Om sikkerhedsindholdet i OS X Yosemite v10.10

Dette dokument indeholder en beskrivelse af sikkerhedsindholdet i OS X Yosemite v10.10.

Af hensyn til vores kunders sikkerhed omtaler eller bekræfter Apple ikke sikkerhedsanliggender, før en fuldstændig undersøgelse har fundet sted, og de relevante programrettelser eller versioner er tilgængelige. Hvis du vil læse mere om Apple-produktsikkerhed, kan du gå ind på webstedet Apple-produktsikkerhed.

Yderligere oplysninger om PGP-nøglen til Apple-produktsikkerhed kan ses i artiklen "Sådan bruges PGP-nøglen til Apple-produktsikkerhed".

Hvor det er muligt, anvendes der CVE-id'er til at henvise til yderligere oplysninger om sikkerhedsproblemer.

Du kan finde oplysninger om andre sikkerhedsopdateringer i artiklen Apple-sikkerhedsopdateringer.

OS X Yosemite v10.10

  • 802.1X

    Effekt: En hacker kan få fat i Wi-Fi-adgangsoplysninger

    Beskrivelse: En hacker kan have udgivet sig for at været et Wi-Fi-adgangspunkt, tilbudt at godkende med LEAP, brudt MS-CHAPv1-hashen og brugt de afledte adgangsoplysninger til det pågældende adgangspunkt, selv om adgangspunktet understøtter mere sikre godkendelsesmetoder. Problemet er løst ved at deaktivere LEAP som standard.

    CVE-id

    CVE-2014-4364: Pieter Robyns, Bram Bonne, Peter Quax og Wim Lamotte fra Universiteit Hasselt

  • AFP-filserver

    Effekt: En hacker kan finde frem til alle systemets netværksadresser

    Beskrivelse: AFP-filserveren understøtter en kommando, som returnerer alle systemets netværksadresser. Problemet er løst ved at fjerne adresserne fra resultatet.

    CVE-id

    CVE-2014-4426: Craig Young fra Tripwire VERT

  • apache

    Effekt: Flere sikkerhedsrisici i Apache

    Beskrivelse: Der opstod flere sikkerhedsrisici i Apache, hvoraf de alvorligste kan muliggøre et DoS-angreb (Denial-of-Service). Problemerne er løst ved at opdatere til Apache-version 2.4.9.

    CVE-id

    CVE-2013-6438

    CVE-2014-0098

  • Programmet Sandbox

    Effekt: Et program, der er omfattet af sandbox-begrænsninger, kan misbruge tilgængeligheds-API'en

    Beskrivelse: Et program med sandbox-begrænsninger kan misbruge tilgængeligheds-API'en, uden at brugeren ved det. Problemet er løst ved at kræve administratorgodkendelse for at bruge tilgængeligheds-API'en for hvert enkelt program.

    CVE-id

    CVE-2014-4427: Paul S. Ziegler fra Reflare UG

  • Bash

    Effekt: Ved nogle konfigurationer kan en hacker muligvis udføre vilkårlige shell-kommandoer

    Beskrivelse: Der var et problem i Bash-parsingen af miljøvariabler. Problemet er løst ved forbedret parsing af miljøvariabler ved at sikre bedre registrering af slutningen af "function statement".

    Denne opdatering indeholder ligeledes den foreslåede ændring med CVE-id 2014-7169, som omhandler nulstilling af parser-tilstanden.

    Derudover indeholder denne opdatering indsættelse af et nyt navneområde til eksporterede funktioner ved at oprette en "function decorator" for at forhindre utilsigtet header-gennemløb til Bash. I navnene på alle miljøvariabler, der indfører funktionsdefinitionerne, skal præfikset "__BASH_FUNC<" og suffikset ">()" indgå for at forhindre utilsigtet funktions-passing via HTTP-headere.

    CVE-id

    CVE-2014-6271: Stephane Chazelas

    CVE-2014-7169: Tavis Ormandy

  • Bluetooth

    Effekt: En skadelig Bluetooth-inputenhed kan omgå pardannelse

    Beskrivelse: Der blev tilladt ukrypterede forbindelser fra Bluetooth-lavenergienheder i HID-klassen Hvis en Mac er blevet parret med en sådan enhed, kan en hacker få den godkendte enhed til at oprette forbindelse. Problemet er løst ved at afvise ukrypterede HID-forbindelser.

