Informationen zum Sicherheitsinhalt des Sicherheitsupdates 2009-003/Mac OS X 10.5.8

In diesem Dokument wird der Sicherheitsinhalt des Sicherheitsupdates 2009-003/Mac OS X 10.5.8 beschrieben, das über die Softwareupdate-Einstellungen oder über Apple Downloads geladen und installiert werden kann.

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit findest du auf der Website zur Apple-Produktsicherheit.

Informationen zum Apple-PGP-Schlüssel für die Produktsicherheit findest du unter Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit.

Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.

Informationen zu weiteren Sicherheitsupdates findest du unter „Apple-Sicherheitsupdates“.

Sicherheitsupdate 2009-003/Mac OS X 10.5.8

• bzip2

  CVE-ID: CVE-2008-1372

  Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Das Dekomprimieren in böswilliger Absicht erstellter Daten kann zu einem unerwarteten Programmabbruch führen.

  Beschreibung: Es kommt zu einem Out-of-Bounds-Speicherzugriff in bzip2. Das Öffnen einer in böswilliger Absicht erstellten komprimierten Datei kann zu einem unerwarteten Beenden der Anwendung führen. Dieses Update behebt das Problem durch Aktualisierung von bzip2 auf Version 1.0.5. Weitere Informationen finden sich auf der bzip2-Website unter http://bzip.org/

• CFNetwork

  CVE-ID: CVE-2009-1723

  Verfügbar für: Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Eine in böswilliger Absicht erstellte Website kontrolliert eventuell die angezeigte Website-URL in einer Zertifikatwarnung

  Beschreibung: Wenn Safari eine Website über eine 302-Weiterleitung erreicht und dann eine Zertifikatwarnung angezeigt wird, ist darin die Original-Website-URL anstelle der aktuellen Website-URL angegeben. Dies kann dazu führen, dass eine in böswilliger Absicht erstellte Website, die über eine offene Weiterleitung von einer Website, der der Benutzer vertraut, erreicht wurde, die angezeigte Website-URL in einer Zertifikatwarnung kontrolliert. Dieses Problem wurde durch Rückgabe der korrekten URL im zugrunde liegenden CFNetwork-Layer behoben. Dieses Problem betrifft nur Systeme ab Mac OS X 10.5. Wir danken Kevin Day von Your.Org und Jason Mueller von der Indiana University für die Meldung dieses Problems.

• ColorSync

  CVE-ID: CVE-2009-1726

  Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Das Anzeigen einer in böswilliger Absicht erstellten Bilddatei mit eingebettetem ColorSync-Profil kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

  Beschreibung: Bei der Verarbeitung von Bildern mit eingebettetem ColorSync-Profil kommt es zu einem Heap-Pufferüberlauf. Das Öffnen eines in böswilliger Absicht erstellten Bildes mit einem eingebetteten ColorSync-Profil kann zu einem unerwarteten Beenden der Anwendung oder zur Ausführung von willkürlichem Code führen. Dieses Update behebt das Problem, indem für ColorSync-Profile eine zusätzliche Überprüfung durchgeführt wird. Wir danken Chris Evans vom Google-Sicherheitsteam für die Meldung dieses Problems.

• CoreTypes

  CVE-ID: CVE-2009-1727

  Verfügbar für: Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Benutzer erhalten vor dem Öffnen bestimmter potenziell unsicherer Inhaltstypen keine Warnung

  Beschreibung: Mit diesem Update wird die Systemliste der Inhaltstypen, die unter bestimmten Umständen (z. B. beim Herunterladen von Websites) als potenziell unsicher gekennzeichnet werden, ergänzt. Diese Inhaltstypen werden zwar nicht automatisch gestartet, können aber, wenn sie manuell geöffnet werden, zur Ausführung einer schädlichen JavaScript-Payload führen. Dieses Update verbessert die Fähigkeit des Systems, Benutzer zu benachrichtigen, bevor sie mit Inhaltstypen arbeiten, die von Safari verwendet werden. Wir danken Brian Mastenbrook und Clint Ruoho of Laconic Security für die Meldung dieses Problems.

• Dock

  CVE-ID: CVE-2009-0151

  Verfügbar für: Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Eine Person mit physischem Zugang zu einem gesperrten System kann Vier-Finger-Multitouch-Gesten nutzen

  Beschreibung: Der Bildschirmschoner blockiert keine Vier-Finger-Multitouch-Gesten, die es einer Person mit physischem Zugang zu einem gesperrten System ermöglichen, Anwendungen zu verwalten oder Expose zu nutzen. Dieses Update behebt das Problem durch korrektes Blockieren von Multi-Touch-Gesten, sobald der Bildschirmschoner ausgeführt wird. Dieses Problem betrifft nur Systeme mit einem Multi-Touch-Trackpad.

