Om Security Update 2006-003

Dette dokument beskriver Security Update 2006-003, der kan hentes og installeres via Softwareopdatering eller fra Supportoverførsler.

Med henblik på beskyttelse af vore kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en fuldstændig undersøgelse har fundet sted, og relevante programrettelser eller versioner er tilgængelige. Hvis du vil læse mere om Apple Produktsikkerhed, kan du besøge webstedet Apple Produktsikkerhed.

Gå til Sådan bruges PGP-nøglen til Apple Produktsikkerhed for at få oplysninger om PGP-nøglen til Apple Produktsikkerhed.

Hvor det er muligt, anvendes CVE-ID'er til at angive sikkerhedshullerne for yderligere oplysninger.

Gå til Apple-sikkerhedsopdateringer, hvis du vil læse om andre sikkerhedsopdateringer.

Security Update 2006-003

AppKit

CVE-ID: CVE-2006-1439

Tilgængelig til: Mac OS X version 10.4.6, Mac OS X Server version 10.4.6

Resultat: Tegn, der angives i et sikkert tekstfelt, kan læses af andre programmer i den samme vinduessession.

Beskrivelse: Under visse omstændigheder aktiveres sikkert hændelsesinput muligvis ikke for NSSecureTextField, når du skifter mellem tekstinputfelter. Det betyder, at visse inputtegn og tastaturhændelser kan ses af andre programmer i den samme vinduessession. Dette problem løses med denne opdatering, som implementerer korrekt aktivering af sikkert hændelsesinput. Dette problem påvirker ikke systemer før Mac OS X v10.4.

AppKit, ImageIO

CVE-ID: CVE-2006-1982, CVE-2006-1983, CVE-2006-1984

Tilgængelig til: Mac OS X version 10.3.9, Mac OS X Server version 10.3.9, Mac OS X version 10.4.6 og Mac OS X Server version 10.4.6

Resultat: Visning af et GIF- eller TIFF-billede, der er oprettet med henblik på at gøre skade, kan muliggøre kørsel af vilkårlig programkode.

Beskrivelse: Håndtering af et forkert udformet GIF- eller TIFF-billede kan muliggøre kørsel af vilkårlig programkode, hvis der overføres et billede, der er oprettet med henblik på at gøre skade. Dette problem påvirker programmer, som bruger ImageIO (Mac OS X v10.4 Tiger) eller AppKit (Mac OS X v10.3 Panther) til læsning af billeder. Denne opdatering løser problemet med implementering af yderligere validering af GIF- og TIFF-billeder.

BOM

CVE-ID: CVE-2006-1985

Tilgængelig til: Mac OS X version 10.3.9, Mac OS X Server version 10.3.9, Mac OS X version 10.4.6 og Mac OS X Server version 10.4.6

Resultat: Udvidelse af et arkiv kan muliggøre kørsel af vilkårlig programkode.

Beskrivelse: Særligt udformede arkiver, f.eks. et .zip-arkiv, med lange stinavne kan gøre det muligt for en hacker at fremkalde et heapbufferoverløb i BOM. Dette kan muliggøre kørsel af vilkårlig programkode. BOM bruges til håndtering af arkiver i Finder og andre programmer. Denne opdatering løser problemet gennem korrekt håndtering af grænsebetingelser.

BOM

CVE-ID: CVE-2006-1440

Tilgængelig til: Mac OS X version 10.3.9, Mac OS X Server version 10.3.9, Mac OS X version 10.4.6 og Mac OS X Server version 10.4.6

Resultat: Udvidelse af et arkiv, der er oprettet med henblik på at gøre skade, kan muliggøre oprettelse eller overskrivning af vilkårlige arkiver.

Beskrivelse: Et problem i håndteringen af arkiver med symbolske links mellem biblioteker kan føre til, at der oprettes eller overskrives arkiver i BOM på vilkårlige placeringer, som den bruger, der udvider arkivet, har adgang til. BOM bruges til håndtering af arkiver i Finder og andre programmer. Opdateringen løser problemet ved at sikre, at arkiver, der udtrækkes fra et arkiv, ikke placeres uden for destinationsbiblioteket.

