Om sikkerhedsopdatering 2009-005

I dette dokument beskrives sikkerhedsopdatering 2009-005.

Af hensyn til vores kunders sikkerhed omtaler, diskuterer eller bekræfter Apple ikke sikkerhedsanliggender, før en fuldstændig undersøgelse har fundet sted, og de relevante programrettelser eller versioner er tilgængelige. Hvis du vil læse mere om Apple-produktsikkerhed, kan du gå ind på webstedet Apple-produktsikkerhed.

Yderligere oplysninger om PGP-nøglen til Apple-produktsikkerhed kan ses i artiklen Sådan bruges PGP-nøglen til Apple Produktsikkerhed.

Hvor det er muligt, bruges der CVE-id'er til at henvise til yderligere oplysninger om sikkerhedsproblemer.

Du kan finde oplysninger om andre sikkerhedsopdateringer i artiklen "Apple-sikkerhedsopdateringer."

Sikkerhedsopdatering 2009-005

• Alias Manager

  CVE-id: CVE-2009-2800

  Fås til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Åbning af skadelige henvisningsarkiver kan forårsage pludselig applukning eller kørsel af vilkårlig kode

  Beskrivelse: Der findes et bufferoverløb i behandlingen af henvisningsarkiver. Åbning af et skadeligt henvisningsarkiv kan medføre pludselig applukning eller kørsel af vilkårlig kode. Denne opdatering løser problemet via forbedret kontrol af grænser. Problemet berører ikke Mac OS X v10.6-systemer. Tak til: Apple.

• CarbonCore

  CVE-id: CVE-2009-2803

  Fås til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Åbning af et arkiv med skadelig ressourceforgrening kan forårsage pludselig applukning eller kørsel af vilkårlig kode

  Beskrivelse: Der findes et problem med hukommelsesfejl i ressourceadministrationens behandling af ressourceforgreninger. Åbning af et arkiv med en skadelig ressourceforgrening kan medføre pludselig programlukning eller kørsel af vilkårlig kode. Denne opdatering løser problemet gennem forbedret validering af ressourceforgreninger. Problemet berører ikke Mac OS X v10.6-systemer. Tak til: Apple.

• ClamAV

  CVE-id: CVE-2009-1241, CVE-2009-1270, CVE-2008-6680, CVE-2009-1371, CVE-2009-1372

  Fås til: Mac OS X Server v10.5.8

  Effekt: Flere sårbarheder i ClamAV 0.94.2

  Beskrivelse: Der findes flere sårbarheder i ClamAV 0.94.2, hvor den mest alvorlige kan medføre kørsel af vilkårlig kode. Denne opdatering løser problemerne ved at opdatere ClamAV til version 0.95.2. ClamAV leveres kun med Mac OS X Server-systemer. Der findes flere oplysninger på ClamAVs websted på http://www.clamav.net/ Disse problemer påvirker ikke Mac OS X v10.6-systemer.

• ColorSync

  CVE-id: CVE-2009-2804

  Fås til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Visning af et skadeligt billede med en integreret ColorSync-profil kan medføre pludselig applukning eller kørsel af vilkårlig kode

  Beskrivelse: Der findes et heltalsoverløb i behandlingen af billeder med en integreret ColorSync-profil, hvilket kan føre til et heap-bufferoverløb. Åbning af et skadeligt billede med en integreret ColorSync-profil kan medføre pludselig applukning eller kørsel af vilkårlig kode. Denne opdatering løser problemet ved at udføre yderligere validering af ColorSync-profiler. Problemet berører ikke Mac OS X v10.6-systemer. Tak til: Apple.

