Informationen zum Sicherheitsupdate 2014-002

In diesem Dokument wird der Sicherheitsinhalt des Sicherheitsupdates 2014-002 beschrieben.

Diese Aktualisierung kann über die Option „Softwareaktualisierung“ oder von der Apple Support-Website geladen und installiert werden.

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit findest du auf der Website zur Apple-Produktsicherheit.

Informationen zum Apple-PGP-Schlüssel für die Produktsicherheit findest du unter “Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit.“

Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.

Informationen zu weiteren Sicherheitsupdates findest du unter “Apple-Sicherheitsupdates„.

• CFNetwork HTTPProtocol

  Verfügbar für: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5 und OS X Mavericks 10.9.2

  Auswirkung: Ein Angreifer mit einer privilegierten Netzwerkposition kann möglicherweise Anmeldedaten für eine Website erlangen

  Beschreibung: Set-Cookie HTTP-Header wurden auch dann verarbeitet, wenn die Verbindung geschlossen wurde, bevor die Header-Zeile vollständig war. Ein Angreifer kann möglicherweise die Sicherheitseinstellungen aus dem Cookie entfernen, indem er das Schließen der Verbindung erzwingt, bevor die Sicherheitseinstellungen gesendet wurden, und dann den Wert des ungeschützten Cookies erhalten. Dieses Problem wurde durch das Ignorieren unvollständiger HTTP-Header-Zeilen behoben.

  CVE-ID

  CVE-2014-1296: Antoine Delignat-Lavaud von Prosecco bei Inria Paris

• CoreServicesUIAgent

  Verfügbar für: OS X Mavericks 10.9.2

  Auswirkung: Der Besuch einer in böswilliger Absicht gestalteten Website oder URL kann zu einem unerwarteten Beenden der Anwendung oder zur Ausführung von willkürlichem Code führen

  Beschreibung: Bei der Verarbeitung von URLs gab es ein Problem mit Formatzeichenfolgen. Dieses Problem wurde durch eine zusätzliche Überprüfung von URLs behoben. Dieses Problem betrifft keine Systeme vor OS X Mavericks.

  CVE-ID

  CVE-2014-1315: Lukasz Pilorz von runic.pl, Erik Kooistra

• FontParser

  Verfügbar für: OS X Mountain Lion v10.8.5

  Auswirkung: Das Öffnen einer in böswilliger Absicht erstellten PDF-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung von willkürlichem Code führen.

  Beschreibung: Bei der Verarbeitung von PDF-Dateien konnte es zu einem Pufferunterlauf kommen. Dieses Problem wurde durch eine zusätzliche Abgrenzungsüberprüfung behoben. Dieses Problem betrifft keine Systeme mit OS X Mavericks.

  CVE-ID

  CVE-2013-5170: Will Dormann von CERT/CC

• Heimdal Kerberos

  Verfügbar für: OS X Mavericks 10.9.2

  Auswirkung: Ein entfernter Angreifer kann möglicherweise einen Denial-of-Service verursachen

  Beschreibung: Bei der Verarbeitung von ASN.1-Daten konnte es zu einem erreichbaren Abbruch kommen. Dieses Problem wurde durch eine zusätzliche Überprüfung von ASN.1-Daten behoben.

  CVE-ID

  CVE-2014-1316: Joonas Kuorilehto von Codenomicon

• ImageIO

  Verfügbar für: OS X Mavericks 10.9. 2:

  Auswirkung: Das Betrachten eines in böswilliger Absicht erstellten JPEG-Bildes kann zu einem unerwarteten Beenden der Anwendung oder zur Ausführung von willkürlichem Code führen

  Beschreibung: Bei der Verarbeitung von JPEG-Bildern durch ImageIO konnte es zu einem Pufferüberlauf kommen. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben. Dieses Problem betrifft keine Systeme vor OS X Mavericks.

  CVE-ID

  CVE-2014-1319: Cristian Draghici von Modulo Consulting, Karl Smith von der NCC Group

• Intel Graphics Driver

  Verfügbar für: OS X Mountain Lion v10.8.5 und OS X Mavericks 10.9.2

  Auswirkung: Eine schadhafte Anwendung kann die Kontrolle über das System übernehmen

  Beschreibung: Bei der Verarbeitung eines Zeigers aus dem Benutzer-Speicherbereich kam es zu einem Validierungsproblem. Dieses Problem wurde durch eine zusätzliche Überprüfung von Zeigern behoben.

  CVE-ID

  CVE-2014-1318: Ian Beer von Google Project Zero in Zusammenarbeit mit der Zero Day Initiative von HP

• IOKit Kernel

  Verfügbar für: OS X Mavericks 10.9.2

  Auswirkung: Ein lokaler Benutzer kann Kernel-Zeiger lesen, die zur Umgehung der Kernel-ASLR (Address Space Layout Randomization) verwendet werden können

  Beschreibung: Eine Gruppe von Kernel-Zeigern, die in einem IOKit-Objekt gespeichert ist, könnte aus dem Userland abgerufen werden. Dieses Problem wurde durch das Entfernen der Zeiger aus dem Objekt behoben.