CFNetwork

CVE-ID: CVE-2006-1441

Tilgængelig til: Mac OS X version 10.4.6, Mac OS X Server version 10.4.6

Resultat: Besøg på et websted, der er oprettet med henblik på at gøre skade, kan muliggøre kørsel af vilkårlig programkode.

Beskrivelse: Et heltalsoverløb i håndteringen af forkortede overførselskoder kan muliggøre kørsel af vilkårlig programkode. CFNetwork bruges af Safari og andre programmer. Denne opdatering løser problemet ved at implementere yderligere validering. Problemet påvirker ikke systemer før Mac OS X version 10.4.

ClamAV

CVE-ID: CVE-2006-1614, CVE-2006-1615, CVE-2006-1630

Tilgængelig til: Mac OS X Server version 10.4.6

Resultat: ClamAV-behandling af e-post, der er oprettet med henblik på at gøre skade, kan muliggøre kørsel af vilkårlig programkode.

Beskrivelse: ClamAV-virusscanningssoftwaren er blevet opdateret med sikkerhedsrettelser i den nyeste version. ClamAV blev lanceret til scanning af e-post i Mac OS X Server version 10.4. Det alvorligste af disse problemer kan muliggøre kørsel af vilkårlig programkode med ClamAV-rettigheder. Du kan finde flere oplysninger på ClamAv-webstedet på http://www.clamav.net.

CoreFoundation

CVE-ID: CVE-2006-1442

Tilgængelig til: Mac OS X version 10.3.9, Mac OS X Server version 10.3.9, Mac OS X version 10.4.6 og Mac OS X Server version 10.4.6

Resultat: Registrering af pakker, der ikke er tillid til, kan muliggøre kørsel af vilkårlig programkode.

Beskrivelse: Pakker registreres implicit af programmer eller af systemet under visse omstændigheder. En funktion i pakke-API'et tillader dynamisk indlæsning og afvikling af biblioteker i forbindelse med registrering af en pakke, også selvom klientprogrammet ikke eksplicit har anmodet om det. Vilkårlig programkode fra en pakke, der ikke er tillid til, kan dermed køres uden handling fra brugerens side. Opdateringen løser problemet ved kun at indlæse og afvikle biblioteker på det korrekte tidspunkt.

CoreFoundation

CVE-ID: CVE-2006-1443

Tilgængelig til: Mac OS X version 10.3.9, Mac OS X Server version 10.3.9, Mac OS X version 10.4.6 og Mac OS X Server version 10.4.6

Resultat: Konvertering af strenge til arkivsystemformat kan muliggøre kørsel af vilkårlig programkode.

Beskrivelse: Et heltalsunderløb under behandlingen af grænsebetingelser i CFStringGetFileSystemRepresentation kan muliggøre kørsel af vilkårlig programkode. Problemet kan opstå og muliggøre kørsel af vilkårlig programkode i programmer, som bruger dette API eller et relateret API, f.eks. NSFileManager getFileSystemRepresentation:maxLength:withPath:. Opdateringen løser problemet gennem korrekt håndtering af grænsebetingelser.

CoreGraphics

CVE-ID: CVE-2006-1444

Tilgængelig til: Mac OS X version 10.4.6, Mac OS X Server version 10.4.6

Resultat: Tegn, der angives i et sikkert tekstfelt, kan læses af andre programmer i den samme vinduessession.

Beskrivelse: Quartz Event Services gør det muligt for programmer at overvåge og redigere grundlæggende brugerinputhændelser. Det er normalt ikke muligt for programmer at registrere hændelser, når sikkert hændelsesinput er aktiveret. Hvis "Aktiver adgang for hjælpemiddelenheder" er slået til, er det dog muligt at registrere hændelser ved hjælp af Quartz Event Services, selvom sikkert hændelsesinput er aktiveret. Denne opdatering løser problemet gennem filtrering af hændelser, når sikkert hændelsesinput er aktiveret. Problemet vedrører ikke systemer før Mac OS X v10.4. Tak til Damien Bobillot, som har rapporteret dette problem.

Finder

CVE-ID: CVE-2006-1448

Tilgængelig til: Mac OS X version 10.3.9, Mac OS X Server version 10.3.9, Mac OS X version 10.4.6 og Mac OS X Server version 10.4.6

Resultat: Start af et internetplaceringselement kan muliggøre kørsel af vilkårlig programkode.

