Om sikkerhedsindholdet i Mac OS X 10.4.8-opdateringen og Sikkerhedsopdatering 2006-006

I dette dokument beskrives Sikkerhedsopdatering 2006-006 og sikkerhedsindholdet i Mac OS X 10.4.8-opdateringen, som kan downloades og installeres via indstillingerne Softwareopdatering eller fra Apple Overførsler.

Af hensyn til vores kunders sikkerhed omtaler, diskuterer eller bekræfter Apple ikke sikkerhedsanliggender, før en fuldstændig undersøgelse har fundet sted, og de relevante programrettelser eller versioner er tilgængelige. Hvis du vil læse mere om Apple-produktsikkerhed, kan du gå ind på webstedet Apple-produktsikkerhed.

Yderligere oplysninger om PGP-nøglen til Apple-produktsikkerhed kan ses i "Sådan bruges PGP-nøglen til Apple Produktsikkerhed".

Hvor det er muligt, bruges der CVE-id'er til at henvise til yderligere oplysninger om sikkerhedsproblemer.

Du kan læse mere om andre sikkerhedsopdateringer i "Apple-sikkerhedsopdateringer".

Mac OS X v10.4.8 og Sikkerhedsopdatering 2006-006

• CFNetwork

  CVE-ID: CVE-2006-4390

  Tilgængelig til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 op til Mac OS X v10.4.7, Mac OS X Server v10.4 op til Mac OS X Server v10.4.7

  Effekt: CFNetwork-klienter som f.eks. Safari kan tillade, at ikke-godkendte SSL-websteder vises som godkendte

  Beskrivelse: Forbindelser, der oprettes med SSL, bliver som regel godkendt og krypteret. Når krypteringen implementeres uden godkendelse, kan skadelige websteder muligvis foregive at være godkendte websteder. I Safari kan dette medføre, at låseikonet vises, når der ikke er vished om identiteten af et eksternt websted. Denne opdatering håndterer problemet ved at afvise anonyme SSL-forbindelser som standard. Tak til Adam Bryzak fra Queensland University of Technology, som har rapporteret problemet.

• Flash Player

  CVE-ID: CVE-2006-3311, CVE-2006-3587, CVE-2006-3588, CVE-2006-4640

  Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 op til Mac OS X v10.4.7, Mac OS X Server v10.4 op til Mac OS X Server v10.4.7

  Effekt: Afspilning af Flash-indhold kan føre til kørsel af vilkårlig kode

  Beskrivelse: Adobe Flash Player har kritiske sårbarheder, der kan føre til kørsel af vilkårlig kode, når der håndteres indhold, der er skabt til skadelige formål. Denne opdatering håndterer problemerne ved at inkorporere Flash Player version 9.0.16.0 i systemer med Mac OS X v10.3.9 og Flash Player version 9.0.20.0 i systemer med Mac OS X v10.4.

  Du kan finde flere oplysninger på Adobes websted på http://www.adobe.com/support/security/bulletins/apsb06-11.html.

• ImageIO

  CVE-ID: CVE-2006-4391

  Tilgængelig til: Mac OS X v10.4 op til Mac OS X v10.4.7, Mac OS X Server v10.4 op til Mac OS X Server v10.4.7

  Effekt: Visning af et JPEG2000-billede, der er fremstillet til skadelige formål, kan medføre programnedbrud eller kørsel af vilkårlig kode

  Beskrivelse: Ved omhyggeligt at fremstille et beskadiget JPEG2000-billede kan en hacker udløse et bufferoverløb, som kan medføre programnedbrud eller kørsel af vilkårlig kode. Denne opdatering håndterer billedet ved at udføre yderligere validering af JPEG2000-billeder. Problemet påvirker ikke systemer før Mac OS X v10.4. Tak til Tom Saxton fra Idle Loop Software Design, som har rapporteret problemet.