• CoreGraphics

  CVE-id: CVE-2009-2805

  Fås til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Åbning af et skadeligt PDF-arkiv kan medføre pludselig applukning eller kørsel af vilkårlig kode

  Beskrivelse: Et heltalsoverløb i CoreGraphics' behandling af PDF-arkiver kan føre til et heap-bufferoverløb. Åbning af et PDF-arkiv med en skadelig JBIG2-stream kan medføre uventet applukning eller kørsel af vilkårlig kode. Denne opdatering løser problemet via forbedret kontrol af grænser. Tak til Will Dormann fra CERT/CC, som har rapporteret problemet. Problemet berører ikke Mac OS X v10.6-systemer.

• CoreGraphics

  CVE-id: CVE-2009-2468

  Fås til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Besøg på et skadeligt websted kan medføre pludselig applukning eller kørsel af vilkårlig kode

  Beskrivelse: Der findes et heap-bufferoverløb i tegningen af lange tekststrenge. Et besøg på et skadeligt websted kan medføre pludselig applukning eller kørsel af vilkårlig kode. Denne opdatering løser problemet via forbedret kontrol af grænser. Problemet berører ikke Mac OS X v10.6-systemer. Tak til Will Drewry fra Google Inc., som har rapporteret problemet.

• CUPS

  CVE-id: CVE-2009-0949

  Fås til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: En hacker kan muligvis nægte adgang til printerdelingstjenesten

  Beskrivelse: Der findes en reference til en null-pointer i CUPS. Ved at sende skadelige anmodninger til planlægger kan en hacker nægte adgang til printerdelingstjenesten. Denne opdatering løser problemet gennem forbedret validering af anmodninger til planlægger. Problemet berører ikke Mac OS X v10.6-systemer. Tak til Anibal Sacco fra CORE IMPACT Exploit Writing Team (EWT) hos Core Security Technologies for at rapportere problemet.

• CUPS

  CVE-id: CVE-2009-2807

  Fås til: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: En lokal bruger uden rettigheder kan få systemrettigheder

  Beskrivelse: Der findes et heap-bufferoverløb i CUPS USB-backend. Dette kan give en lokal bruger mulighed for at få systemrettigheder. Denne opdatering løser problemet via forbedret kontrol af grænser. Problemet påvirker ikke systemer før Mac OS X v10.5 eller Mac OS X v10.6.

• Flash Player-tilbehør

  CVE-id: CVE-2009-1862, CVE-2009-1863, CVE-2009-1864, CVE-2009-1865, CVE-2009-1866, CVE-2009-1867, CVE-2009-1868, CVE-2009-1869, CVE-2009-1870

  Fås til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Flere sårbarheder i Adobe Flash Player-tilbehør

  Beskrivelse: Der findes flere problemer i Adobe Flash Player-tilbehøret, hvor det mest alvorlige problem kan medføre kørsel af vilkårlig kode, når et skadeligt websted besøges. Problemerne løses ved at opdatere Flash Player-tilbehøret på Mac OS v10.5.8 til version 10.0.32.18 og til version 9.0.246.0 på Mac OS X v10.4.11. For systemer med Mac OS X v10.6 løses disse problemer i Mac OS X v10.6.1. Du kan finde flere oplysninger på Adobes websted på http://www.adobe.com/support/security/bulletins/apsb09-10.html

• ImageIO

  CVE-id: CVE-2009-2809

  Fås til: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Visning af skadelig PixarFilm-kodet TIFF-billede kan medføre pludselig applukning eller kørsel af vilkårlig kode

  Beskrivelse: Der findes flere problemer med hukommelsesfejl i ImageIOs behandling af PixarFilm-kodede TIFF-billeder. Visning af et skadeligt PixarFilm-kodet TIFF-billede kan medføre pludselig applukning eller kørsel af vilkårlig kode. Denne opdatering løser problemet ved at udføre yderligere validering af PixarFilm-kodede TIFF-billeder. Problemet berører ikke Mac OS X v10.6-systemer. Tak til: Apple.

