společnosti Tencent (www.tencent.com)

  • OpenSSH

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Několik bezpečnostních slabin v knihovně OpenSSH.

    Popis: Software OpenSSH obsahoval ve verzích před 6.9 několik bezpečnostních slabin. Ty byly vyřešeny aktualizací OpenSSH na verzi 6.9.

    CVE-ID

    CVE-2014-2532

  • OpenSSL

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Několik bezpečnostních slabin v knihovně OpenSSL.

    Popis: Software OpenSSL obsahoval ve verzích před 0.9.8zg několik bezpečnostních slabin. Ty byly vyřešeny aktualizací OpenSSL na verzi 0.9.8zg.

    CVE-ID

    CVE-2015-0286

    CVE-2015-0287

  • procmail

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Několik bezpečnostních slabin v softwaru procmail.

    Popis: Software procmail obsahoval ve verzích před 3.22 několik bezpečnostních slabin. Ty byly vyřešeny odebráním softwaru procmail.

    CVE-ID

    CVE-2014-3618

  • remote_cmds

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místní uživatel může spustit libovolný kód s kořenovými oprávněními.

    Popis: Existoval problém v tom, jak binární soubor rsh používat proměnné prostředí. Problém byl vyřešen odebráním oprávnění k setuid z binárního souboru rsh.

    CVE-ID

    CVE-2015-5889 : Philip Pettersson

  • removefile

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Zpracování škodlivých dat může vést k nečekanému ukončení aplikace.

    Popis: V dělicích rutinách součásti checkint existoval problém s přetečením. Problém byl vyřešen vylepšením dělicích rutin.

    CVE-ID

    CVE-2015-5840 : Anonymní výzkumník

  • Ruby

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Několik bezpečnostních slabin v softwaru Ruby.

    Popis: Software Ruby obsahoval ve verzích před 2.0.0p645 několik bezpečnostních slabin. Ty byly vyřešeny aktualizací softwaru Ruby na verzi 2.0.0p645.

    CVE-ID

    CVE-2014-8080

    CVE-2014-8090

    CVE-2015-1855

  • Zabezpečení

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Uživateli se může nesprávně zobrazovat stav zamčení svazku klíčů.

    Popis: Ve způsobu, jak byl sledován stav zamčení svazku klíčů, existoval problém se správou stavu. Problém byl vyřešen vylepšením správy stavu.

    CVE-ID

    CVE-2015-5915 : Peter Walz z Minnesotské univerzity, David Ephron, Eric E. Lawrence, Apple

  • Zabezpečení

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Vyhodnocování důvěry nakonfigurované tak, aby vyžadovalo kontrolu odvolání, mohlo uspět, i když kontrola odvolání vrátila negativní výsledek.

    Popis: Příznak kSecRevocationRequirePositiveResponse byl specifikován, nikoli však implementován. Problém byl vyřešen implementací příznaku.

    CVE-ID

    CVE-2015-5894 : Hannes Oud ze společnosti kWallet GmbH

  • Zabezpečení

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Vzdálený server si může vyžádat certifikát, ještě než se identifikuje.

    Popis: Zabezpečený přenos přijímal zprávu CertificateRequest ještě před zprávou ServerKeyExchange. Problém byl vyřešen tím, že zpráva ServerKeyExchange je teď vyžadována jako první.

    CVE-ID

    CVE-2015-5887 : Benjamin Beurdouche, Karthikeyan Bhargavan, Antoine Delignat-Lavaud, Alfredo Pironti, a Jean Karim Zinzindohoue ze společnosti INRIA Paris-Rocquencourt a Cedric Fournet a Markulf Kohlweiss z týmu Microsoft Research, Pierre-Yves Strub ze společnosti IMDEA Software Institute

  • SMB

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místnímu uživateli se může podařit spustit libovolný kód s oprávněními k jádru.

    Popis: V jádru existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

    CVE-ID

    CVE-2015-5891 : Ilja van Sprundel ze společnosti IOActive

  • SMB

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místnímu uživateli se může podařit zjistit rozvržení paměti jádra.

    Popis: V součásti SMBClient existoval problém, který vedl ke zveřejnění obsahu paměti jádra. Problém byl vyřešen vylepšením kontroly rozsahu.

    CVE-ID

    CVE-2015-5893 : Ilja van Sprundel ze společnosti IOActive

  • SQLite

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Několik bezpečnostních slabin v softwaru SQLite 3.8.5.

    Popis: Software SQLite obsahoval ve verzi 3.8.5 několik bezpečnostních slabin. Ty byly vyřešeny aktualizací SQLite na verzi 3.8.10.2.

    CVE-ID

    CVE-2015-3414

    CVE-2015-3415

    CVE-2015-3416

  • Telefonování

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místní útočník může telefonovat přes Kontinuitu, aniž by o tom uživatel věděl.

    Popis: Při uskutečňování telefonátů existoval problém v kontrole oprávnění. Problém byl vyřešen lepší kontrolou oprávnění.

    CVE-ID

    CVE-2015-3785 : Dan Bastone ze společnosti Gotham Digital Science

  • Terminál

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Škodlivý text v Terminálu může uživateli podat zavádějící informace.

    Popis: Terminál nevyhodnocoval obousměrné znaky přepisování stejně při zobrazování textu jako při výběru textu. Problém byl vyřešen vypnutím obousměrných znaků přepisování v Terminálu.

    CVE-ID

    CVE-2015-5883 : Lukas Schauer (@lukas2511)

  • tidy

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Návštěva škodlivého webu může vést ke spuštění libovolného kódu.

    Popis: V součásti tidy existovalo několik problémů s poškozením paměti. Problémy byly vyřešeny vylepšením správy paměti.

    CVE-ID

    CVE-2015-5522 : Fernando Muñoz z NULLGroup.com

    CVE-2015-5523 : Fernando Muñoz z NULLGroup.com

  • Time Machine

    K dispozici pro: Mac OS X 10.6.8 a novější

    Dopad: Místní útočník může získat přístup k položkám v uživatelově svazku klíčů.

    Popis: Ve frameworku Time Machine existoval problém se zálohami. Problém byl vyřešen lepším krytím záloh Time Machine.

    CVE-ID

    CVE-2015-5854 : Jonas Magazinius ze společnosti Assured AB

Poznámka: OS X El Capitan 10.11 obsahuje bezpečnostní obsah Safari 9.

Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. Další informace vám poskytne příslušný výrobce.

Datum zveřejnění: