Informationen zum Sicherheitsinhalt des Mac OS X 10.4.8-Updates und zum Sicherheitsupdate 2006-006

In diesem Dokument werden das Sicherheitsupdate 2006-006 und der Sicherheitsinhalt des Mac OS X 10.4.8-Updates beschrieben, die über die Einstellungen für „Softwareupdates“ oder über die Downloads-Seite auf der Apple-Website geladen und installiert werden können.

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit findest du auf der Website zur Apple-Produktsicherheit.

Informationen zum Apple-PGP-Schlüssel für die Produktsicherheit findest du unter “Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit.“

Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.

Informationen zu weiteren Sicherheitsupdates findest du unter „Apple-Sicherheitsupdates.“

Mac OS X 10.4.8 und Sicherheitsupdate 2006-006

• CFNetwork

  CVE-ID: CVE-2006-4390

  Verfügbar für: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4 bis Mac OS X 10.4.7, Mac OS X Server 10.4 bis Mac OS X Server 10.4.7

  Auswirkungen: CFNetwork-Clients wie Safari lassen möglicherweise zu, dass nicht authentifizierte SSL-Websites als authentifiziert erscheinen.

  Beschreibung: Über SSL hergestellte Verbindungen sind normalerweise authentifiziert und verschlüsselt. Wenn die Verschlüsseleung ohne Authentifizierung implementiert ist, können sich bösartige Websites möglicherweise als vertrauenswürdige Websites ausgeben. Im Fall von Safari kann dies dazu führen, dass das Schlosssymbol angezeigt wird, wenn die Identität eines Remotestandorts nicht vertrauenswürdig ist. Dieses Update behebt das Problem, indem anonyme SSL-Verbindungen standardmäßig nicht zulässig sind. Danke an Adam Bryzak von der Queensland University of Technology für die Meldung dieses Problems.

• Flash Player

  CVE-ID: CVE-2006-3311, CVE-2006-3587, CVE-2006-3588, CVE-2006-4640

  Verfügbar für: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4 bis Mac OS X 10.4.7, Mac OS X Server 10.4 bis Mac OS X Server 10.4.7

  Auswirkung: Die Wiedergabe von Flash-Inhalten kann zur Ausführung willkürlichen Codes führen.

  Beschreibung: Adobe Flash Player hat kritische Schwachstellen, die zur Ausführung willkürlichen Codes führen können, wenn in bösartiger Absicht erstellte Inhalte verarbeitet werden. Dieses Update behebt das Problem, indem Flash Player-Version 9.0.16.0 auf Mac OS X 10.3.9-Systemen und Flash Player-Version 9.0.20.0 auf Mac OS X 10.4-Systemen implementiert wird.

  Weitere Informationen findest du auf der Adobe-Website unter http://www.adobe.com/support/security/bulletins/apsb06-11.html.

• ImageIO

  CVE-ID: CVE-2006-4391

  Verfügbar für: Mac OS X 10.4 bis Mac OS X 10.4.7, Mac OS X Server 10.4 bis Mac OS X Server 10.4.7

  Auswirkung: Das Anzeigen eines in böswilliger Absicht erstellten JPEG2000-Bildes kann zu einem Programmabsturz oder zur Ausführung willkürlichen Codes führen.

  Beschreibung: Ein Angreifer kann ein fehlerhaftes JPEG2000-Bild erstellen, um einen Pufferüberlauf auszulösen, der zu einem Programmabsturz oder zur Ausführung willkürlichen Codes führen kann. Dieses Update behebt das Problem durch eine zusätzliche Überprüfung von JPEG2000-Bildern. Systeme vor Mac OS X 10.4 sind nicht von diesem Problem betroffen. Danke an Tom Saxton von Idle Loop Software Design für die Meldung dieses Problems.

• Kernel

  CVE-ID: CVE-2006-4392

  Verfügbar für: Mac OS X 10.4 bis Mac OS X 10.4.7, Mac OS X Server 10.4 bis Mac OS X Server 10.4.7

  Auswirkung: Lokale Benutzer können möglicherweise willkürlichen Code mit erhöhten Berechtigungen ausführen.

