Informationen zum Sicherheitsinhalt von Mac OS X 10.6.7 und Sicherheitsupdate 2011-001

In diesem Dokument werden der Sicherheitsinhalt von Mac OS X 10.6.7 und das Sicherheitsupdate 2011-001 beschrieben.

In diesem Dokument werden der Sicherheitsinhalt von Mac OS X 10.6.7 und das Sicherheitsupdate 2011-001 beschrieben, das über die Softwareaktualisierung in den Systemeinstellungen oder unter Apple-Downloads geladen und installiert werden kann.

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit finden Sie auf der Website Apple-Produktsicherheit.

Informationen zum Apple PGP-Schlüssel für die Produktsicherheit finden Sie unter "Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit".

Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.

Informationen zu weiteren Sicherheitsupdates finden Sie unter "Apple-Sicherheitsupdates".

Mac OS X 10.6.7 und Sicherheitsupdate 2011-001

  • AirPort

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Wenn eine WLAN-Verbindung besteht, könnte ein Angreifer in demselben Netzwerk ein Zurücksetzen des Systems auslösen

    Beschreibung: Bei der Verarbeitung von Wi-Fi-Frames trat ein Problem mit einer Division durch Null auf. Wenn eine WLAN-Verbindung besteht, könnte ein Angreifer in demselben Netzwerk ein Zurücksetzen des Systems auslösen. Das Problem betrifft keine Systeme vor Mac OS X 10.6.

    CVE-ID

    CVE-2011-0172

  • Apache

    Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Mehrere Schwachstellen in Apache 2.2.15

    Beschreibung: Apache wird auf Version 2.2.17 aktualisiert, um mehrere Schwachstellen zu beheben, die im schlimmsten Fall zu einem Denial-of-Service führen können. Weitere Informationen finden Sie auf der Apache-Website unter http://httpd.apache.org/.

    CVE-ID

    CVE-2010-1452

    CVE-2010-2068

  • AppleScript

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Ausführen eines Programms auf der Grundlage von AppleScript Studio, das eine nicht vertrauenswürdige Eingabe zulässt, um diese an einen Dialog weiterzuleiten, kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: In den allgemeinen Dialogbefehlen von AppleScript Studio ("display dialog" und "display alert") gab es ein Problem mit Formatzeichenketten. Das Ausführen eines Programms auf der Grundlage von AppleScript Studio, das eine nicht vertrauenswürdige Eingabe zulässt, um diese an einen Dialog weiterzuleiten, kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    CVE-ID

    CVE-2011-0173: Alexander Strange

  • ATS

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Anzeigen oder Laden eines Dokuments, das in böswilliger Absicht erstellte eingebettete Schriften enthält, kann zur Ausführung willkürlichen Codes führen

    Beschreibung: Die Verarbeitung von OpenType-Schriften konnte zu einem Stapelpufferüberlauf führen. Das Anzeigen oder Laden eines Dokuments, das in böswilliger Absicht erstellte eingebettete Schriften enthält, kann zur Ausführung willkürlichen Codes führen.

    CVE-ID

    CVE-2011-0174

  • ATS

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Anzeigen oder Laden eines Dokuments, das in böswilliger Absicht erstellte eingebettete Schriften enthält, kann zur Ausführung willkürlichen Codes führen

    Beschreibung: Die Verarbeitung von TrueType-Schriften konnte zu einem Stapelpufferüberlauf führen. Das Anzeigen oder Laden eines Dokuments, das in böswilliger Absicht erstellte eingebettete Schriften enthält, kann zur Ausführung willkürlichen Codes führen.

    CVE-ID

    CVE-2011-0175: Christoph Diehl von Mozilla, Felix Grobert vom Google-Sicherheitsteam, Marc Schoenefeld vom Red Hat Security Response Team, Tavis Ormandy und Will Drewry vom Google-Sicherheitsteam

  • ATS

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Anzeigen oder Laden eines Dokuments, das in böswilliger Absicht erstellte eingebettete Schriften enthält, kann zur Ausführung willkürlichen Codes führen

    Beschreibung: Die Verarbeitung von Type 1-Schriften konnte zu einem Stapelpufferüberlauf führen. Das Anzeigen oder Laden eines Dokuments, das in böswilliger Absicht erstellte eingebettete Schriften enthält, kann zur Ausführung willkürlichen Codes führen.

    CVE-ID

    CVE-2011-0176: Felix Grobert vom Google-Sicherheitsteam, in Geek-Zusammenarbeit mit der Zero Day Initiative von TippingPoint

  • ATS

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Anzeigen oder Laden eines Dokuments, das in böswilliger Absicht erstellte eingebettete Schriften enthält, kann zur Ausführung willkürlichen Codes führen

    Beschreibung: Die Verarbeitung von SFNT-Tabellen konnte zu einem Stapelpufferüberlauf führen. Das Anzeigen oder Laden eines Dokuments, das in böswilliger Absicht erstellte eingebettete Schriften enthält, kann zur Ausführung willkürlichen Codes führen.

    CVE-ID

    CVE-2011-0177: Marc Schoenefeld vom Red Hat Security Response Team

  • bzip2

    Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Die Verwendung des Befehlzeilentools bzip2 oder bunzip2 zum Extrahieren einer bzip2-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Die Verarbeitung von mit bzip2 komprimierten Dateien in bzip2 konnte zu einem Ganzzahl-Pufferüberlauf führen. Die Verwendung des Befehlzeilentools bzip2 oder bunzip2 zum Extrahieren einer bzip2-Datei kann zum unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    CVE-ID

    CVE-2010-0405

  • CarbonCore

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Programme, die FSFindFolder() mit dem Flag kTemporaryFolderType verwenden, sind anfällig für die lokale Offenlegung von Daten

    Beschreibung: Wenn die API FSFindFolder() mit dem Flag kTemporaryFolderType verwendet wird, gibt diese ein Verzeichnis zurück, das für jeden lesbar ist. Dieses Problem wird behoben, indem ein Verzeichnis zurückgegeben wird, das nur von dem Benutzer gelesen werden kann, der den Prozess ausführt.

