Informationen zum Sicherheitsinhalt von OS X Yosemite 10.10.5 und zum Sicherheitsupdate 2015-006
In diesem Dokument werden der Sicherheitsinhalt von OS X Yosemite 10.10.5 und das Sicherheitsupdate 2015-006 beschrieben.
Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit finden Sie auf der Website Apple-Produktsicherheit.
Informationen zum Apple PGP-Schlüssel für die Produktsicherheit finden Sie unter Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit.
Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.
Informationen zu weiteren Sicherheitsupdates finden Sie unter Apple-Sicherheitsupdates.
OS X Yosemite 10.10.5 und Sicherheitsupdate 2015-006
Apache
Verfügbar für: OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: In Apache 2.4.16 bestanden mehrere Schwachstellen, von denen die schwerwiegendste einem entfernten Angreifer erlauben konnte, einen Denial-of-Service zu verursachen
Beschreibung: Apache hatte mehrere Schwachstellen in den Versionen vor 2.4.16. Diese wurden durch die Aktualisierung von Apache auf Version 2.4.16 behoben.
CVE-ID
CVE-2014-3581
CVE-2014-3583
CVE-2014-8109
CVE-2015-0228
CVE-2015-0253
CVE-2015-3183
CVE-2015-3185
apache_mod_php
Verfügbar für: OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: PHP 5.5.20 hatte mehrere Schwachstellen, von denen die schwerwiegendste zur Ausführung willkürlichen Codes führen kann
Beschreibung: PHP hatte mehrere Schwachstellen in den Versionen vor 5.5.20. Diese wurden durch Aktualisierung von Apache auf Version 5.5.27 behoben.
CVE-ID
CVE-2015-2783
CVE-2015-2787
CVE-2015-3307
CVE-2015-3329
CVE-2015-3330
CVE-2015-4021
CVE-2015-4022
CVE-2015-4024
CVE-2015-4025
CVE-2015-4026
CVE-2015-4147
CVE-2015-4148
Apple-ID-OD-Plug-In
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein Schadprogramm könnte das Passwort eines lokalen Benutzers ändern
Beschreibung: Unter bestimmten Umständen bestand ein Problem bei der Statusverwaltung in der Passwortauthentifizierung. Dieses Problem wurde durch eine verbesserte Statusverwaltung behoben.
CVE-ID
CVE-2015-3799: Ein anonymer Forscher in Zusammenarbeit mit der Zero Day Initiative von HP
AppleGraphicsControl
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein Schadprogramm könnte das Kernel-Speicher-Layout ermitteln
Beschreibung: In AppleGraphicsControl bestand ein Problem, das zur Preisgabe des Kernel-Speicher-Layouts führen konnte. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.
CVE-ID
CVE-2015-5768: JieTao Yang vom KeenTeam
Bluetooth
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit Systemprivilegien ausführen
Beschreibung: In IOBluetoothHCIController konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2015-3779: Teddy Reed von Facebook Security
Bluetooth
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Das Kernel-Speicher-Layout kann von einem Schadprogramm ermittelt werden
Beschreibung: Ein Problem bei der Speicherverwaltung konnte zur Offenlegung des Kernel-Speicher-Layouts führen. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2015-3780: Roberto Paleari und Aristide Fattori von Emaze Networks
Bluetooth
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein Schadprogramm könnte auf Benachrichtigungen von anderen iCloud-Geräten zugreifen
Beschreibung: Es bestand ein Problem, bei dem eine schadhafte App über den Mitteilungszentralendienst von Apple auf die Mitteilungen der Mitteilungszentrale eines per Bluetooth gekoppelten Mac oder iOS-Geräts zugreifen konnte. Dieses Problem betraf Geräte, die die Funktion "Handoff" verwendeten und in demselben iCloud-Account angemeldet waren. Das Problem wurde durch Aufheben des Zugriffs auf den Mitteilungszentralendienst von Apple behoben.