Beskrivelse: Internetplaceringselementer er enkle URL-beholdere, som refererer til URL-adresser af typen http://, ftp:// og file:// samt enkelte andre URL-adresseskemaer. Disse forskellige typer internetplaceringselementer er visuelt forskellige og burde være sikre at starte eksplicit. URL-adresseskemaet er dog muligvis forskelligt fra internetplaceringstypen. Det betyder, at en hacker kan have held til at overbevise en bruger om at starte et tilsyneladende uskadeligt element, f.eks. en internetplacering med http://, men hvor der i stedet bruges et andet URL-skema. Dette kan i visse tilfælde muliggøre kørsel af vilkårlig programkode. Dette problem løses med denne opdatering, som begrænser URL-adresseskemaet baseret på internetplaceringstypen.

FTPServer

CVE-ID: CVE-2006-1445

Tilgængelig til: Mac OS X version 10.3.9, Mac OS X Server version 10.3.9, Mac OS X version 10.4.6 og Mac OS X Server version 10.4.6

Resultat: FTP-handlinger, som udføres af godkendte FTP-brugere, kan føre til kørsel af vilkårlig programkode.

Beskrivelse: Flere problemer i håndteringen af FTP-serverstinavne kan føre til bufferoverløb. En godkendt hacker kan udløse dette overløb, som kan muliggøre kørsel af skadelig programkode med FTP-serverrettigheder. Denne opdatering løser problemet ved at sikre korrekt håndtering af grænsebetingelser.

Flash-afspiller

CVE-ID: CVE-2005-2628, CVE-2006-0024

Tilgængelig til: Mac OS X version 10.3.9, Mac OS X Server version 10.3.9, Mac OS X version 10.4.6 og Mac OS X Server version 10.4.6

Resultat: Afspilning af Flash-indhold kan muliggøre kørsel af vilkårlig programkode.

Beskrivelse: Der findes nogle alvorlige sikkerhedsrisici i Adobe Flash Player, som kan muliggøre kørsel af vilkårlig programkode i forbindelse med indlæsning af særligt udformede arkiver. Du kan finde flere oplysninger på Adobes websted på http://www.adobe.com/devnet/security/security_zone/apsb06-03.html. Denne opdatering indeholder Flash Player version 8.0.24.0, hvor dette problem er løst.

ImageIO

CVE-ID: CVE-2006-1552

Tilgængelig til: Mac OS X version 10.4.6, Mac OS X Server version 10.4.6

Resultat: Visning af et JPEG-billede, der er oprettet med henblik på at gøre skade, kan muliggøre kørsel af vilkårlig programkode.

Beskrivelse: Et heltalsoverløb i forbindelse med behandlingen af JPEG-metadata kan medføre et heapbufferoverløb. En hacker kan udløse kørsel af vilkårlig programkode i forbindelse med visning af et særligt udformet billede med ukorrekte JPEG-metadata. Denne opdatering korrigerer problemet ved at udføre yderligere validering af billeder. Dette problem påvirker ikke systemer før Mac OS X v10.4. Tak til Brent Simmons fra NewsGator Technologies, Inc., som har rapporteret dette problem.

Nøglering

CVE-ID: CVE-2006-1446

Tilgængelig til: Mac OS X version 10.3.9, Mac OS X Server version 10.3.9, Mac OS X version 10.4.6 og Mac OS X Server version 10.4.6

Resultat: Et program kan muligvis få adgang til at bruge nøgleringselementer, når nøgleringen er låst.

Beskrivelse: Når en nøglering er låst, er det ikke muligt for programmer at få adgang til de elementer, som nøgleringen indeholder, uden først at anmode om, at den pågældende nøglering låses op. Et program, som har indhentet en reference til et nøgleringselement, før nøgleringen blev låst, kan under visse omstændigheder fortsat have adgang til at bruge det pågældende nøgleringselement, uafhængigt af om nøgleringen er låst eller ej. Problemet løses med denne opdatering ved at afvise anmodninger om at bruge nøgleringselementer, når nøgleringen er låst. Tak til Tobias Hahn fra HU Berlin, som har rapporteret dette problem.

LaunchServices

CVE-ID: CVE-2006-1447

Tilgængelig til: Mac OS X version 10.4.6, Mac OS X Server version 10.4.6

Resultat: Visning af et websted, der er oprettet med henblik på at gøre skade, kan muliggøre kørsel af vilkårlig programkode.