  Beschreibung: Ein als Mach-Ausnahmeports bekannter Fehlerverarbeitungsmechanismus im Kernel bietet die Möglichkeit, Programme bei bestimmten Arten von Fehlern zu steuern. Böswillige lokale Benutzer können diesen Mechanismus möglicherweise zum Ausführen willkürlichen Codes in privilegierten Programmen verwenden, wenn ein Fehler auftritt. Dieses Update behebt das Problem, indem der Zugriff auf Mach-Ausnahmeports für privilegierte Programme eingeschränkt wird. Danke an Dino Dai Zovi von Matasano Security für die Meldung dieses Problems.

• LoginWindow

  CVE-ID: CVE-2006-4397

  Verfügbar für: Mac OS X 10.4 bis Mac OS X 10.4.7, Mac OS X Server 10.4 bis Mac OS X Server 10.4.7

  Auswirkung: Nach einem fehlgeschlagenen Anmeldeversuch bei einem Netzwerkaccount sind Kerberos-Tickets möglicherweise für andere lokale Benutzer zugänglich.

  Beschreibung: Aufgrund einer ungeprüften Fehlerbedingung werden Kerberos-Tickets nach einem fehlgeschlagenen Anmeldeversuch bei einem Netzwerkaccount mit LoginWindow möglicherweise nicht ordnungsgemäß zerstört. Das könnte dazu führen, dass andere lokale Benutzer unberechtigten Zugriff auf Kerberos-Tickets eines vorherigen Benutzers erlangen können. Dieses Update behebt das Problem durch Löschen des Anmeldedaten-Caches nach fehlgeschlagenen Anmeldeversuchen. Systeme vor Mac OS X 10.4 sind nicht von diesem Problem betroffen. Danke an Patrick Gallagher von Digital Peaks Corporation für die Meldung dieses Problems.

• LoginWindow

  CVE-ID: CVE-2006-4393

  Verfügbar für: Mac OS X 10.4 bis Mac OS X 10.4.7, Mac OS X Server 10.4 bis Mac OS X Server 10.4.7

  Auswirkung: Kerberos-Tickets sind möglicherweise für andere lokale Benutzer zugänglich, wenn der schnelle Benutzerwechsel aktiviert ist.

  Beschreibung: Ein Fehler bei der Verarbeitung des schnellen Benutzerwechsels kann dazu führen, dass ein lokaler Benutzer Zugang zu Kerberos-Tickets anderer lokaler Benutzer erhält. Der schnelle Benutzerwechsel wurde aktualisiert, um diese Situation zu verhindern. Systeme vor Mac OS X 10.4 sind nicht von diesem Problem betroffen. Danke an Ragnar Sundblad vom Royal Institute of Technology in Stockholm (Schweden) für die Meldung dieses Problems.

• LoginWindow

  CVE-ID: CVE-2006-4394

  Verfügbar für: Mac OS X 10.4 bis Mac OS X 10.4.7, Mac OS X Server 10.4 bis Mac OS X Server 10.4.7

  Auswirkung: Netzwerkaccounts können möglicherweise die Servicezugriffssteuerungen von LoginWindow umgehen.

  Beschreibung: Servicezugriffssteuerungen können verwendet werden, um zu beschränken, welche Benutzer sich über LoginWindow bei einem System anmelden dürfen. Aufgrund eines Logikfehlers in LoginWindow können Netzwerkaccounts ohne GUIDs Servicezugriffssteuerungen umgehen. Dieses Problem betrifft nur Ssyteme, die so konfiguriert sind, dass Servicezugriffssteuerungen für LoginWindow verwendet werden und zugelassen wird, dass Netzwerkaccounts Benutzer ohne eine GUID authentifizieren. Das Problem wurde durch die korrekte Verarbeitung von Servicezugriffssteuerungen in LoginWindow behoben. Dieses Problem betrifft keine Systeme vor Mac OS X v10.4.

• Preferences

  CVE-ID: CVE-2006-4387

  Verfügbar für: Mac OS X 10.4 bis Mac OS X 10.4.7, Mac OS X Server 10.4 bis Mac OS X Server 10.4.7

  Auswirkung: Nach dem Entfernen der Administratorberechtigungen eines Accounts kann der Account weiterhin WebObjects-Anwendungen verwalten.

