Om sikkerhedsopdatering 2006-003
Dette dokument beskriver sikkerhedsopdatering 2006-003, som kan downloades og installeres via indstillingerne under Softwareopdatering eller fra Apple Overførsler.
Af hensyn til vores kunders sikkerhed omtaler, diskuterer eller bekræfter Apple ikke sikkerhedsanliggender, før en fuldstændig undersøgelse har fundet sted, og de relevante programrettelser eller versioner er tilgængelige. Hvis du vil læse mere om Apple-produktsikkerhed, kan du gå ind på webstedet Apple-produktsikkerhed.
Yderligere oplysninger om PGP-nøglen til Apple-produktsikkerhed kan ses i "Sådan bruges PGP-nøglen til Apple Produktsikkerhed".
Hvor det er muligt, bruges der CVE-id'er til at henvise til yderligere oplysninger om sikkerhedsproblemer.
Du kan læse mere om andre sikkerhedsopdateringer i "Apple-sikkerhedsopdateringer".
Sikkerhedsopdatering 2006-003
AppKit
CVE-id: CVE-2006-1439
Fås til: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Tegn, der angives i et sikkert tekstfelt, kan læses af andre apps i samme vinduessession
Beskrivelse: Under visse omstændigheder, når der skiftes mellem tekstinputfelter, kan genaktivering af sikkert hændelsesinput mislykkedes for NSSecureTextField. Dette kan muligvis gøre det muligt for andre apps i samme vinduessession at se visse indtastede tegn og tastaturhændelser. Denne opdatering løser problemet ved at sikre, at sikkert hændelsesinput aktiveres korrekt. Dette problem påvirker ikke systemer, der er ældre end Mac OS X v10.4.
AppKit, ImageIO
CVE-id: CVE-2006-1982, CVE-2006-1983, CVE-2006-1984
Fås til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Visning af et skadeligt GIF- eller TIFF-billede kan muligvis medføre kørsel af vilkårlig kode
Beskrivelse: Håndtering af et ødelagt GIF- eller TIFF-billede kan muligvis medføre kørsel af vilkårlig kode under parsing af et skadeligt billede. Dette påvirker apps, som bruger frameworket ImageIO (Mac OS X v10.4 Tiger) eller AppKit (Mac OS X v10.3 Panther) til at læse billeder. Denne opdatering løser problemet ved at udføre yderligere validering af GIF- og TIFF-billeder.
BOM
CVE-id: CVE-2006-1985
Fås til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Udvidelse af et arkiv kan medføre kørsel af vilkårlig kode
Beskrivelse: Ved omhyggeligt at skabe et arkiv (såsom et .zip-arkiv), som indeholder lange stinavne, kan en hacker muligvis udløse et heap-bufferoverløb i BOM. Dette kan føre til kørsel af vilkårlig kode. BOM bruges til at håndtere arkiver i Finder og andre apps. Denne opdatering løser problemet ved korrekt håndtering af begrænsningsforhold.
BOM
CVE-id: CVE-2006-1440
Fås til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Udvidelse af et skadeligt arkiv kan forårsage, at vilkårlige arkiver oprettes eller overskrives
Beskrivelse: Et problem med håndteringen af symbolske links for mappegennemgang, der registreres i arkiver, kan forårsage, at BOM opretter eller overskriver arkiver på vilkårlige steder, der kan tilgås af den bruger, som udvider arkivet. BOM håndterer arkiver på vegne af Finder og andre apps. Denne opdatering løser problemet ved at sikre, at arkiver, der udvides fra et arkiv, ikke placeres uden for destinationsmappe.
CFNetwork
CVE-id: CVE-2006-1441
Fås til: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Besøg på skadelige websteder kan medføre kørsel af vilkårlig kode
Beskrivelse: Et heltalsoverløb i håndteringen af blokoverførselskodning kunne medføre kørsel af vilkårlig kode. CFNetwork bruges af Safari og andre apps. Denne opdatering løser problemet ved at udføre yderligere validering. Problemet påvirker ikke systemer, der er ældre end Mac OS X v10.4.
ClamAV
CVE-id: CVE-2006-1614, CVE-2006-1615, CVE-2006-1630
Fås til: Mac OS X Server v10.4.6
Effekt: Behandling af skadelige e-mailmeddelelser med ClamAV kan medføre kørsel af vilkårlig kode
Beskrivelse: ClamAV-virusscanningssoftwaren er blevet opdateret til at inkorporere sikkerhedsrettelser i den nyeste version. ClamAV blev introduceret i Mac OS X Server v10.4 til e-mailscanning. Det mest alvorlige af disse problemer kunne medføre kørsel af vilkårlig kode med ClamAVs rettigheder. Læs mere på projektwebstedet http://www.clamav.net.