    CVE-id

    CVE-2014-4428: Mike Ryan fra iSEC Partners

  • CFPreferences

    Effekt: Indstillingen "Kræv adgangskode efter start af vågeblus eller skærmskåner" virker muligvis ikke før efter en genstart

    Beskrivelse: Der var et sessionsstyringsproblem ved behandling af systemindstillingerne. Problemet er løst ved forbedret sessionssporing.

    CVE-id

    CVE-2014-4425

  • Politik for certifikatgodkendelse

    Effekt: Opdatering af politikken for certifikatgodkendelse

    Beskrivelse: Politikken for certifikatgodkendelse blev opdateret. Den komplette liste med certifikater kan ses i artiklen http://support.apple.com/kb/HT6005?viewlocale=da_DK.

  • CoreStorage

    Effekt: En krypteret enhed kan forblive ulåst, når den skubbes ud

    Beskrivelse: Når en krypteret enhed logisk set blev skubbet ud, mens den var aktiv, blev enheden gjort passiv, men nøglerne blev bibeholdt, så den kunne aktiveres igen uden adgangskode. Problemet er løst ved at slette nøglerne ved udskubning.

    CVE-id

    CVE-2014-4430: Benjamin King fra See Ben Click Computer Services LLC, Karsten Iwen, Dustin Li (http://dustin.li/), Ken J. Takekoshi og andre anonyme brugere

  • CUPS

    Effekt: En lokal bruger kan køre en vilkårlig kode med systemrettigheder

    Beskrivelse: Når CUPS-webinterfacet behandlede filer, fulgte det symlinks. En lokal bruger kunne oprette symlinks til vilkårlige filer og hente dem via webinterfacet. Problemet er løst ved at fjerne tilladelsen til behandling af symlinks via CUPS-webinterfacet.

    CVE-id

    CVE-2014-3537

  • Dok

    Effekt: I nogle tilfælde var der synlige vinduer, selv om skærmen var låst

    Beskrivelse: Der var et statusadministrationsproblem ved behandling af skærmlåsen. Problemet er løst ved at forbedre statusstyringen.

    CVE-id

    CVE-2014-4431: Emil Sjölander fra Umeå Universitet

  • fdesetup

    Effekt: Kommandoen fdesetup kan medføre misvisende status for krypteringstilstanden på disken

    Beskrivelse: Efter opdatering af indstillingerne og inden genstart medførte kommandoen fdesetup en misvisende status. Problemet er løst ved at forbedre statusrapporteringen.

    CVE-id

    CVE-2014-4432

  • iCloud – Find min Mac

    Effekt: PIN-koden til iCloud-funktionen Mistet kan brydes med et brute force-angreb

    Beskrivelse: Der var et problem med statuspersistens ved hastighedsbegrænsning, som muliggjorde brute force-angreb på PIN-koden til iCloud-funktionen Mistet. Problemet er løst ved at forbedre statuspersistens også efter genstart.

    CVE-id

    CVE-2014-4435: knoy

  • IOAcceleratorFamily

    Effekt: Et program kan medføre DoS-angreb

    Beskrivelse: Der var en reference til en null-pointer i IntelAccelerator-driveren. Problemet er løst ved forbedret behandling af fejl.

    CVE-id

    CVE-2014-4373: cunzhang fra Venustech ADLAB

  • IOHIDFamily

    Effekt: Et skadeligt program kan muligvis køre vilkårlig kode med systemrettigheder

    Beskrivelse: Der var en reference til en null-pointer ved IOHIDFamily-behandling af key-mapping-egenskaber. Problemet er løst ved forbedret godkendelse af key-mapping-egenskaberne for IOHIDFamily.

    CVE-id

    CVE-2014-4405: Ian Beer fra Google Project Zero

  • IOHIDFamily

    Effekt: Et skadeligt program kan muligvis køre vilkårlig kode med systemrettigheder

    Beskrivelse: Der opstod et heap-bufferoverløb ved IOHIDFamily-behandling af key-mapping-egenskaber. Problemet er løst ved forbedret kontrol af grænser.