CVE-ID
CVE-2015-3786: Xiaolong Bai (Universität Tsinghua), System Security Lab (Indiana University), Tongxin Li (Universität Peking), XiaoFeng Wang (Indiana University)
Bluetooth
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein Angreifer mit privilegierter Netzwerkposition könnte einen Denial-of-Service-Angriff mithilfe manipulierter Bluetooth-Pakete durchführen
Beschreibung: Bei der Analyse von Bluetooth-ACL-Paketen bestand ein Problem bei der Eingabeüberprüfung. Dieses Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-ID
CVE-2015-3787: Trend Micro
Bluetooth
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Lokale Angreifer können die unerwartete Programmbeendigung oder Ausführung willkürlichen Codes verursachen
Beschreibung: Bei der Verarbeitung von XPC-Nachrichten in blued gab es mehrere Probleme, die zu einem Pufferüberlauf führen konnten. Diese Probleme wurden durch eine verbesserte Abgrenzungsüberprüfung behoben.
CVE-ID
CVE-2015-3777: mitp0sh von [PDX]
bootp
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein böswilliges WLAN-Netzwerk könnte Netzwerke erkennen, auf die ein Gerät in der Vergangenheit bereits zugegriffen hat
Beschreibung: Nach dem Verbinden mit einem WLAN-Netzwerk konnte iOS per DNAv4-Protokoll MAC-Adressen von Netzwerken übertragen, die in der Vergangenheit bereits verwendet wurden. Dieses Problem wurde durch die Deaktivierung von DNAv4 in unverschlüsselten WLAN-Netzwerken behoben.
CVE-ID
CVE-2015-3778: Piers O'Hanlon vom Oxford Internet Institute, University of Oxford (im Rahmen des EPSRC Being There-Projekts)
CloudKit
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein Schadprogramm könnte auf den iCloud-Benutzereintrag eines zuvor angemeldeten Benutzers zugreifen
Beschreibung: Bei der Abmeldung von Benutzern in CloudKit bestand eine Statusinkonsistenz. Dieses Problem wurde durch eine verbesserte Statusverarbeitung behoben.
CVE-ID
CVE-2015-3782: Deepkanwal Plaha von der University of Toronto
CoreMedia Playback
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Das Anzeigen einer in böswilliger Absicht erstellten Filmdatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung von willkürlichem Code führen
Beschreibung: Bei der CoreMedia-Wiedergabe konnte es zu Speicherfehlern kommen. Diese Probleme wurden durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-5777: Apple
CVE-2015-5778: Apple
CoreText
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Verarbeitung einer schadhaften Schriftdatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Schriftdateien konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-ID
CVE-2015-5761: John Villamil (@day6reak), Yahoo Pentest Team
CoreText
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Verarbeitung einer schadhaften Schriftdatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Schriftdateien konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-ID
CVE-2015-5755: John Villamil (@day6reak), Yahoo Pentest Team
curl
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: In cURL und libcurl bestanden vor der Version 7.38.0 mehrere Schwachstellen, von denen eine einem entfernten Angreifer die Umgehung der Same-Origin-Policy (SOP) ermöglichen könnte
Beschreibung: cURL und libcurl hatten mehrere Schwachstellen in den Versionen vor 7.38.0. Diese wurden durch Aktualisierung von cURL auf Version 7.43.0 behoben.
CVE-ID
CVE-2014-3613
CVE-2014-3620
CVE-2014-3707
CVE-2014-8150
CVE-2014-8151
CVE-2015-3143
CVE-2015-3144
CVE-2015-3145
CVE-2015-3148
CVE-2015-3153
Data Detectors Engine
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Verarbeitung einer Reihe von Unicode-Zeichen kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Unicode-Zeichen konnte es zu Speicherfehlern kommen. Diese Probleme wurden durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-5750: M1x7e1 vom Safeye Team (www.safeye.org)
Systemeinstellungsbereich "Datum & Uhrzeit"
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Programme, die die Systemzeit nutzen, können ein unerwartetes Verhalten aufweisen
Beschreibung: Bei der Änderung der Einstellungen für Systemzeit und -datum bestand ein Autorisierungsproblem. Dieses Problem wurde durch zusätzliche Autorisierungsprüfungen behoben.