CoreFoundation
CVE-id: CVE-2006-1442
Fås til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Registrering af en pakke, der ikke er tillid til, kan medføre kørsel af vilkårlig kode
Beskrivelse: Under visse omstændigheder registreres pakker implicit af apps eller systemet. En funktion i pakke-API'en gør det muligt at indlæse og udføre dynamiske biblioteker, når en pakke registreres, selvom klient-appen ikke eksplicit anmoder om det. Som resultat kan vilkårlig kode muligvis blive udført fra en pakke, der ikke er tillid til, uden eksplicit brugerhandling. Denne opdatering løser problemet ved udelukkende at indlæse og udføre biblioteket fra pakken på passende tidspunkter.
CoreFoundation
CVE-id: CVE-2006-1443
Fås til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Strengkonversioner til arkivsystemrepræsentation kan muligvis medføre kørsel af vilkårlig kode
Beskrivelse: Et heltalsunderløb under behandling af et begrænsningsforhold i CFStringGetFileSystemRepresentation kan muligvis medføre kørsel af vilkårlig kode. Apps, der bruger denne API eller en af de relaterede API'er såsom NSFileManagers getFileSystemRepresentation:maxLength:withPath: kan muligvis udløse problemet og medføre kørsel af vilkårlig kode. Denne opdatering løser problemet ved korrekt håndtering af begrænsningsforhold.
CoreGraphics
CVE-id: CVE-2006-1444
Fås til: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Tegn, der angives i et sikkert tekstfelt, kan læses af andre apps i samme vinduessession
Beskrivelse: Quartz Event Services giver apps mulighed for at observere og ændre brugerinputhændelser på lavt niveau. Normalt kan apps ikke opfange hændelser, når sikkert hændelsesinput aktiveres. Men hvis "Enable access for assistive devices" (Aktiver adgang for hjælpemiddelenheder) er slået til, kan Quartz Event Services bruges til at opfange hændelser, selv når sikkert hændelsesinput er aktiveret. Denne opdatering løser problemet ved at filtrere hændelser, når sikkert hændelsesinput er aktiveret. Problemet påvirker ikke systemer før Mac OS X v10.4. Tak til Damien Bobillot, som har rapporteret problemet.
Finder
CVE-id: CVE-2006-1448
Fås til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Åbning af et Internet Location-element kan muligvis medføre kørsel af vilkårlig kode
Beskrivelse: Internet Location-elementer er simple URL-beholdere, som kan henvise til URL-adresser med http://, ftp:// og file:// samt et par andre URL-adresseskemaer. Disse forskellige typer Internet Location-elementer er visuelt forskellige og er beregnet til sikker eksplicit åbning. Men URL-adresseskemaet kan være forskelligt fra Internet Location-typen. Som resultat kan en hacker muligvis overbevise en bruger om at åbne et tilsyneladende harmløst element (såsom Web Internet Location (http://)), mens et URL-adresseskema rent faktisk bruges. Under visse forhold kan dette medføre kørsel af vilkårlig kode. Denne opdatering løser problemerne ved at begrænse URL-adresseskemaet baseret på Internet Location-typen.
FTPServer
CVE-id: CVE-2006-1445
Fås til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: FTP-handlinger af godkendte FTP-brugere kan muligvis medføre kørsel af vilkårlig kode
Beskrivelse: Flere problemer med håndteringen af FTP-serverstinavnet kunne føre til et bufferoverløb. En ondsindet godkendt bruger kan muligvis udløse dette overløb, hvilket kan medføre kørsel af vilkårlig kode med FTP-serverens rettigheder. Denne opdatering løser problemet ved korrekt håndtering af begrænsningsforhold.
Flash Player
CVE-id: CVE-2005-2628, CVE-2006-0024
Fås til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Afspilning af Flash-indhold kan muligvis medføre kørsel af vilkårlig kode
Beskrivelse: Adobe Flash Player indeholder kritiske sårbarheder, som muligvis kan medføre kørsel af vilkårlig kode, når specielt oprettede arkiver indlæses. Læs mere på Adobes websted: http://www.adobe.com/devnet/security/security_zone/apsb06-03.html. Denne opdatering løser problemet ved at inkorporere Flash Player version 8.0.24.0.