• Kernel

  CVE-ID: CVE-2006-4392

  Tilgængelig til: Mac OS X v10.4 op til Mac OS X v10.4.7, Mac OS X Server v10.4 op til Mac OS X Server v10.4.7

  Effekt: Lokale bruger kan muligvis køre vilkårlig kode med ekstra privilegier

  Beskrivelse: En fejlhåndteringsmekanisme i kernen, kendt som Mach-undtagelsesporte, giver mulighed for at styre programmer, når visse typer fejl opstår. Ondsindede lokale brugere kunne bruge denne mekanisme til at køre vilkårlig kode i priviligerede programmer, hvis der opstår en fejl. Denne opdatering håndterer problemer ved at begrænse adgangen til Mach-undtagelsesporte for priviligerede programmer. Tak til Dino Dai Zovi fra Matasano Security, som har rapporteret problemet.

• LoginWindow

  CVE-ID: CVE-2006-4397

  Tilgængelig til: Mac OS X v10.4 op til Mac OS X v10.4.7, Mac OS X Server v10.4 op til Mac OS X Server v10.4.7

  Effekt: Efter et mislykket forsøg på at logge ind på en netværkskonto kan Kerberos-sager være tilgængelige for andre lokale brugere

  Beskrivelse: På grund af en umarkeret fejltilstand kan Kerberos-sager ikke destrueres ordentligt efter et mislykket forsøg på at logge ind på en netværkskonto via loginvinduet. Det kunne medføre, at andre lokale brugere kunne få uautoriseret adgang til en tidligere brugers Kerberos-sager. Denne opdatering håndterer problemet ved at rydde cachen med godkendelsesoplysninger efter mislykkede loginforsøg. Problemet påvirker ikke systemer før Mac OS X v10.4. Tak til Patrick Gallagher fra Digital Peaks Corporation, som har rapporteret problemet.

• LoginWindow

  CVE-ID: CVE-2006-4393

  Tilgængelig til: Mac OS X v10.4 op til Mac OS X v10.4.7, Mac OS X Server v10.4 op til Mac OS X Server v10.4.7

  Effekt: Kerberos-sager kan være tilgængelige for andre lokale brugere, hvis Hurtigt brugerskift er aktiveret

  Beskrivelse: En fejl i håndteringen af Hurtigt brugerskift kan muligvis give en lokal bruger adgang til andre lokale brugeres Kerberos-sager. Hurtigt brugerskift er opdateret for at håndtere denne situation. Problemet påvirker ikke systemer før Mac OS X v10.4. Tak til Ragnar Sundblad fra Royal Institute of Technology i Stockholm, som har rapporteret problemet.

• LoginWindow

  CVE-ID: CVE-2006-4394

  Tilgængelig til: Mac OS X v10.4 op til Mac OS X v10.4.7, Mac OS X Server v10.4 op til Mac OS X Server v10.4.7

  Effekt: Netværkskonti kan muligvis tilsidesætte adgangskontrol for tjenester med loginvinduer

  Beskrivelse: Adgangskontrol for tjenester kan bruges til at begrænse, hvilke brugere der kan logge ind på et system via et loginvindue. En logikfejl i loginvinduet giver netværkskonti uden GUID'er mulighed for at tilsidesætte adgangskontrol for tjenester. Problemet påvirker kun systemer, der er konfigureret til at bruge tjenesteadgangskontroller for loginvinduer og tillade, at netværkskonti godkender brugere uden en GUID. Problemet er løst ved hjælp af korrekt håndtering af adgangskontrol til tjenester med loginvinduer. Dette problem påvirker ikke systemer, der er ældre end Mac OS X v10.4.

• Preferences

  CVE-ID: CVE-2006-4387

  Tilgængelig til: Mac OS X v10.4 op til Mac OS X v10.4.7, Mac OS X Server v10.4 op til Mac OS X Server v10.4.7

  Effekt: Efter en kontos administratorprivilegier er fjernet, kan kontoen muligvis stadig administrere WebObjects-programmer

  Beskrivelse: Fjernelse af markeringen i afkrydsningsfeltet "Giv bruger lov til at administrere computeren" i systemindstillingerne fjerner muligvis ikke kontoen fra appserveradm- eller appserverusr-grupper. Disse grupper giver en konto tilladelse til at administrere WebObjects-programmer. Denne opdatering håndterer problemet ved at sikre, at kontoen fjernes fra de relevante grupper. Problemet påvirker ikke systemer før Mac OS X v10.4. Tak til Phillip Tejada fra Fruit Bat Software, som har rapporteret problemet.