• Launch Services

  CVE-id: CVE-2009-2811

  Fås til: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Der vises muligvis ikke en advarsel ved forsøg på at åbne downloadet indhold, der ikke er sikkert

  Beskrivelse: Denne opdatering føjer '.fileloc' til systemets liste over indholdstyper, som vil blive markeret med flag som potentielt usikre i visse tilfælde, f.eks. når de downloades fra en e-mail. Selvom disse indholdstyper ikke åbnes automatisk, kan de medføre kørsel af skadeligt indhold, hvis de åbnes manuelt. Denne opdatering forbedrer systemets evne til at give brugere besked før behandling af '.fileloc'-arkiver. Problemet berører ikke Mac OS X v10.6-systemer. Tak til: Apple.

• Launch Services

  CVE-id: CVE-2009-2812

  Fås til: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Besøg på et skadeligt websted kan medføre kørsel af vilkårlig kode

  Beskrivelse: Når en app downloades, analyserer Launch Services appens eksporterede dokumenttyper. Et designproblem i behandlingen af de eksporterede dokumenttyper kan medføre, at Launch Services knytter en sikker arkivendelse til et UTI (Uniform Type Identifier). Besøg på et skadeligt websted kan medføre, at en usikker arkivtype åbnes automatisk. Denne opdatering løser problemet gennem forbedret behandling af eksporterede dokumenttyper fra apps, der ikke er tillid til. Problemet påvirker ikke systemer før Mac OS X v10.5 eller Mac OS X v10.6. Tak til: Apple.

• MySQL

  CVE-id: CVE-2008-2079

  Fås til: Mac OS X Server v10.5.8

  Effekt: MySQL opdateres til version 5.0.82

  Beskrivelse: MySQL opdateres til version 5.0.82 for at løse et implementeringsproblem, som gør det muligt for en lokal bruger at få flere rettigheder. Dette problem påvirker kun Mac OS X Server-systemer. Problemet berører ikke Mac OS X v10.6-systemer. Du kan finde flere oplysninger på MySQLs websted på http://dev.mysql.com/doc/refman/5.0/en/news-5-0-82.html

• PHP

  CVE-id: CVE-2009-1271, CVE-2009-1272, CVE-2008-5498

  Fås til: Mac OS X v10.5, Mac OS X Server v10.5.8

  Effekt: Flere sårbarheder i PHP 5.2.8

  Beskrivelse: PHP opdateres til version 5.2.10 for at løse flere sårbarheder, hvor den mest alvorlige kan medføre kørsel af vilkårlig kode. Du kan finde flere oplysninger på PHP's websted på http://www.php.net/ Problemerne berører ikke Mac OS X v10.6-systemer.

• SMB

  CVE-id: CVE-2009-2813

  Fås til: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Aktivering af Windows File Sharing kan pludselig dele mapper

  Beskrivelse: Der findes en umarkeret fejltilstand i Samba. En bruger, som ikke har konfigureret et hjemmebibliotek, og som opretter forbindelse til tjenesten Windows File Sharing, vil kunne få adgang til indholdet i arkivsystemet ifølge de lokale arkivsystemtilladelser. Denne opdatering løser problemet ved at forbedre behandlingen af fejl ved løsning af stier. Problemet påvirker ikke systemer før Mac OS X v10.5 eller Mac OS X v10.6. Tak til J. David Hester fra LCG Systems National Institutes of Health for at rapportere dette problem.

• Wiki Server

  CVE-id: CVE-2009-2814

  Fås til: Mac OS X Server v10.5.8

  Effekt: En hacker kan få adgang til Wiki Server-brugerkonti

  Beskrivelse: Der findes et problem med scripting på tværs af websteder i Wiki Servers behandling af søgeanmodninger med data, der ikke er UTF-8-kodede. Dette kan give en hacker adgang til Wiki Server med de loginoplysninger, som Wiki Server bruger til at foretage søgningen. Denne opdatering løser problemet ved at indstille UTF-8 som standardtegnsættet i HTTP-svar. Problemet påvirker ikke systemer før Mac OS X v10.5 eller Mac OS X v10.6. Tak til: Apple.