    CVE-id

    CVE-2014-4404: Ian Beer fra Google Project Zero

  • IOHIDFamily

    Effekt: Et program kan medføre DoS-angreb

    Beskrivelse: Der var et out-of-bounds-læseproblem i IOHIDFamily-driveren. Problemet er løst ved forbedret inputgodkendelse.

    CVE-id

    CVE-2014-4436: cunzhang fra Venustech ADLAB

  • IOHIDFamily

    Effekt: En bruger kan muligvis køre en vilkårlig kode med systemrettigheder

    Beskrivelse: Der var et out-of-bounds-skriveproblem i IOHIDFamily-driveren. Problemet er løst ved forbedret inputgodkendelse.

    CVE-id

    CVE-2014-4380: cunzhang fra Venustech ADLAB

  • IOKit

    Effekt: Et skadeligt program kan muligvis læse ikke-initialiserede data fra kernehukommelsen

    Beskrivelse: Der var et problem med ikke-initialiseret hukommelsesadgang ved behandling af IOKit-funktioner. Problemet er løst ved forbedret hukommelsesinitialisering.

    CVE-id

    CVE-2014-4407: @PanguTeam

  • IOKit

    Effekt: Et skadeligt program kan muligvis køre vilkårlig kode med systemrettigheder

    Beskrivelse: Der var et godkendelsesproblem ved behandling af nogle metadatafelter i IODataQueue-objekter. Problemet er løst ved forbedret godkendelse af metadata.

    CVE-id

    CVE-2014-4388: @PanguTeam

  • IOKit

    Effekt: Et skadeligt program kan muligvis køre vilkårlig kode med systemrettigheder

    Beskrivelse: Der var et godkendelsesproblem ved behandling af nogle metadatafelter i IODataQueue-objekter. Problemet er løst ved forbedret godkendelse af metadata.

    CVE-id

    CVE-2014-4418: Ian Beer fra Google Project Zero

  • Kernel

    Effekt: En lokal bruger kan muligvis se opsætningen af kernehukommelsen

    Beskrivelse: Der var flere problemer med ikke-initialiseret hukommelse i netværksstatistikgrænsefladen, hvilket medførte afsløring af kernehukommelsesindholdet. Problemet er løst ved yderligere hukommelsesinitialisering.

    CVE-id

    CVE-2014-4371: Fermin J. Serna fra Google Security Team

    CVE-2014-4419: Fermin J. Serna fra Google Security Team

    CVE-2014-4420: Fermin J. Serna fra Google Security Team

    CVE-2014-4421: Fermin J. Serna fra Google Security Team

  • Kernel

    Effekt: Et arkivsystem med skadelig tilpasning kan medføre pludselig systemlukning eller kørsel af vilkårlig kode

    Beskrivelse: Der var et heap-baseret bufferoverløb ved behandling af HFS-resource forks. Et arkivsystem med skadelig tilpasning kan medføre pludselig systemlukning eller kørsel af vilkårlig kode med kernerettigheder. Problemet er løst ved forbedret kontrol af grænser.

    CVE-id

    CVE-2014-4433: Maksymilian Arciemowicz

  • Kernel

    Effekt: Et arkivsystem med skadelig tilpasning kan medføre pludselig systemlukning

    Beskrivelse: Der var et problem med NULL-dereference ved behandling af HFS-arkivnavne. Et arkivsystem med skadelig tilpasning kan medføre pludselig systemlukning. Problemet er løst ved at undgå NULL-dereference.

    CVE-id

    CVE-2014-4434: Maksymilian Arciemowicz

  • Kernel

    Effekt: En lokal bruger kan fremkalde pludselig systemlukning eller kørsel af vilkårlig kode i kernen

    Beskrivelse: Der var et double free-problem ved behandling af Mach-porte. Problemet er løst ved forbedret godkendelse af Mach-porte.

    CVE-id

    CVE-2014-4375: En anonym anmelder

  • Kernel

    Effekt: En person med en privilegeret netværksposition kan forårsage DoS (Denial-of-Service).

    Beskrivelse: Der var et problem med race condition ved behandling af IPv6-pakker. Problemet er løst ved forbedret kontrol af låsefunktionen.