• Image RAW

  CVE-ID: CVE-2009-1728

  Verfügbar für: Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Das Anzeigen eines in böswilliger Absicht erstellten Canon-RAW-Bildes kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen

  Beschreibung: Es kommt zu einem Stapelpufferüberlauf bei der Verarbeitung von Canon-RAW-Bildern. Das Anzeigen eines in böswilliger Absicht erstellten Canon-RAW-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Dieses Update behebt das Problem durch eine verbesserte Abgrenzungsprüfung. Bei Mac OS X 10.4-Systemen ist dieses Problem bereits durch das Digital Camera RAW Compatibility Update 2.6 behoben. Wir danken Chris Ries von Carnegie Mellon University Computing Services für die Meldung dieses Problems.

• ImageIO

  CVE-ID: CVE-2009-1722

  Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Das Anzeigen eines in böswilliger Absicht erstellten OpenEXR-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

  Beschreibung: Bei der Verarbeitung von OpenEXR-Bildern durch ImageIO kommt es zu einem Heap-Pufferüberlauf. Das Anzeigen eines in böswilliger Absicht erstellten OpenEXR-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Dieses Update behebt das Problem durch Aktualisierung von OpenEXR auf Version 1.6.1. Wir danken Lurene Grenier von Sourcefire VRT und Chris Ries von Carnegie Mellon University Computing Services für die Meldung dieses Problems.

• ImageIO

  CVE-ID: CVE-2009-1721

  Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Das Anzeigen eines in böswilliger Absicht erstellten OpenEXR-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

  Beschreibung: Bei der Verarbeitung von OpenEXR-Bildern durch ImageIO kommt es zu einem Problem aufgrund eines nicht initialisierten Speicherzugriffs. Das Anzeigen eines in böswilliger Absicht erstellten OpenEXR-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Dieses Update behebt das Problem durch eine korrekte Speicherinitialisierung und eine zusätzliche Prüfung von OpenEXR-Bildern. Quelle: Apple.

• ImageIO

  CVE-ID: CVE-2009-1720

  Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Das Anzeigen eines in böswilliger Absicht erstellten OpenEXR-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

  Beschreibung: Bei der Verarbeitung von OpenEXR-Bildern durch ImageIO kommt es zu mehreren Ganzzahlüberläufen. Das Anzeigen eines in böswilliger Absicht erstellten OpenEXR-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Dieses Update behebt die Probleme durch eine verbesserte Abgrenzungsprüfung. Quelle: Apple.

• ImageIO

  CVE-ID: CVE-2009-2188

  Verfügbar für: Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Das Anzeigen eines in böswilliger Absicht erstellten Bildes kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen

  Beschreibung: Es kommt zu einem Pufferüberlauf bei der Verarbeitung von EXIF-Metadaten durch ImageIO. Das Anzeigen einer in böser Absicht erstellten Bilddatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung von willkürlichem Code führen. Dieses Update behebt das Problem durch eine verbesserte Abgrenzungsprüfung. Dieses Problem betrifft nur Systeme ab Mac OS X 10.5.

• ImageIO

  CVE-ID: CVE-2009-0040

  Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Das Verarbeiten eines in böswilliger Absicht erstellten PNG-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

  Beschreibung: Bei der Verarbeitung von PNG-Bildern durch ImageIO kommt es zu einem Problem wegen eines uninitialisierten Zeigers. Das Laden eines in böswilliger Absicht erstellten PNG-Bildes kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen. Dieses Update behebt das Problem, indem es eine zusätzliche Überprüfung von PNG-Bilddateien durchführt. Wir danken Tavis Ormandy vom Google-Sicherheitsteam für die Meldung dieses Problems.

• Kernel

  CVE-ID: CVE-2009-1235

  Verfügbar für: Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Ein lokaler Benutzer kann Systemprivilegien erhalten

  Beschreibung: Bei der Verarbeitung von fcntl-Systemaufrufen durch den Kernel liegt ein Implementierungsfehler vor. Ein lokaler Benutzer kann möglicherweise den Kernel-Speicher überschreiben und willkürlichen Code mit Systemberechtigungen ausführen. Dieses Update behebt das Problem durch eine verbesserte Handhabung von fcntl-Systemaufrufen. Wir danken Razvan Musaloiu-E. von der Johns Hopkins University, HiNRG für die Meldung dieses Problems.