CVE-ID
CVE-2015-3757: Mark S C Smith
Programm "Lexikon"
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein Angreifer mit privilegierter Netzwerkposition kann die Benutzerabfragen in der Lexikon-App abfangen
Beschreibung: In der Lexikon-App bestand ein Problem, bei dem die Kommunikation des Benutzers nicht richtig geschützt war. Das Problem wurde behoben, indem Lexikonabfragen nun über HTTPS bearbeitet werden.
CVE-ID
CVE-2015-3774: Jeffrey Paul von EEQJ, Jan Bee vom Google Security Team
DiskImages
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Verarbeitung einer schadhaften DMG-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes mit Systemrechten führen
Beschreibung: Bei der Analyse von manipulierten DMG-Dateien konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2015-3800: Frank Graziano vom Yahoo Pentest Team
dyld
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit Systemprivilegien ausführen
Beschreibung: In dyld gab es ein Problem mit der Pfadvalidierung. Dieses wurde durch eine verbesserte Umgebungssäuberung behoben.
CVE-ID
CVE-2015-3760: beist von grayhash, Stefan Esser
FontParser
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Verarbeitung einer schadhaften Schriftdatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Schriftdateien konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-ID
CVE-2015-3804: Apple
CVE-2015-5775: Apple
FontParser
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Verarbeitung einer schadhaften Schriftdatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Schriftdateien konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-ID
CVE-2015-5756: John Villamil (@day6reak), Yahoo Pentest Team
groff
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Mehrere Probleme in pdfroff
Beschreibung: In pdfroff bestanden mehrere Probleme, von denen das schwerwiegendste eine willkürliche Änderung des Dateisystems zulassen konnte. Diese Probleme wurden durch Entfernen von pdfroff behoben.
CVE-ID
CVE-2009-5044
CVE-2009-5078
ImageIO
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Das Bearbeiten eines in böswilliger Absicht erstellten TIFF-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung beliebigen Codes führen
Beschreibung: Bei der Verarbeitung von TIFF-Bildern konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.
CVE-ID
CVE-2015-5758: Apple
ImageIO
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Das Aufrufen einer in böswilliger Absicht erstellten Website kann zur Preisgabe des Prozessspeichers führen
Beschreibung: Bei der Verarbeitung von PNG- und TIFF-Bildern in ImageIO bestand ein Problem aufgrund eines nicht initialisierten Speicherzugriffs. Das Aufrufen einer schadhaften Website kann dazu führen, dass Daten aus dem Prozessspeicher an die Website gesendet werden. Dieses Problem wird durch eine verbesserte Speicherinitialisierung und eine zusätzliche Validierung von PNG- und TIFF-Bildern behoben.
CVE-ID
CVE-2015-5781: Michal Zalewski
CVE-2015-5782: Michal Zalewski
Install Framework Legacy
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein in schadhaftes Programm kann möglicherweise willkürlichen Code mit Root-Rechten ausführen
Beschreibung: Bei der Art und Weise, wie die Binärdatei "runner" von Install.framework Rechte aufgegeben hat, bestand ein Problem. Dieses Problem wurde durch eine verbesserte Rechteverwaltung behoben.
CVE-ID
CVE-2015-5784: Ian Beer vom Google Project Zero
Install Framework Legacy
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein in böswilliger Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen
Beschreibung: In der Binärdatei "runner" von Install.framework bestand eine Race-Bedingung, die dazu führte, dass Rechte falsch aufgegeben wurden. Dieses Problem wurde durch einen verbesserten Objekt-Sperrschutz behoben.