• QuickDraw Manager

  CVE-ID: CVE-2006-4395

  Tilgængelig til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 op til Mac OS X v10.4.7, Mac OS X Server v10.4 op til Mac OS X Server v10.4.7

  Effekt: Åbning af et skadeligt PICT-billede med visse programmer kan medføre nedbrud i et program eller kørsel af vilkårlig kode

  Beskrivelse: Visse programmer igangsætter en ikke-understøttet QuickDraw-handling for at vise PICT-billeder. Ved omhyggeligt at sammensætte et beskadiget PICT-billede kan en hacker udløse beskadigelse af hukommelsen i disse programmer, hvilket kan føre til nedbrud af et program eller kørsel af vilkårlig kode. Denne opdatering håndterer problemet ved at forhindre den ikke-understøttede handling.

• SASL

  CVE-ID: CVE-2006-1721

  Tilgængelig til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 op til Mac OS X v10.4.7, Mac OS X Server v10.4 op til Mac OS X Server v10.4.7

  Effekt: Eksterne hackere kan muligvis udløse Denial-of-Service for en IMAP-server

  Beskrivelse: Et problem med understøttelsen af DIGEST-MD5-forhandling i Cyrus SASL kan medføre en segmenteringsfejl i IMAP-serveren med en områdeoverskrift, der er sammensat med et skadeligt formål. Denne opdatering håndterer problemet ved hjælp af forbedret håndtering af områdeoverskrifter i godkendelsesforsøg.

• WebCore

  CVE-ID: CVE-2006-3946

  Tilgængelig til: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 op til Mac OS X v10.4.7, Mac OS X Server v10.4 op til Mac OS X Server v10.4.7

  Effekt: Visning af en webside, der er fremstillet til skadelige formål, kan medføre kørsel af vilkårlig kode

  Beskrivelse: En fejl i hukommelseshåndteringen i forbindelse med WebKits håndtering af visse HTML-koder kunne give et skadeligt websted mulighed for at forårsage et nedbrud eller potentielt køre vilkårlig kode, når brugeren får vist webstedet. Denne opdatering håndterer problemet ved at forhindre den tilstand, der forårsager overløbet. Tak til Jens Kutilek fra Netzallee, Lurene Grenier – Senior Research Engineer hos Sourcefire VRT og Jose Avila III - Security Analyst hos ONZRA, som har rapporteret problemet.

• Workgroup Manager

  CVE-ID: CVE-2006-4399

  Tilgængelig til: Mac OS X Server v10.4 op til Mac OS X Server v10.4.7

  Effekt: Konti på en overordnet NetInfo-konto, der tilsyneladende bruger ShadowHash-adgangskoder, bruger muligvis stadig crypt

  Beskrivelse: Workgroup Manager tillader tilsyneladende skift af godkendelsestype fra crypt- til ShadowHash-adgangskoder på en overordnet NetInfo-konto, selv om dette skift rent faktisk ikke tillades. Opdatering af visningen af en konto på en overordnet NetInfo-konto indikerer fejlagtigt, at der stadig bruges crypt. Denne opdatering håndterer problemet ved at afvise, at administratorer vælger ShadowHash-adgangskoder til konti på en overordnet NetInfo-konto. Tak til Chris Pepper fra The Rockefeller University, som har rapporteret problemet.

Installationsnote

Softwareopdatering vil præsentere den opdatering, der gælder for din systemkonfiguration. Der skal kun bruges én opdatering.

Sikkerhedsopdatering 2006-006 installeres på systemer med Mac OS X v10.3.9 og Mac OS X Server v10.3.9.

Mac OS X v10.4.8 indeholder de sikkerhedsrettelser, der præsenteres i Sikkerhedsopdatering 2006-006 og installeres på Mac OS X v10.4 eller nyere samt på systemer med Mac OS X Server v10.4 eller nyere.