• launchd

  CVE-ID: CVE-2009-2190

  Verfügbar für: Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Das Öffnen mehrerer Verbindungen zu einem inetd-basierten launchd-Dienst kann zu einem Denial-of-Service führen

  Beschreibung: Das Öffnen mehrerer Verbindungen zu einem inetd-basierten launchd-Dienst kann dazu führen, dass launchd eingehende Verbindungen zu diesem Dienst nicht mehr bedient, solange kein Systemneustart erfolgt. Dieses Update behebt das Problem durch eine verbesserte Fehlerverarbeitung.

• Login Window

  CVE-ID: CVE-2009-2191

  Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Ein Problem mit Formatzeichenfolgen im Anmeldefenster kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

  Beschreibung: Ein Problem mit Formatzeichenfolgen bei der Verarbeitung von Anwendungsnamen durch das Anmeldefenster kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Dieses Update behebt das Problem durch eine verbesserte Handhabung von Anwendungsnamen. Wir danken Alfredo Pesoli von 0xcafebabe.it für die Meldung dieses Problems.

• MobileMe

  CVE-ID: CVE-2009-2192

  Verfügbar für: Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Beim Abmelden von MobileMe werden nicht alle Anmeldedaten entfernt

  Beschreibung: Im Einstellungsbereich von MobileMe liegt ein logischer Fehler vor. Mit dem Abmelden vom Einstellungsbereich werden nicht alle Anmeldedaten gelöscht. Eine Person mit Zugang zum lokalen Benutzerkonto kann eventuell weiterhin auf andere Systeme zugreifen, die mit dem MobileMe-Konto verbunden sind, bei dem zuvor für dieses lokalen Konto angemeldet wurde. Dieses Update behebt das Problem durch Löschen aller Anmeldedaten beim Abmelden.

• Networking

  CVE-ID: CVE-2009-2193

  Verfügbar für: Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Der Empfang eines in böswilliger Absicht erstellten AppleTalk-Antwortpakets kann zur Ausführung willkürlichen Codes mit Systemberechtigungen oder zu einem unerwarteten Herunterfahren des Systems führen

  Beschreibung: Es kommt zu einem Pufferüberlauf bei der Verarbeitung der AppleTalk-Antwortpakete durch den Kernel. Der Empfang eines in böswilliger Absicht erstellten AppleTalk-Antwortpakets kann zu einer Ausführung willkürlichen Codes mit Systemberechtigungen oder zu einem unerwarteten Herunterfahren des Systems führen. Dieses Update behebt das Problem durch eine verbesserte Überprüfung von AppleTalk-Antwortpaketen. Wir danken Ilja van Sprundel von IOActive für die Meldung dieses Problems.

• Networking

  CVE-ID: CVE-2009-2194

  Verfügbar für: Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Ein lokaler Benutzer kann das unerwartete Herunterfahren des Systems verursachen

  Beschreibung: Bei der Verarbeitung der fileDesrciptor-Freigabe über lokale Sockets liegt ein Synchronisierungsproblem vor. Durch Senden von Nachrichten mit fileDescriptors an einen Socket ohne Empfänger kann ein lokaler Benutzer das unerwartete Herunterfahren des Systems auslösen. Dieses Update behebt das Problem durch eine verbesserte Handhabung der fileDesrciptor-Freigabe. Wir danken Bennet Yee von Google Inc. für die Meldung dieses Problems.

• XQuery

  CVE-ID: CVE-2008-0674

  Verfügbar für: Mac OS X 10.5 bis 10.5.7, Mac OS X Server 10.5 bis 10.5.7

  Auswirkung: Die Verarbeitung von in böswilliger Absicht erstellten XML-Inhalten kann zu einer Ausführung willkürlichen Codes führen

  Beschreibung: Es kommt zu einem Pufferüberlauf bei der Verarbeitung von Zeichenklassen in regulären Ausdrücken in der von XQuery verwendeten PCRE-Bibliothek (Perl Compatible Regular Expressions). Ein Angreifer aus der Ferne kann dadurch über einen regulären Ausdruck, der eine Zeichenklasse mit einer großen Anzahl an Zeichen mit Unicode-Codepunkten enthält, die größer als 255 sind, willkürlichen Code ausführen. Dieses Update behebt das Problem durch Aktualisierung von PCRE auf Version 7.6.