    CVE-id

    CVE-2011-2391: Marc Heuse

  • Kernel

    Effekt: En lokal bruger kan fremkalde pludselig systemlukning eller kørsel af vilkårlig kode i kernen

    Beskrivelse: Der var et out-of-bounds-læseproblem i rt_setgate. Det kunne medføre afsløring af oplysninger eller beskadiget hukommelse. Problemet er løst ved forbedret kontrol af grænser.

    CVE-id

    CVE-2014-4408

  • Kernel

    Effekt: En lokal bruger kan forårsage pludselig systemlukning

    Beskrivelse: Der var et problem med "reachable panic" ved behandling af meddelelser, der sendes til systemstyringssokler. Problemet er løst ved yderligere godkendelse af meddelelser.

    CVE-id

    CVE-2014-4442: Darius Davis fra VMware

  • Kernel

    Effekt: Nogle foranstaltninger til kernehærdning blev tilsidesat

    Beskrivelse: Generatoren af vilkårlige tal, der er brugt i nogle foranstaltninger til kernehærdning tidligt i startprocessen, var ikke kryptografisk sikker. Noget af outputtet kunne udledes fra brugerområdet, hvilket gjorde det muligt at tilsidesætte hærdningsforanstaltningerne Problemet er løst ved at anvende en kryptografisk sikker algoritme.

    CVE-id

    CVE-2014-4422: Tarjei Mandt fra Azimuth Security

  • LaunchServices

    Effekt: Et lokalt program kan omgå sandbox-begrænsningerne

    Beskrivelse: LaunchServices-interfacet til indstilling af indholdstype-handlere gjorde det muligt for sandbox-begrænsede programmer at angive handlere for eksisterende indholdstyper. Et angrebet program kan bruge dette til at omgå sandbox-begrænsningerne. Problemet er løst ved at lukke for sandbox-begrænsede programmers mulighed for at angive indholdstype-handlere.

    CVE-id

    CVE-2014-4437: Meder Kydyraliev fra Google Security Team

  • LoginWindow

    Effekt: Skærmen låses muligvis ikke i nogle tilfælde

    Beskrivelse: Der var et problem med race condition i LoginWindow, som nogle gange forhindrede skærmen i at låse. Problemet er løst ved at ændre operationsrækkefølgen.

    CVE-id

    CVE-2014-4438: Harry Sintonen fra nSense, Alessandro Lobina fra Helvetia Insurances og Patryk Szlagowski fra Funky Monkey Labs

  • Mail

    Effekt: Mail kan sende e-mails til uønskede modtagere

    Beskrivelse: En inkonsekvens i brugergrænsefladen i programmet Mail medførte, at e-mails blev sendt til adresser, der var fjernet fra modtagerlisten. Problemet er løst ved forbedrede konsekvenskontroller af brugergrænsefladen.

    CVE-id

    CVE-2014-4439: Patrick J Power fra Melbourne, Australien

  • MCX Desktop-konfigurationsbeskrivelser

    Effekt: Når mobilkonfigurationsbeskrivelser blev afinstalleret, blev de tilhørende indstillinger ikke fjernet

    Beskrivelse: Webproxyindstillinger, der er installeret via en mobilkonfigurationsbeskrivelse, blev ikke fjernet, da beskrivelsen blev afinstalleret. Problemet er løst ved forbedret behandling af afinstallering af beskrivelser.

    CVE-id

    CVE-2014-4440: Kevin Koster fra Cloudpath Networks

  • NetFS Client Framework

    Effekt: Arkivdeling kan komme i en funktion, som ikke kan slås fra

    Beskrivelse: Der var et statusadministrationsproblem i arkivdelingsframeworket. Problemet er løst ved at forbedre state management.

    CVE-id

    CVE-2014-4441: Eduardo Bonsi fra BEARTCOMMUNICATIONS

  • QuickTime

    Effekt: Afspilning af et m4a-arkiv med skadelig tilpasning kan medføre pludselig programlukning eller kørsel af vilkårlig kode

    Beskrivelse: Der var et bufferoverløb ved håndtering af lydeksempler Problemet er løst ved forbedret kontrol af grænser.

    CVE-id

    CVE-2014-4351: Karl Smith fra NCC Group

  • Safari

    Effekt: Historikken over nylig viste sider på en åben fane bliver muligvis stående efter rydning af historikken

    Beskrivelse: Rydning af historikken i Safari ryddede ikke historikken tilbage/fremad for åben faner. Problemet er løst ved at rydde historikken tilbage/fremad.