CVE-ID
CVE-2015-5754: Ian Beer vom Google Project Zero
IOFireWireFamily
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit Systemprivilegien ausführen
Beschreibung: Bei der IOFireWireFamily-Wiedergabe konnte es zu Speicherfehlern kommen. Diese Probleme wurden durch eine zusätzliche Typ-Eingabeüberprüfung behoben.
CVE-ID
CVE-2015-3769: Ilja van Sprundel
CVE-2015-3771: Ilja van Sprundel
CVE-2015-3772: Ilja van Sprundel
IOGraphics
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein in böswilliger Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen
Beschreibung: In IOGraphics konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine zusätzliche Typ-Eingabeüberprüfung behoben.
CVE-ID
CVE-2015-3770: Ilja van Sprundel
CVE-2015-5783: Ilja van Sprundel
IOHIDFamily
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit Systemprivilegien ausführen
Beschreibung: In IOHIDFamily gab es ein Problem, das zu einem Pufferüberlauf führen konnte. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2015-5774: TaiG Jailbreak Team
Kernel
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Das Kernel-Speicher-Layout kann von einem Schadprogramm ermittelt werden
Beschreibung: In der mach_port_space_info-Schnittstelle bestand ein Problem, das zur Offenlegung des Kernel-Speicher-Layouts führen konnte. Dieses Problem wurde durch Deaktivierung der mach_port_space_info-Schnittstelle behoben.
CVE-ID
CVE-2015-3766: Cererdlong von Alibaba Mobile Security Team, @PanguTeam
Kernel
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein in böswilliger Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen
Beschreibung: Bei der Verarbeitung von IOKit-Funktionen konnte ein Ganzzahlüberlauf auftreten. Dieses Problem wurde durch eine verbesserte Überprüfung von IOKit API-Argumenten behoben.
CVE-ID
CVE-2015-3768: Ilja van Sprundel
Kernel
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein lokaler Benutzer könnte einen Denial-of-Service des Systems verursachen
Beschreibung: Im fasttrap-Treiber konnte es zu einer Ressourcenausschöpfung (resource exhaustion) kommen. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2015-5747: Maxime VILLARD von m00nbsd
Kernel
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein lokaler Benutzer könnte einen Denial-of-Service des Systems verursachen
Beschreibung: Bei der Aktivierung von HFS-Volumes bestand ein Validierungsproblem. Dieses Problem wurde durch zusätzliche Überprüfungen behoben.
CVE-ID
CVE-2015-5748: Maxime VILLARD von m00nbsd
Kernel
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein Schadprogramm könnte unsignierten Code ausführen
Beschreibung: Es bestand ein Problem, bei dem unsignierter Code an signierten Code in einer speziell dafür erstellten ausführbaren Datei angehängt werden konnte. Dieses Problem wurde durch eine verbesserte Codesignatur-Überprüfung behoben.
CVE-ID
CVE-2015-3806: TaiG Jailbreak Team
Kernel
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Eine spezielle ausführbare Datei könnte die Ausführung von unsigniertem schadhaften Code zulassen
Beschreibung: Bei der Bewertung von ausführbaren Mehrarchitektur-Dateien bestand ein Problem, das die Ausführung von unsigniertem Code zulassen konnte. Dieses Problem wurde durch eine verbesserte Validierung von ausführbaren Dateien behoben.
CVE-ID
CVE-2015-3803: TaiG Jailbreak Team
Kernel
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein lokaler Benutzer kann nicht signierten Code ausführen
Beschreibung: Bei der Verarbeitung von Mach-O-Dateien bestand ein Validierungsproblem. Dieses Problem wurde durch zusätzliche Überprüfungen behoben.
CVE-ID
CVE-2015-3802: TaiG Jailbreak Team
CVE-2015-3805: TaiG Jailbreak Team
Kernel
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Analyse einer schadhaften plist kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes mit Systemrechten führen
Beschreibung: Bei der Verarbeitung manipulierter plists konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2015-3776: Teddy Reed von Facebook Security, Patrick Stein (@jollyjinx) von Jinx Germany
Kernel
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit Systemprivilegien ausführen
Beschreibung: Es bestand ein Problem mit der Pfadvalidierung. Dieses wurde durch eine verbesserte Umgebungssäuberung behoben.