Beskrivelse: Lange arkivtypenavne kan medføre, at overførselsgodkendelse ikke kan bestemme, hvilket program der skal bruges til åbning af et element. Det betyder, at en hacker kan få held til at omgå overførselsgodkendelse, så usikkert indhold automatisk åbnes i Safari, hvis indstillingen "Åbn sikre arkiver efter overførsel" er slået til, og visse programmer ikke er installeret. Problemet løses med denne opdatering, som sikrer forbedret kontrol med arkivtypenavne. Dette problem påvirker ikke systemer før Mac OS X v10.4.

libcurl

CVE-ID: CVE-2005-4077

Tilgængelig til: Mac OS X version 10.4.6, Mac OS X Server version 10.4.6

Resultat: URL-håndtering i libcurl kan muliggøre kørsel af vilkårlig programkode.

Beskrivelse: Der opstår bufferoverløb i forbindelse med URL-håndtering i open source HTTP-biblioteket libcurl. Problemet kan opstå og muliggøre kørsel af vilkårlig programkode i programmer, som bruger curl til URL-håndtering. Problemet løses med denne opdatering, som opdaterer libcurl til version 7.15.1. Problemet påvirker ikke systemer før Mac OS X v10.4.

Mail

CVE-ID: CVE-2006-1449

Tilgængelig til: Mac OS X version 10.3.9, Mac OS X Server version 10.3.9, Mac OS X version 10.4.6 og Mac OS X Server version 10.4.6

Resultat: Visning af en e-post, der er oprettet med henblik på at gøre skade, kan muliggøre kørsel af vilkårlig programkode.

Beskrivelse: Det er muligt for en hacker at udløse et heltalsoverløb med en særligt udformet e-post med MacMIME-bilag. Dette kan muliggøre kørsel af vilkårlig programkode med de rettigheder, som den pågældende Mail-bruger er tildelt. Problemet løses med denne opdatering, som implementerer ekstra godkendelse i forbindelse med e-post.

Mail

CVE-ID: CVE-2006-1450

Tilgængelig til: Mac OS X version 10.3.9, Mac OS X Server version 10.3.9, Mac OS X version 10.4.6 og Mac OS X Server version 10.4.6

Resultat: Visning af en e-post, der er oprettet med henblik på at gøre skade, kan muliggøre kørsel af vilkårlig programkode.

Beskrivelse: Håndtering af ugyldige farveoplysninger i e-post med formateret tekst kan føre til tildeling og initialisering af vilkårlige klasser. Dette kan muliggøre kørsel af vilkårlig programkode med de rettigheder, som den aktuelle Mail-bruger er tildelt. Problemet løses med denne opdatering, som implementerer korrekt håndtering af forkert udformede tekstdata.

MySQL Manager

CVE-ID: CVE-2006-1451

Tilgængelig til: Mac OS X Server version 10.4.6

Resultat: Det er muligt at få adgang til MySQL-databasen med et tom adgangskode.

Beskrivelse: I forbindelse med den indledende opsætning af en MySQL-databaseserver ved hjælp af MySQL Manager, oprettes der muligvis en adgangskode af typen "New MySQL root password" (Ny rodadgangskode til MySQL). Adgangskoden bruges dog ikke i praksis. Rodadgangskoden til MySQL er derfor fortsat tom. Det er derefter muligt for en lokal bruger at få adgang til MySQL-databasen med fulde rettigheder. Problemet løses med denne opdatering, som sikrer, at den angivne adgangskode arkiveres. Dette problem berører ikke systemer tidligere end Mac OS X v10.4. Tak til Ben Low fra Ben Low, som har rapporteret dette problem.

Billedfremviser

CVE-ID: CVE-2006-1452

Tilgængelig til: Mac OS X version 10.4.6, Mac OS X Server version 10.4.6

Resultat: Visning af et mappehierarki, der er oprettet med henblik på at gøre skade, kan muliggøre kørsel af vilkårlig programkode.

Beskrivelse: Visning af meget dybe mappehierarkier i Billedfremviser kan medføre et stakbufferoverløb. En hacker kan udløse kørsel af vilkårlig programkode, når særligt konstruerede mappehierarkier åbnes i Billedfremviser. Dette problem påvirker ikke systemer før Mac OS X v10.4.