  CVE-ID

  CVE-2014-1320: Ian Beer von Google Project Zero in Zusammenarbeit mit der Zero Day Initiative von HP

• Kernel

  Verfügbar für: OS X Mavericks 10.9.2

  Auswirkung: Ein lokaler Benutzer kann einen Kernel-Zeiger lesen, der zur Umgehung der Kernel-ASLR (Address Space Layout Randomization) verwendet werden kann

  Beschreibung: Ein Kernel-Zeiger, der in einem XNU-Objekt gespeichert ist, könnte aus dem Userland abgerufen werden. Dieses Problem wurde durch das Entfernen des Zeigers aus dem Objekt behoben.

  CVE-ID

  CVE-2014-1322: Ian Beer von Google Project Zero

• Power Management

  Verfügbar für: OS X Mavericks 10.9.2

  Auswirkung: Der Bildschirm wird möglicherweise nicht gesperrt

  Beschreibung: Wenn kurz nach dem Schließen des Deckels eine Taste gedrückt oder das Trackpad berührt wurde, hat das System möglicherweise versucht, während der Aktivierung des Ruhezustands diesen wieder zu beenden, was dazu konnte, dass der Bildschirm entsperrt wurde. Dieses Problem wurde durch das Ignorieren von Tastendrücken beim Aktivieren des Ruhezustands behoben. Dieses Problem betrifft keine Systeme vor OS X Mavericks.

  CVE-ID

  CVE-2014-1321: Paul Kleeberg von Stratis Health Bloomington MN, Julian Sincu von der Dualen Hochschule Baden-Württemberg (DHBW Stuttgart), Gerben Wierda von R&A, Daniel Luz

• Ruby

  Verfügbar für: OS X Mavericks 10.9.2:

  Auswirkung: Die Ausführung eines Ruby-Skripts, das nicht vertrauenswürdige YAML-Tags verarbeitet, kann zu einem unerwarteten Programmabbruch oder zur Ausführung von willkürlichem Code führen

  Beschreibung: Die Verarbeitung von YAML-Tags durch LibYAML konnte zu einem Integer-Überlauf führen. Dieses Problem wurde durch eine zusätzliche Überprüfung von YAML-Tags behoben. Dieses Problem betrifft keine Systeme vor OS X Mavericks.

  CVE-ID

  CVE-2013-6393

• Ruby

  Verfügbar für: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5 und OS X Mavericks 10.9.2

  Auswirkung: Die Ausführung eines Ruby-Skripts, das nicht vertrauenswürdige Eingaben verwendet, um ein Float-Objekt zu erstellen, kann zu einem unerwarteten Programmabbruch oder zur Ausführung von willkürlichem Code führen

  Beschreibung: In Ruby gab es ein Heap-basiertes Pufferüberlaufproblem bei der Konvertierung eines Strings in einen Fließkommawert. Dieses Problem wurde durch eine zusätzliche Überprüfung von Fließkommawerten behoben.

  CVE-ID

  CVE-2013-4164

• Security - Secure Transport

  Verfügbar für: OS X Mountain Lion v10.8.5 und OS X Mavericks 10.9.2

  Auswirkung: Ein Angreifer mit einer privilegierten Netzwerkposition kann möglicherweise Daten abfangen oder die in SSL-geschützten Sitzungen durchgeführten Operationen ändern

  Beschreibung: Bei einem „Triple-Handshake“-Angriff war es einem Angreifer möglich, zwei Verbindungen mit denselben Verschlüsselungsschlüsseln und demselben Handshake herzustellen, die Daten des Angreifers in eine Verbindung einzufügen und neu auszuhandeln, sodass die Verbindungen zueinander weitergeleitet werden können. Um Angriffe auf der Grundlage dieses Szenarios zu verhindern, wurde Secure Transport dahingehend geändert, dass bei einer Neuaushandlung standardmäßig dasselbe Serverzertifikat vorgelegt werden muss, das auch bei der ursprünglichen Verbindung vorgelegt wurde. Mac OS X 10.7-Systeme und älter sind nicht von diesem Problem betroffen.

  CVE-

  CVE CVE-2014-1295: Antoine Delignat-Lavaud, Karthikeyan Bhargavan and Alfredo Pironti von Prosecco bei Inria Paris

• WindowServer

  Verfügbar für: OS X Mountain Lion v10.8.5 und OS X Mavericks 10.9.2

  Auswirkung: In böswilliger Absicht erstellte Anwendungen können willkürlichen Code außerhalb der Sandbox ausführen

  Beschreibung: WindowServer-Sitzungen können möglicherweise von in einer Sandbox ausgeführten Anwendungen erstellt werden. Dieses Problem wurde behoben, indem die Erstellung von WindowServer-Sitzungen durch in einer Sandbox ausgeführten Anwendungen unterbunden wurde.

  CVE-ID

  CVE-2014-1314: KeenTeam in Zusammenarbeit mit der Zero Day Initiative von HP

• Hinweis: Das Sicherheitsupdate 2014-002 für Systeme mit OS X Mavericks enthält den Sicherheitsinhalt von Safari 7.0.3.