CVE-ID
CVE-2015-3761: Apple
Libc
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Verarbeitung eines schadhaften regulären Ausdrucks kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: In der TRE-Bibliothek konnte es zu Speicherfehlern kommen. Diese Probleme wurden durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-3796: Ian Beer vom Google Project Zero
CVE-2015-3797: Ian Beer vom Google Project Zero
CVE-2015-3798: Ian Beer vom Google Project Zero
Libinfo
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Entfernte Angreifer können die unerwartete Programmbeendigung oder Ausführung willkürlichen Codes verursachen
Beschreibung: Bei der Verarbeitung von AF_INET6-Sockets konnte es zu Speicherfehlern kommen. Diese wurden durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-5776: Apple
libpthread
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein in böswilliger Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen
Beschreibung: Bei der Verarbeitung von syscalls konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Sperrstatusüberprüfung behoben.
CVE-ID
CVE-2015-5757: Lufeng Li von Qihoo 360
libxml2
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: In den libxml2-Versionen vor 2.9.2 bestanden mehrere Schwachstellen, von denen die schwerwiegendste einem entfernten Angreifer erlauben konnte, einen Denial-of-Service zu verursachen
Beschreibung: libxml2 hatte mehrere Schwachstellen in den Versionen vor 2.9.2. Diese wurden durch Aktualisierung von libxml2 auf Version 2.9.2 behoben.
CVE-ID
CVE-2012-6685: Felix Groebert von Google
CVE-2014-0191: Felix Groebert von Google
libxml2
Verfügbar für: OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Analyse eines schadhaften XML-Dokuments könnte zur Preisgabe von Benutzerinformationen führen
Beschreibung: In libxml2 konnte es zu einem fehlerhaften Speicherzugriff kommen. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2014-3660: Felix Groebert von Google
libxml2
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Analyse eines schadhaften XML-Dokuments könnte zur Preisgabe von Benutzerinformationen führen
Beschreibung: Bei der Analyse von XML-Dateien konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2015-3807: Apple
libxpc
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein in böswilliger Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen
Beschreibung: Bei der Verarbeitung von manipulierten XPC-Meldungen kam es zu einem Speicherfehler. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.
CVE-ID
CVE-2015-3795: Mathew Rowley
mail_cmds
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Shell-Befehle ausführen
Beschreibung: In der mailx-Analyse von E-Mail-Adressen bestand ein Validierungsproblem. Dieses wurde durch eine verbesserte Säuberung behoben.
CVE-ID
CVE-2014-7844
Mitteilungszentrale OS X
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein Schadprogramm könnte auf alle Mitteilungen zugreifen, die dem Benutzer zuvor angezeigt wurden
Beschreibung: In der Mitteilungszentrale bestand ein Problem, bei dem Benutzermitteilungen nicht richtig gelöscht wurden. Dieses Problem wurde durch eine korrekte Löschung der Mitteilungen behoben, die vom Benutzer geschlossen wurden.
CVE-ID
CVE-2015-3764: Jonathan Zdziarski
ntfs
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit Systemrechten ausführen.
Beschreibung: In NTFS konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2015-5763: Roberto Paleari und Aristide Fattori von Emaze Networks
OpenSSH
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Entfernte Angreifer könnten eine Zeitverzögerung für fehlgeschlagene Anmeldeversuche umgehen und BruteForce-Angriffe vornehmen
Beschreibung: Bei der Verarbeitung von Geräten mit Tastaturinteraktion bestand ein Problem. Dieses Problem wurde durch eine verbesserte Überprüfung von Authentifizierungsanforderungen behoben.
CVE-ID
CVE-2015-5600
OpenSSL
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: In den OpenSSL-Versionen vor 0.9.8zg bestanden mehrere Schwachstellen, von denen die schwerwiegendste einem entfernten Angreifer erlauben konnte, einen Denial-of-Service zu verursachen
Beschreibung: In den OpenSSL-Versionen vor 0.9.8zg bestanden mehrere Schwachstellen. Diese Probleme wurden durch Aktualisierung von OpenSSL auf Version 0.9.8zg behoben.
CVE-ID
CVE-2015-1788
CVE-2015-1789
CVE-2015-1790
CVE-2015-1791
CVE-2015-1792
perl
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Analyse eines schadhaften regulären Ausdrucks kann zur Offenlegung eines unerwarteten Programmabbruchs oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Art und Weise, wie Perl reguläre Ausdrücke analysiert hat, gab es ein Problem mit einem Ganzzahlunterlauf. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2013-7422
PostgreSQL
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein Angreifer könnte einen unerwarteten Programmabbruch verursachen oder Zugriff auf Daten ohne ordnungsgemäße Authentifizierung erlangen
Beschreibung: In PostgreSQL 9.2.4 bestanden mehrere Schwachstellen. Diese Probleme wurden durch die Aktualisierung von PostgreSQL auf Version 9.2.13 behoben.
CVE-ID
CVE-2014-0067
CVE-2014-8161
CVE-2015-0241
CVE-2015-0242
CVE-2015-0243
CVE-2015-0244
Python
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Python 2.7.6 hatte mehrere Schwachstellen, von denen die schwerwiegendste zur Ausführung willkürlichen Codes führen kann
Beschreibung: Python hatte mehrere Schwachstellen in den Versionen vor 2.7.6. Diese wurden durch Aktualisierung von Python auf Version 2.7.10 behoben.
CVE-ID
CVE-2013-7040
CVE-2013-7338
CVE-2014-1912
CVE-2014-7185
CVE-2014-9365
QL Office
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Analyse eines schadhaften Office-Dokuments kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Analyse von Office-Dokumenten konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2015-5773: Apple
QL Office
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Analyse einer schadhaften XML-Datei könnte zur Preisgabe von Benutzerinformationen führen
Beschreibung: Bei der XML-Dateianalyse bestand ein Referenzierungsproblem externer Entitäten. Dieses Problem wurde durch eine verbesserte Analyse behoben.
CVE-ID
CVE-2015-3784: Bruno Morisson von INTEGRITY S.A.
Quartz-Composer-Framework
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Analyse einer in schadhaften QuickTime-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Analyse von QuickTime-Dateien konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2015-5771: Apple
Übersicht
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Suche nach einer zuvor angezeigten Website könnte den Webbrowser starten und diese Website darstellen
Beschreibung: Es bestand ein Problem, bei dem Übersicht JavaScript ausführen konnte. Dieses Problem wurde behoben, indem die Ausführung von JavaScript nicht mehr zugelassen wird.
CVE-ID
CVE-2015-3781: Andrew Pouliot von Facebook, Anto Loyola von Qubole
QuickTime 7
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Verarbeitung einer schadhaften Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: In QuickTime gab es mehrere Speicherfehler. Diese Probleme wurden durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-3772
CVE-2015-3779
CVE-2015-5753: Apple
CVE-2015-5779: Apple
QuickTime 7
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Verarbeitung einer schadhaften Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: In QuickTime gab es mehrere Speicherfehler. Diese Probleme wurden durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-3765: Joe Burnett von Audio Poison
CVE-2015-3788: Ryan Pentney und Richard Johnson von Cisco Talos
CVE-2015-3789: Ryan Pentney und Richard Johnson von Cisco Talos
CVE-2015-3790: Ryan Pentney und Richard Johnson von Cisco Talos
CVE-2015-3791: Ryan Pentney und Richard Johnson von Cisco Talos
CVE-2015-3792: Ryan Pentney und Richard Johnson von Cisco Talos
CVE-2015-5751: WalkerFuz
SceneKit
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Das Anzeigen einer in böser Absicht erstellten Collada-Datei könnte zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Collada-Dateien in SceneKit konnte es zu einem Stapelpufferüberlauf kommen. Dieses Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-ID
CVE-2015-5772: Apple
SceneKit
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Entfernte Angreifer können die unerwartete Programmbeendigung oder Ausführung willkürlichen Codes verursachen
Beschreibung: Bei der Verarbeitung von SceneKit konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2015-3783: Haris Andrianakis vom Google Security Team
Sicherheit
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Ein Standardbenutzer könnte Administratorrechte ohne ordnungsgemäße Authentifizierung erlangen
Beschreibung: Bei der Bearbeitung der Benutzerauthentifizierung trat ein Problem auf. Dieses Problem wurde durch verbesserte Authentifizierungsüberprüfungen behoben.