    CVE-id

    CVE-2013-5150

  • Safari

    Effekt: Hvis man vælger at modtage push-beskeder fra et websted med skadelig tilpasning, kan det medføre, at fremtidige push-beskeder fra Safari ikke vises

    Beskrivelse: Der var et problem med uopdagede undtagelser i SafariNotificationAgents behandling af push-beskeder fra Safari. Problemet er løst ved forbedret behandling af push-beskeder fra Safari.

    CVE-id

    CVE-2014-4417: Marek Isalski fra Faelix Limited

  • Secure Transport

    Effekt: En hacker kan dekryptere SSL-beskyttede data

    Beskrivelse: Der er konstateret angreb på sikkerheden i SSL 3.0, hvis en chiffer-suite bruger en blokchiffer i CBC-funktion. Ved at blokere forbindelsesforsøg til TLS 1.0 eller en nyere version kan en hacker fremtvinge, at SSL 3.0 bruges, selv om serveren understøtter en sikrere TLS-version. Problemet er løst ved at slå CBC-chiffer-suiter fra, hvis TLS-forbindelsesforsøg slår fejl.

    CVE-id

    CVE-2014-3566: Bodo Moeller, Thai Duong og Krzysztof Kotowicz fra Google Security Team

  • Sikkerhed

    Effekt: En ekstern hacker kan muligvis fremkalde denial of service

    Beskrivelse: Der var et problem med NULL-dereference ved behandling af ASN.1-data. Problemet er løst ved forbedret godkendelse af ASN.1-data.

    CVE-id

    CVE-2014-4443: Coverity

  • Sikkerhed

    Effekt: En lokal bruger kan have adgang til en anden brugers Kerberos-billetter

    Beskrivelse: Der var et statusadministrationsproblem i SecurityAgent. Under hurtigt brugerskift kan en Kerberos-billet for den bruger, der skiftes til, nogle gange placeres i den forrige brugers buffer. Problemet er løst ved at forbedre state management.

    CVE-id

    CVE-2014-4444: Gary Simon fra Sandia National Laboratories, Ragnar Sundblad fra KTH Royal Institute of Technology, Eugene Homyakov fra Kaspersky Lab

  • Sikkerhed - kodesignering

    Effekt: Det forhindres muligvis ikke, at svindelprogrammer åbnes

    Beskrivelse: Programmer, der er signeret i OS X-udgaver før OS X Mavericks 10.9, og apps, der anvender brugerdefinerede ressourceregler, kan være følsomme over for svindel, som ikke ødelægger signaturen. På computere, der er indstillet til kun at tillade programmer fra Mac App Store og velkendte programmører, kan et overført ændret program have fået tilladelse til at køre, som om det var godkendt. Problemet er løst ved at ignorere signaturer for softwarepakker med ressourcelommer, som udelader ressourcer, der kan påvirke kørslen. Disse ændringer er indeholdt i OS X Mavericks v10.9.5 og sikkerhedsopdatering 2014-004 til OS X Mountain Lion v10.8.5.

    CVE-id

    CVE-2014-4391: Christopher Hickstein, som arbejder for HP's Zero Day Initiative

Bemærk: OS X Yosemite indeholder Safari 8.0, som sikkerhedsindholdet i Safari 7.1 er indeholdt i. Yderligere oplysninger kan ses i artiklen Om sikkerhedsindholdet i Safari 7.1.

Oplysninger om produkter, der ikke er fremstillet af Apple, eller selvstændige websteder, der ikke er styret eller testet af Apple, er ikke udtryk for anbefalinger eller godkendelser fra Apples side. Apple påtager sig intet ansvar med hensyn til udvalget af disse produkter, produkternes funktionsevne eller brugen af produkterne. Apple giver ingen garanti for, at indholdet på websteder, som Apple ikke står bag, er pålideligt og præcist. Det er forbundet med en naturlig risiko at bruge internettet. Kontakt producenten for at få yderligere oplysninger. Andre virksomheds- og produktnavne kan være varemærker tilhørende de respektive ejere.

Udgivelsesdato: