Om sikkerhedsindholdet i OS X Yosemite v10.10

Dette dokument indeholder en beskrivelse af sikkerhedsindholdet i OS X Yosemite v10.10.

Af hensyn til vores kunders sikkerhed omtaler eller bekræfter Apple ikke sikkerhedsanliggender, før en fuldstændig undersøgelse har fundet sted, og de relevante programrettelser eller versioner er tilgængelige. Hvis du vil læse mere om Apple-produktsikkerhed, kan du gå ind på webstedet Apple-produktsikkerhed.

Yderligere oplysninger om PGP-nøglen til Apple-produktsikkerhed kan ses i artiklen "Sådan bruges PGP-nøglen til Apple-produktsikkerhed".

Hvor det er muligt, anvendes der CVE-id'er til at henvise til yderligere oplysninger om sikkerhedsproblemer.

Du kan finde oplysninger om andre sikkerhedsopdateringer i artiklen Apple-sikkerhedsopdateringer.

OS X Yosemite v10.10

• 802.1X

  Effekt: En hacker kan få fat i Wi-Fi-adgangsoplysninger

  Beskrivelse: En hacker kan have udgivet sig for at været et Wi-Fi-adgangspunkt, tilbudt at godkende med LEAP, brudt MS-CHAPv1-hashen og brugt de afledte adgangsoplysninger til det pågældende adgangspunkt, selv om adgangspunktet understøtter mere sikre godkendelsesmetoder. Problemet er løst ved at deaktivere LEAP som standard.

  CVE-id

  CVE-2014-4364: Pieter Robyns, Bram Bonne, Peter Quax og Wim Lamotte fra Universiteit Hasselt

• AFP-filserver

  Effekt: En hacker kan finde frem til alle systemets netværksadresser

  Beskrivelse: AFP-filserveren understøtter en kommando, som returnerer alle systemets netværksadresser. Problemet er løst ved at fjerne adresserne fra resultatet.

  CVE-id

  CVE-2014-4426: Craig Young fra Tripwire VERT

• apache

  Effekt: Flere sikkerhedsrisici i Apache

  Beskrivelse: Der opstod flere sikkerhedsrisici i Apache, hvoraf de alvorligste kan muliggøre et DoS-angreb (Denial-of-Service). Problemerne er løst ved at opdatere til Apache-version 2.4.9.

  CVE-id

  CVE-2013-6438

  CVE-2014-0098

• Programmet Sandbox

  Effekt: Et program, der er omfattet af sandbox-begrænsninger, kan misbruge tilgængeligheds-API'en

  Beskrivelse: Et program med sandbox-begrænsninger kan misbruge tilgængeligheds-API'en, uden at brugeren ved det. Problemet er løst ved at kræve administratorgodkendelse for at bruge tilgængeligheds-API'en for hvert enkelt program.

  CVE-id

  CVE-2014-4427: Paul S. Ziegler fra Reflare UG

• Bash

  Effekt: Ved nogle konfigurationer kan en hacker muligvis udføre vilkårlige shell-kommandoer

  Beskrivelse: Der var et problem i Bash-parsingen af miljøvariabler. Problemet er løst ved forbedret parsing af miljøvariabler ved at sikre bedre registrering af slutningen af "function statement".

  Denne opdatering indeholder ligeledes den foreslåede ændring med CVE-id 2014-7169, som omhandler nulstilling af parser-tilstanden.

  Derudover indeholder denne opdatering indsættelse af et nyt navneområde til eksporterede funktioner ved at oprette en "function decorator" for at forhindre utilsigtet header-gennemløb til Bash. I navnene på alle miljøvariabler, der indfører funktionsdefinitionerne, skal præfikset "__BASH_FUNC<" og suffikset ">()" indgå for at forhindre utilsigtet funktions-passing via HTTP-headere.

  CVE-id

  CVE-2014-6271: Stephane Chazelas

  CVE-2014-7169: Tavis Ormandy

• Bluetooth

  Effekt: En skadelig Bluetooth-inputenhed kan omgå pardannelse

  Beskrivelse: Der blev tilladt ukrypterede forbindelser fra Bluetooth-lavenergienheder i HID-klassen Hvis en Mac er blevet parret med en sådan enhed, kan en hacker få den godkendte enhed til at oprette forbindelse. Problemet er løst ved at afvise ukrypterede HID-forbindelser.

  CVE-id

  CVE-2014-4428: Mike Ryan fra iSEC Partners

• CFPreferences

  Effekt: Indstillingen "Kræv adgangskode efter start af vågeblus eller skærmskåner" virker muligvis ikke før efter en genstart

  Beskrivelse: Der var et sessionsstyringsproblem ved behandling af systemindstillingerne. Problemet er løst ved forbedret sessionssporing.

  CVE-id

  CVE-2014-4425

• Politik for certifikatgodkendelse

  Effekt: Opdatering af politikken for certifikatgodkendelse

  Beskrivelse: Politikken for certifikatgodkendelse blev opdateret. Den komplette liste med certifikater kan ses i artiklen http://support.apple.com/kb/HT6005?viewlocale=da_DK.

• CoreStorage

  Effekt: En krypteret enhed kan forblive ulåst, når den skubbes ud

  Beskrivelse: Når en krypteret enhed logisk set blev skubbet ud, mens den var aktiv, blev enheden gjort passiv, men nøglerne blev bibeholdt, så den kunne aktiveres igen uden adgangskode. Problemet er løst ved at slette nøglerne ved udskubning.

  CVE-id

  CVE-2014-4430: Benjamin King fra See Ben Click Computer Services LLC, Karsten Iwen, Dustin Li (http://dustin.li/), Ken J. Takekoshi og andre anonyme brugere

• CUPS

  Effekt: En lokal bruger kan køre en vilkårlig kode med systemrettigheder

  Beskrivelse: Når CUPS-webinterfacet behandlede filer, fulgte det symlinks. En lokal bruger kunne oprette symlinks til vilkårlige filer og hente dem via webinterfacet. Problemet er løst ved at fjerne tilladelsen til behandling af symlinks via CUPS-webinterfacet.

  CVE-id

  CVE-2014-3537

• Dok

  Effekt: I nogle tilfælde var der synlige vinduer, selv om skærmen var låst

  Beskrivelse: Der var et statusadministrationsproblem ved behandling af skærmlåsen. Problemet er løst ved at forbedre statusstyringen.

  CVE-id

  CVE-2014-4431: Emil Sjölander fra Umeå Universitet

• fdesetup

  Effekt: Kommandoen fdesetup kan medføre misvisende status for krypteringstilstanden på disken

  Beskrivelse: Efter opdatering af indstillingerne og inden genstart medførte kommandoen fdesetup en misvisende status. Problemet er løst ved at forbedre statusrapporteringen.

  CVE-id

  CVE-2014-4432

• iCloud – Find min Mac

  Effekt: PIN-koden til iCloud-funktionen Mistet kan brydes med et brute force-angreb

  Beskrivelse: Der var et problem med statuspersistens ved hastighedsbegrænsning, som muliggjorde brute force-angreb på PIN-koden til iCloud-funktionen Mistet. Problemet er løst ved at forbedre statuspersistens også efter genstart.

  CVE-id

  CVE-2014-4435: knoy

• IOAcceleratorFamily

  Effekt: Et program kan medføre DoS-angreb

  Beskrivelse: Der var en reference til en null-pointer i IntelAccelerator-driveren. Problemet er løst ved forbedret behandling af fejl.

  CVE-id

  CVE-2014-4373: cunzhang fra Venustech ADLAB

• IOHIDFamily

  Effekt: Et skadeligt program kan muligvis køre vilkårlig kode med systemrettigheder

  Beskrivelse: Der var en reference til en null-pointer ved IOHIDFamily-behandling af key-mapping-egenskaber. Problemet er løst ved forbedret godkendelse af key-mapping-egenskaberne for IOHIDFamily.

  CVE-id

  CVE-2014-4405: Ian Beer fra Google Project Zero

• IOHIDFamily

  Effekt: Et skadeligt program kan muligvis køre vilkårlig kode med systemrettigheder

  Beskrivelse: Der opstod et heap-bufferoverløb ved IOHIDFamily-behandling af key-mapping-egenskaber. Problemet er løst ved forbedret kontrol af grænser.

  CVE-id

  CVE-2014-4404: Ian Beer fra Google Project Zero

• IOHIDFamily

  Effekt: Et program kan medføre DoS-angreb

  Beskrivelse: Der var et out-of-bounds-læseproblem i IOHIDFamily-driveren. Problemet er løst ved forbedret inputgodkendelse.

  CVE-id

  CVE-2014-4436: cunzhang fra Venustech ADLAB

• IOHIDFamily

  Effekt: En bruger kan muligvis køre en vilkårlig kode med systemrettigheder

  Beskrivelse: Der var et out-of-bounds-skriveproblem i IOHIDFamily-driveren. Problemet er løst ved forbedret inputgodkendelse.

  CVE-id

  CVE-2014-4380: cunzhang fra Venustech ADLAB

• IOKit

  Effekt: Et skadeligt program kan muligvis læse ikke-initialiserede data fra kernehukommelsen

  Beskrivelse: Der var et problem med ikke-initialiseret hukommelsesadgang ved behandling af IOKit-funktioner. Problemet er løst ved forbedret hukommelsesinitialisering.

  CVE-id

  CVE-2014-4407: @PanguTeam

• IOKit

  Effekt: Et skadeligt program kan muligvis køre vilkårlig kode med systemrettigheder

  Beskrivelse: Der var et godkendelsesproblem ved behandling af nogle metadatafelter i IODataQueue-objekter. Problemet er løst ved forbedret godkendelse af metadata.

  CVE-id

  CVE-2014-4388: @PanguTeam

• IOKit

  Effekt: Et skadeligt program kan muligvis køre vilkårlig kode med systemrettigheder

  Beskrivelse: Der var et godkendelsesproblem ved behandling af nogle metadatafelter i IODataQueue-objekter. Problemet er løst ved forbedret godkendelse af metadata.

  CVE-id

  CVE-2014-4418: Ian Beer fra Google Project Zero

• Kernel

  Effekt: En lokal bruger kan muligvis se opsætningen af kernehukommelsen

  Beskrivelse: Der var flere problemer med ikke-initialiseret hukommelse i netværksstatistikgrænsefladen, hvilket medførte afsløring af kernehukommelsesindholdet. Problemet er løst ved yderligere hukommelsesinitialisering.

  CVE-id

  CVE-2014-4371: Fermin J. Serna fra Google Security Team

  CVE-2014-4419: Fermin J. Serna fra Google Security Team

  CVE-2014-4420: Fermin J. Serna fra Google Security Team

  CVE-2014-4421: Fermin J. Serna fra Google Security Team

• Kernel

  Effekt: Et arkivsystem med skadelig tilpasning kan medføre pludselig systemlukning eller kørsel af vilkårlig kode

  Beskrivelse: Der var et heap-baseret bufferoverløb ved behandling af HFS-resource forks. Et arkivsystem med skadelig tilpasning kan medføre pludselig systemlukning eller kørsel af vilkårlig kode med kernerettigheder. Problemet er løst ved forbedret kontrol af grænser.

  CVE-id

  CVE-2014-4433: Maksymilian Arciemowicz

• Kernel

  Effekt: Et arkivsystem med skadelig tilpasning kan medføre pludselig systemlukning

  Beskrivelse: Der var et problem med NULL-dereference ved behandling af HFS-arkivnavne. Et arkivsystem med skadelig tilpasning kan medføre pludselig systemlukning. Problemet er løst ved at undgå NULL-dereference.

  CVE-id

  CVE-2014-4434: Maksymilian Arciemowicz

• Kernel

  Effekt: En lokal bruger kan fremkalde pludselig systemlukning eller kørsel af vilkårlig kode i kernen

  Beskrivelse: Der var et double free-problem ved behandling af Mach-porte. Problemet er løst ved forbedret godkendelse af Mach-porte.

  CVE-id

  CVE-2014-4375: En anonym anmelder

• Kernel

  Effekt: En person med en privilegeret netværksposition kan forårsage DoS (Denial-of-Service).

  Beskrivelse: Der var et problem med race condition ved behandling af IPv6-pakker. Problemet er løst ved forbedret kontrol af låsefunktionen.

  CVE-id

  CVE-2011-2391: Marc Heuse

• Kernel

  Effekt: En lokal bruger kan fremkalde pludselig systemlukning eller kørsel af vilkårlig kode i kernen

  Beskrivelse: Der var et out-of-bounds-læseproblem i rt_setgate. Det kunne medføre afsløring af oplysninger eller beskadiget hukommelse. Problemet er løst ved forbedret kontrol af grænser.

  CVE-id

  CVE-2014-4408

• Kernel

  Effekt: En lokal bruger kan forårsage pludselig systemlukning

  Beskrivelse: Der var et problem med "reachable panic" ved behandling af meddelelser, der sendes til systemstyringssokler. Problemet er løst ved yderligere godkendelse af meddelelser.

  CVE-id

  CVE-2014-4442: Darius Davis fra VMware

• Kernel

  Effekt: Nogle foranstaltninger til kernehærdning blev tilsidesat

  Beskrivelse: Generatoren af vilkårlige tal, der er brugt i nogle foranstaltninger til kernehærdning tidligt i startprocessen, var ikke kryptografisk sikker. Noget af outputtet kunne udledes fra brugerområdet, hvilket gjorde det muligt at tilsidesætte hærdningsforanstaltningerne Problemet er løst ved at anvende en kryptografisk sikker algoritme.

  CVE-id

  CVE-2014-4422: Tarjei Mandt fra Azimuth Security

• LaunchServices

  Effekt: Et lokalt program kan omgå sandbox-begrænsningerne

  Beskrivelse: LaunchServices-interfacet til indstilling af indholdstype-handlere gjorde det muligt for sandbox-begrænsede programmer at angive handlere for eksisterende indholdstyper. Et angrebet program kan bruge dette til at omgå sandbox-begrænsningerne. Problemet er løst ved at lukke for sandbox-begrænsede programmers mulighed for at angive indholdstype-handlere.

  CVE-id

  CVE-2014-4437: Meder Kydyraliev fra Google Security Team

• LoginWindow

  Effekt: Skærmen låses muligvis ikke i nogle tilfælde

  Beskrivelse: Der var et problem med race condition i LoginWindow, som nogle gange forhindrede skærmen i at låse. Problemet er løst ved at ændre operationsrækkefølgen.

  CVE-id

  CVE-2014-4438: Harry Sintonen fra nSense, Alessandro Lobina fra Helvetia Insurances og Patryk Szlagowski fra Funky Monkey Labs

• Mail

  Effekt: Mail kan sende e-mails til uønskede modtagere

  Beskrivelse: En inkonsekvens i brugergrænsefladen i programmet Mail medførte, at e-mails blev sendt til adresser, der var fjernet fra modtagerlisten. Problemet er løst ved forbedrede konsekvenskontroller af brugergrænsefladen.

  CVE-id

  CVE-2014-4439: Patrick J Power fra Melbourne, Australien

• MCX Desktop-konfigurationsbeskrivelser

  Effekt: Når mobilkonfigurationsbeskrivelser blev afinstalleret, blev de tilhørende indstillinger ikke fjernet

  Beskrivelse: Webproxyindstillinger, der er installeret via en mobilkonfigurationsbeskrivelse, blev ikke fjernet, da beskrivelsen blev afinstalleret. Problemet er løst ved forbedret behandling af afinstallering af beskrivelser.

  CVE-id

  CVE-2014-4440: Kevin Koster fra Cloudpath Networks

• NetFS Client Framework

  Effekt: Arkivdeling kan komme i en funktion, som ikke kan slås fra

  Beskrivelse: Der var et statusadministrationsproblem i arkivdelingsframeworket. Problemet er løst ved at forbedre state management.