CVE-ID
CVE-2015-3775: [Eldon Ahrold]
SMB-Client
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Entfernte Angreifer können die unerwartete Programmbeendigung oder Ausführung willkürlichen Codes verursachen
Beschreibung: Im SMB-Client konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2015-3773: Ilja van Sprundel
Sprachausgabe-UI
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Analyse einer schadhaften Unicode-Zeichenfolge mit aktivierten vorgelesenen Warnungen kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Bearbeitung von Unicode-Zeichenfolgen kam es zu einem Speicherfehler. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2015-3794: Adam Greenbaum von Refinitive
sudo
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: In den sudo-Versionen vor 1.7.10p9 bestanden mehrere Schwachstellen, von denen die schwerwiegendste einem Angreifer Zugriff auf beliebige Dateien gewähren kann
Beschreibung: In den sudo-Versionen vor 1.7.10p9 bestanden mehrere Schwachstellen. Diese Probleme wurden durch Aktualisieren von sudo auf Version 1.7.10p9 behoben.
CVE-ID
CVE-2013-1775
CVE-2013-1776
CVE-2013-2776
CVE-2013-2777
CVE-2014-0106
CVE-2014-9680
tcpdump
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: In tcpdump 4.7.3 bestanden mehrere Schwachstellen, von denen die schwerwiegendste einem entfernten Angreifer erlauben konnte, einen Denial-of-Service zu verursachen
Beschreibung: tcpdump hatte mehrere Schwachstellen in den Versionen vor 4.7.3. Diese wurden durch Aktualisierung von tcpdump auf Version 4.7.3 behoben.
CVE-ID
CVE-2014-8767
CVE-2014-8769
CVE-2014-9140
Textformate
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Analyse einer schadhaften Textdatei könnte zur Preisgabe von Benutzerinformationen führen
Beschreibung: Bei der TextEdit-Analyse bestand ein Referenzierungsproblem externer XML-Entitäten. Dieses Problem wurde durch eine verbesserte Analyse behoben.
CVE-ID
CVE-2015-3762: Xiaoyong Wu vom Evernote Security Team
udf
Verfügbar für: OS X Yosemite 10.10 bis 10.10.4
Auswirkung: Die Verarbeitung einer schadhaften DMG-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes mit Systemrechten führen
Beschreibung: Bei der Analyse von manipulierten DMG-Dateien konnte es zu einem Speicherfehler kommen. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2015-3767: beist von grayhash
OS X Yosemite 10.10.5 enthält den Sicherheitsinhalt von Safari 8.0.8.
Informationen zu nicht von Apple hergestellten Produkten oder nicht von Apple kontrollierten oder geprüften unabhängigen Websites stellen keine Empfehlung oder Billigung dar. Apple übernimmt keine Verantwortung für die Auswahl, Leistung oder Nutzung von Websites und Produkten Dritter. Apple gibt keine Zusicherungen bezüglich der Genauigkeit oder Zuverlässigkeit der Websites Dritter ab. Kontaktiere den Anbieter, um zusätzliche Informationen zu erhalten.