ImageIO
CVE-id: CVE-2006-1552
Fås til: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Visning af et skadeligt JPEG-billede kan muligvis medføre kørsel af vilkårlig kode
Beskrivelse: Et heltalsoverløb i behandlingen af JPEG-metadata kan muligvis medføre et heap-bufferoverløb. Ved omhyggeligt at oprette et billede med ødelagte JPEG-metadata kan en hacker muligvis forårsage medføre kørsel af vilkårlig kode, når billedet vises. Denne opdatering løser problemet ved at udføre yderligere validering af billeder. Problemet påvirker ikke systemer før Mac OS X v10.4. Tak til Brent Simmons fra NewsGator Technologies, Inc., som har rapporteret problemet.
Keychain
CVE-id: CVE-2006-1446
Fås til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: En app kan muligvis bruge nøgleringselementer, når nøgleringen er låst
Beskrivelse: Når en nøglering er låst, er det ikke muligt for apps at tilgå elementerne i nøgleringen uden først at anmode om, at nøgleringen låses op. Men en app, som har opnået en henvisning til et nøgleringselement, inden nøgleringen blev låst, kan under visse forhold muligvis fortsat bruge nøgleringselementet, uanset om nøgleringen er låst eller låst op. Denne opdatering løser problemet ved at afvise anmodninger om brug af nøgleringselementer, når nøgleringen er låst. Tak til Tobias Hahn fra HU Berlin, som har rapporteret problemet.
LaunchServices
CVE-id: CVE-2006-1447
Fås til: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Visning af et skadeligt websted kan muligvis medføre kørsel af vilkårlig kode
Beskrivelse: Lange arkivnavnsendelser kan muligvis forhindre validering af overførsler i at afslutte appen, som et element muligvis åbnes med, korrekt. Som resultat kan en hacker muligvis omgå validering af overførsler og forårsage, at Safari automatisk åbner usikkert indhold, hvis indstillingen "Åbn “sikre” arkiver efter overførsel" er aktiveret, og visse apps ikke er installeret. Denne opdatering løser problemet via forbedret kontrol af arkivnavnsendelsen. Dette problem påvirker ikke systemer, der er ældre end Mac OS X v10.4.
libcurl
CVE-id: CVE-2005-4077
Fås til: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Håndtering af URL-adresser i libcurl kan muligvis medføre kørsel af vilkårlig kode
Beskrivelse: Open source-HTTP-biblioteket libcurl indeholder bufferoverløb i håndteringen af URL-adresser. Apps, der bruger curl til håndtering af URL-adresser, kan muligvis udløse problemet og medføre kørsel af vilkårlig kode. Denne opdatering løser problemet ved at inkorporere libcurl version 7.15.1. Dette problem påvirker ikke systemer, der er ældre end Mac OS X v10.4.
Mail
CVE-id: CVE-2006-1449
Fås til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Visning af en skadelig mailmeddelelse kan muligvis medføre kørsel af vilkårlig kode
Beskrivelse: Ved at forberede en specielt oprettet e-mailmeddelelse med indlejrede MacMIME-bilag kan en hacker muligvis udløse et heltalsoverløb. Dette kan muligvis medføre kørsel af vilkårlig kode med rettighederne for den bruger, der kører Mail. Denne opdatering løser problemet ved at udføre yderligere validering af beskeder.
Mail
CVE-id: CVE-2006-1450
Fås til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Visning af en skadelig mailmeddelelse kan muligvis medføre kørsel af vilkårlig kode
Beskrivelse: Håndtering af ugyldige farveoplysninger i e-mailmeddelelser med beriget tekst kunne forårsage tildeling og initialisering af vilkårlige klasser. Dette kan muligvis medføre kørsel af vilkårlig kode med rettighederne for den bruger, der kører Mail. Denne opdatering løser problemet ved korrekt håndtering af ødelagte data med beriget tekst.
MySQL Manager
CVE-id: CVE-2006-1451
Fås til: Mac OS X Server v10.4.6
Effekt: MySQL-databasen kan muligvis tilgås med en tom adgangskode
Beskrivelse: Under den indledende indstilling af en MySQL-databaseserver, der bruger MySQL Manager, kan "New MySQL root password" (Ny MySQL-rodadgangskode) muligvis blive brugt. Men denne adgangskode bruges rent faktisk ikke. Som resultat forbliver MySQL-rodadgangskoden tom. En lokal bruger kan derefter muligvis opnå adgang til MySQL-databasen med alle rettigheder. Denne opdatering løser problemet ved at sikre, at den indtastede adgangskode gemmes. Problemet påvirker ikke systemer før Mac OS X v10.4. Tak til Ben Low fra University of New South Wales, som har rapporteret problemet.