  Beschreibung: Wenn in den Systemeinstellungen die Option deaktiviert wird, dass der Benutzer den Computer verwalten kann, wird der Account möglicherweise nicht aus der Gruppe „appserveradm“ oder „appserverusr“ entfernt. Diese Gruppen lassen zu, dass ein Account WebObjects-Anwendungen verwaltet. Dieses Update behebt das Problem, indem sichergestellt wird, dass der Account aus den entsprechenden Gruppen entfernt wird. Systeme vor Mac OS X 10.4 sind nicht von diesem Problem betroffen. Danke an Phillip Tejada von Fruit Bat Software für die Meldung dieses Problems.

• QuickDraw Manager

  CVE-ID: CVE-2006-4395

  Verfügbar für: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4 bis Mac OS X 10.4.7, Mac OS X Server 10.4 bis Mac OS X Server 10.4.7

  Auswirkung: Das Öffnen eines schädlichen PICT-Bildes mit bestimmten Anwendungen kann zu einem Programmabsturz oder zur Ausführung willkürlichen Codes führen.

  Beschreibung: Bestimmte Anwendungen rufen zur Anzeige von PICT-Bildern einen nicht unterstützten QuickDraw-Vorgang auf. Ein Angreifer kann ein fehlerhaftes PICT-Bild erstellen, um in diesen Anwendungen einen Speicherfehler auszulösen, der zu einem Programmabsturz oder zur Ausführung willkürlichen Codes führen kann. Dieses Update behebt das Problem, indem der nicht unterstützte Vorgang verhindert wird.

• SASL

  CVE-ID: CVE-2006-1721

  Verfügbar für: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4 bis Mac OS X 10.4.7, Mac OS X Server 10.4 bis Mac OS X Server 10.4.7

  Auswirkung: Entfernte Angreifer können einen Denial-of-Service des IMAP-Servers verursachen.

  Beschreibung: Ein Problem bei der Unterstützung für DIGEST-MD5-Verhandlungen in Cyrus SASL kann zu einem Segmentierungsfehler im IMAP-Server mit einer in bösartiger Absicht erstellten Bereichsüberschrift führen. Dieses Update behebt das Problem durch die bessere Verarbeitung von Bereichsüberschriften bei Authentifizierungsversuchen.

• WebCore

  

  Available for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 through Mac OS X v10.4.7, Mac OS X Server v10.4 through Mac OS X Server v10.4.7

  Impact: Viewing a maliciously-crafted web page may lead to arbitrary code execution

  Description: A memory management error in WebKit's handling of certain HTML could allow a malicious web site to cause a crash or potentially execute arbitrary code as the user viewing the site. This update addresses the issue by preventing the condition causing the overflow. Credit to Jens Kutilek of Netzallee, Lurene Grenier - Senior Research Engineer at Sourcefire VRT, and Jose Avila III - Security Analyst at ONZRA for reporting this issue.

• Workgroup Manager

  CVE-ID: CVE-2006-4399

  Verfügbar für: Mac OS X Server 10.4 bis Mac OS X Server 10.4.7

  Auswirkung: Accounts in einem übergeordneten NetInfo-Element, die offenbar ShadowHash-Passwörter verwenden, können weiterhin „crypt“ verwenden.

  Beschreibung: Der Arbeitsgruppenmanager scheint den Wechsel der Authentifizierungsart von „crypt“ zu ShadowHash-Passwörtern in einem übergeordneten NetInfo-Element zu unterstützen, obwohl dies tatsächlich nicht der Fall ist. Wenn die Ansicht eines Accounts in einem übergeordneten NetInfo-Element aktualisiert wird, wird korrekt angezeigt, das weiterhin „crypt“ verwendet wird. Dieses Update behebt das Problem, indem nicht mehr zugelassen wird, dass Administratoren ShadowHash-Passwörter für Accounts in einem übergeordneten NetInfo-Element auswählen. Danke an Chris Pepper von der Rockefeller University für die Meldung dieses Problems.

Installationshinweis

Unter „Softwareupdate“ wird das Update für deine Systemkonfiguration angezeigt. Es ist nur ein Update erforderlich.

Das Sicherheitsupdate 2006-006 wird auf Systemen mit Mac OS X 10.3.9 und Mac OS X Server 10.3.9 installiert.

Mac OS X 10.4.8 umfasst die Sicherheitskorrekturen, die im Sicherheitsupdate 2006-006 enthalten sind, und wird auf Systemen mit Mac OS X 10.4 oder neuer sowie mit Mac OS X Server 10.4 oder neuer installiert.