QuickDraw

CVE-ID: CVE-2006-1453, CVE-2006-1454

Tilgængelig til: Mac OS X version 10.3.9, Mac OS X Server version 10.3.9, Mac OS X version 10.4.6 og Mac OS X Server version 10.4.6

Resultat: Visning af et PICT-billede, der er oprettet med henblik på at gøre skade, kan muliggøre kørsel af vilkårlig programkode.

Beskrivelse: Der findes to problemer i QuickDraw i forbindelse med behandling af PICT-billeder. Forkert udformede skrifttypeoplysninger kan udløse et overløb i stakbuffer, og forkert udformede billeddata kan udløse et overløb i heapbuffer. En hacker kan få adgang til at køre vilkårlig programkode i forbindelse med visning af et særligt udformet PICT-billede, der er oprettet med henblik på at gøre skade. Denne opdatering korrigerer problemet ved at udføre yderligere validering af PICT-billeder. Tak til Mike Price fra McAfee AVERT Labs, som har rapporteret dette problem.

QuickTime Streaming Server.

CVE-ID: CVE-2006-1455

Tilgængelig til: Mac OS X Server version 10.3.9, Mac OS X Server version 10.4.6

Resultat: En forkert udformet QuickTime-film kan medføre, at QuickTime Streaming Server går ned.

Beskrivelse: En QuickTime-film, hvor der mangler et spor, kan muliggøre forsøg på at frigive en null-pointer, så serverprocessen går ned. Dette medfører, at aktive klientforbindelser afbrydes. Serveren genstartes dog automatisk. Opdateringen løser problemet ved at rapportere en fejl i forbindelse med forkert udformede film.

QuickTime Streaming Server.

CVE-ID: CVE-2006-1456

Tilgængelig til: Mac OS X Server version 10.3.9, Mac OS X Server version 10.4.6

Resultat: RTSP-anmodninger, der er oprettet med henblik på at fremkalde skade, kan medføre programnedbrud eller muliggøre kørsel af vilkårlig programkode.

Beskrivelse: Det er muligt for en hacker at fremkalde et bufferoverløb i forbindelse med logføring af meddelelser ved hjælp af en særligt udformet RTSP-anmodning. Dette kan muliggøre kørsel af vilkårlig programkode med QuickTime Streaming Server-rettigheder. Denne opdatering løser problemet ved at sikre korrekt håndtering af grænsebetingelser. Tak til forskerteamet fra Mu Security, som har rapporteret dette problem.

Ruby

CVE-ID: CVE-2005-2337

Tilgængelig til: Mac OS X version 10.3.9, Mac OS X Server version 10.3.9, Mac OS X version 10.4.6 og Mac OS X Server version 10.4.6

Resultat: Det er muligt at omgå sikre niveaubegrænsninger i Ruby.

Beskrivelse: Scriptsproget Ruby har en mekanisme kaldet "sikre niveauer", som bruges til at begrænse bestemte handlinger. Mekanismen bruges oftest i forbindelse med afvikling af privilegerede Ruby-programmer eller Ruby-netværksprogrammer. Det kan under visse omstændigheder være muligt for en hacker at omgå begrænsningerne i disse programmer. Problemet påvirker ikke programmer, som ikke anvender sikre niveauer. Problemet løses med denne opdatering, som sikrer, at det ikke er muligt at omgå sikre niveauer.

Safari

CVE-ID: CVE-2006-1457

Tilgængelig til: Mac OS X version 10.4.6, Mac OS X Server version 10.4.6

Resultat: Besøg på websteder, der er oprettet med henblik på at gøre skade, kan føre til arkivmanipulation eller kørsel af vilkårlig programkode.

Beskrivelse: Arkiver udvides automatisk, når indstillingen "Åbn sikre arkiver efter overførsel" er aktiveret i Safari. Hvis arkivet indeholder et symbolsk link, overføres det symbolske destinationslink muligvis til brugerens skrivebord og startes. Problemet løses med denne opdatering, som deaktiverer fortolkning af overførte symbolske links. Dette problem påvirker ikke systemer før Mac OS X v10.4.

Udgivelsesdato: 28. januar 2016