  CVE-id

  CVE-2014-4441: Eduardo Bonsi fra BEARTCOMMUNICATIONS

• QuickTime

  Effekt: Afspilning af et m4a-arkiv med skadelig tilpasning kan medføre pludselig programlukning eller kørsel af vilkårlig kode

  Beskrivelse: Der var et bufferoverløb ved håndtering af lydeksempler Problemet er løst ved forbedret kontrol af grænser.

  CVE-id

  CVE-2014-4351: Karl Smith fra NCC Group

• Safari

  Effekt: Historikken over nylig viste sider på en åben fane bliver muligvis stående efter rydning af historikken

  Beskrivelse: Rydning af historikken i Safari ryddede ikke historikken tilbage/fremad for åben faner. Problemet er løst ved at rydde historikken tilbage/fremad.

  CVE-id

  CVE-2013-5150

• Safari

  Effekt: Hvis man vælger at modtage push-beskeder fra et websted med skadelig tilpasning, kan det medføre, at fremtidige push-beskeder fra Safari ikke vises

  Beskrivelse: Der var et problem med uopdagede undtagelser i SafariNotificationAgents behandling af push-beskeder fra Safari. Problemet er løst ved forbedret behandling af push-beskeder fra Safari.

  CVE-id

  CVE-2014-4417: Marek Isalski fra Faelix Limited

• Secure Transport

  Effekt: En hacker kan dekryptere SSL-beskyttede data

  Beskrivelse: Der er konstateret angreb på sikkerheden i SSL 3.0, hvis en chiffer-suite bruger en blokchiffer i CBC-funktion. Ved at blokere forbindelsesforsøg til TLS 1.0 eller en nyere version kan en hacker fremtvinge, at SSL 3.0 bruges, selv om serveren understøtter en sikrere TLS-version. Problemet er løst ved at slå CBC-chiffer-suiter fra, hvis TLS-forbindelsesforsøg slår fejl.

  CVE-id

  CVE-2014-3566: Bodo Moeller, Thai Duong og Krzysztof Kotowicz fra Google Security Team

• Sikkerhed

  Effekt: En ekstern hacker kan muligvis fremkalde denial of service

  Beskrivelse: Der var et problem med NULL-dereference ved behandling af ASN.1-data. Problemet er løst ved forbedret godkendelse af ASN.1-data.

  CVE-id

  CVE-2014-4443: Coverity

• Sikkerhed

  Effekt: En lokal bruger kan have adgang til en anden brugers Kerberos-billetter

  Beskrivelse: Der var et statusadministrationsproblem i SecurityAgent. Under hurtigt brugerskift kan en Kerberos-billet for den bruger, der skiftes til, nogle gange placeres i den forrige brugers buffer. Problemet er løst ved at forbedre state management.

  CVE-id

  CVE-2014-4444: Gary Simon fra Sandia National Laboratories, Ragnar Sundblad fra KTH Royal Institute of Technology, Eugene Homyakov fra Kaspersky Lab

• Sikkerhed - kodesignering

  Effekt: Det forhindres muligvis ikke, at svindelprogrammer åbnes

  Beskrivelse: Programmer, der er signeret i OS X-udgaver før OS X Mavericks 10.9, og apps, der anvender brugerdefinerede ressourceregler, kan være følsomme over for svindel, som ikke ødelægger signaturen. På computere, der er indstillet til kun at tillade programmer fra Mac App Store og velkendte programmører, kan et overført ændret program have fået tilladelse til at køre, som om det var godkendt. Problemet er løst ved at ignorere signaturer for softwarepakker med ressourcelommer, som udelader ressourcer, der kan påvirke kørslen. Disse ændringer er indeholdt i OS X Mavericks v10.9.5 og sikkerhedsopdatering 2014-004 til OS X Mountain Lion v10.8.5.

  CVE-id

  CVE-2014-4391: Christopher Hickstein, som arbejder for HP's Zero Day Initiative

Bemærk: OS X Yosemite indeholder Safari 8.0, som sikkerhedsindholdet i Safari 7.1 er indeholdt i. Yderligere oplysninger kan ses i artiklen Om sikkerhedsindholdet i Safari 7.1.