Preview
CVE-id: CVE-2006-1452
Fås til: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Navigering i et skadeligt bibliotekshierarki kan muligvis medføre kørsel af vilkårlig kode
Beskrivelse: Når der navigeres virkelig dybt ned i bibliotekshierarkier i Billedfremviser, kan et stakbufferoverløb muligvis blive udløst. Ved omhyggeligt at oprette et sådant bibliotekshierarki kan det være muligt for en hacker at forårsage kørsel af vilkårlig kode, hvis bibliotekerne åbnes i Billedfremviser. Dette problem påvirker ikke systemer, der er ældre end Mac OS X v10.4.
QuickDraw
CVE-id: CVE-2006-1453, CVE-2006-1454
Fås til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Visning af et skadeligt PICT-billede kan muligvis medføre kørsel af vilkårlig kode
Beskrivelse: To problemer påvirker QuickDraw, når PICT-billeder behandles. Ødelagte skriftsoplysninger kan muligvis forårsage et stakbufferoverløb, og ødelagte billeddata kan muligvis forårsage et heap-bufferoverløb. Ved omhyggeligt at oprette et skadeligt PICT-billede kan en hacker muligvis forårsage medføre kørsel af vilkårlig kode, når billedet vises. Denne opdatering løser problemet ved at udføre yderligere validering af PICT-billeder. Tak til Mike Price fra McAfee AVERT Labs, som har rapporteret problemet.
QuickTime Streaming Server
CVE-id: CVE-2006-1455
Fås til: Mac OS X Server v10.3.9, Mac OS X Server v10.4.6
Effekt: En ødelagt QuickTime-film kan forårsage, at QuickTime Streaming Server går ned
Beskrivelse: En QuickTime-film, der mangler et spor, kan muligvis forårsage en reference til en null-pointer, der forårsager, at serverprocessen går ned. Dette forårsager, at aktive klientforbindelser afbrydes. Men serveren genstartes automatisk. Denne opdatering løser problemet ved at skabe en fejl, når der stødes på ødelagte film.
QuickTime Streaming Server
CVE-id: CVE-2006-1456
Fås til: Mac OS X Server v10.3.9, Mac OS X Server v10.4.6
Effekt: Skadelige RTSP-anmodninger kan muligvis medføre nedbrud eller kørsel af vilkårlig kode
Beskrivelse: Ved omhyggeligt at oprette en RTSP-anmodning kan en hacker muligvis udløse et bufferoverløb under meddelelseslogføring. Dette kan muligvis medføre kørsel af vilkårlig kode med QuickTime Streaming Server-rettighederne. Denne opdatering løser problemet ved korrekt håndtering af begrænsningsforhold. Tak til Mu Securitys sikkerhedsteam, som har rapporteret dette problem.
Ruby
CVE-id: CVE-2005-2337
Fås til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Begrænsninger af sikre niveauer i Ruby kan muligvis omgås
Beskrivelse: Ruby-scriptingsproget indeholder en mekanisme kaldet "sikre niveauer", der bruges til at begrænse visse handlinger. Denne mekanisme bruges mest, når der køres beskyttede Ruby-apps eller Ruby-netværksapps. Under visse forhold kan en hacker muligvis omgå begrænsningerne i sådanne apps. Apps, der ikke anvender sikre niveauer, påvirkes ikke. Denne opdatering løser problemet ved at sikre, at sikre niveauer ikke kan omgås.
Safari
CVE-id: CVE-2006-1457
Fås til: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Effekt: Besøg på skadelige websteder kan muligvis medføre arkivmanipulation eller kørsel af vilkårlig kode
Beskrivelse: Når Safari-indstillingen "Åbn “sikre” arkiver efter overførsel" er aktiveret, udvides arkiver automatisk. Hvis arkivet indeholder et symbolsk link, kan det symbolske mållink muligvis flyttes til brugerens skrivebord og åbnes. Denne opdatering løser problemet ved ikke at opløse downloadede symbolske links. Dette problem påvirker ikke systemer, der er ældre end Mac OS X v10.4.