    CVE-ID

    CVE-2011-0178

  • ClamAV

    Verfügbar für: Mac OS X Server 10.5.8, Mac OS X Server 10.6.6

    Auswirkung: Mehrere Schwachstellen in ClamAV

    Beschreibung: ClamAV hat mehrere Schwachstellen, von denen die schwerwiegendste zu einer unvorhergesehenen Codeausführung führen kann. Dieses Update behebt diese Probleme durch Aktualisierung von ClamAV auf Version 0.96.5. ClamAV wird nur mit Mac OS X Server-Systemen vertrieben. Weitere Informationen erhalten Sie auf der ClamAV-Website unter http://www.clamav.net/

    CVE-ID

    CVE-2010-0405

    CVE-2010-3434

    CVE-2010-4260

    CVE-2010-4261

    CVE-2010-4479

  • CoreText

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Anzeigen oder Laden eines Dokuments, das in böswilliger Absicht erstellte eingebettete Schriften enthält, kann zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von Schriftdateien in CoreText kam es zu einem Speicherfehler. Das Anzeigen oder Laden eines Dokuments, das in böswilliger Absicht erstellte eingebettete Schriften enthält, kann zur Ausführung willkürlichen Codes führen.

    CVE-ID

    CVE-2011-0179: Christoph Diehl von Mozilla

  • Dateiquarantäne

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Definition hinzugefügt

    Beschreibung: Die Definition OSX.OpinionSpy wurde zur Malware-Überprüfung innerhalb der Dateiquarantäne hinzugefügt.

  • HFS

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Ein lokaler Benutzer könnte in der Lage sein, beliebige Dateien der Dateisysteme HFS, HFS+ oder HFS+J zu lesen

    Beschreibung: Bei der Verarbeitung der E/A-Steuerung F_READBOOTSTRAP konnte es zu einem Ganzzahl-Pufferüberlauf kommen. Ein lokaler Benutzer könnte in der Lage sein, beliebige Dateien der Dateisysteme HFS, HFS+ oder HFS+J zu lesen.

    CVE-ID

    CVE-2011-0180: Dan Rosenberg von Virtual Security Research

  • ImageIO

    Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Die Verarbeitung von JPEG-Bildern in ImageIO konnte zu einem Stapelpufferüberlauf führen. Der Besuch einer in böswilliger Absicht erstellten Website kann zu einer unerwarteten Programmbeendigung oder zur Ausführung willkürlichen Codes führen.

     

    CVE-ID

    CVE-2011-0170: Andrzej Dyjak von iDefense VCP

  • ImageIO

    Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Anzeigen eines in böswilliger Absicht erstellten XBM-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von XBM-Bildern durch ImageIO gab es einen Ganzzahl- Pufferüberlauf. Das Anzeigen eines in böswilliger Absicht erstellten XBM-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    CVE-ID

    CVE-2011-0181: Harry Sintonen

  • ImageIO

    Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Anzeigen eines in böswilliger Absicht erstellten TIFF-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Die Verarbeitung von JPEG-codierten TIFF-Bildern durch libTIFF konnte zu einem Pufferüberlauf führen. Das Anzeigen eines in böswilliger Absicht erstellten TIFF-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    CVE-ID

    CVE-2011-0191: Apple

  • ImageIO

    Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Anzeigen eines in böswilliger Absicht erstellten TIFF-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Die Verarbeitung von CCITT Group 4-codierten TIFF-Bildern durch libTIFF konnte zu einem Pufferüberlauf führen. Das Anzeigen eines in böswilliger Absicht erstellten TIFF-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    CVE-ID

    CVE-2011-0192: Apple

  • ImageIO

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Anzeigen eines in böswilliger Absicht erstellten mit JPEG codierten TIFF-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von mit JPEG codierten TIFF-Bildern durch ImageIO gab es einen Ganzzahl-Pufferüberlauf. Das Anzeigen eines in böswilliger Absicht erstellten TIFF-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Das Problem betrifft keine Systeme vor Mac OS X 10.6.

    CVE-ID

    CVE-2011-0194: Dominic Chell von NGS Secure

  • Image RAW

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Anzeigen eines in böswilliger Absicht erstellten Canon RAW-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von Canon RAW-Bildern durch Image RAW gab es einen Stapelpufferüberlauf. Das Anzeigen eines in böswilliger Absicht erstellten Canon RAW-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    CVE-ID

    CVE-2011-0193: Paul Harrington von NGS Secure

  • Installationsprogramm

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website kann zur Installation eines Agents führen, der bei der Anmeldung des Benutzers einen beliebigen Server kontaktiert und den Benutzer glauben lässt, dass es sich um eine Verbindung mit Apple handelt

    Beschreibung: Ein Problem bei der URL-Verarbeitung in Install Helper kann zur Installation eines Agents führen, der bei Anmeldung eines Benutzers einen beliebigen Server kontaktiert. Der auf den Fehlschlag der Verbindung folgende Dialog kann den Benutzer glauben lassen, dass dies ein Verbindungsversuch zu Apple war. Dieses Problem wird durch das Entfernen von Install Helper behoben.

    CVE-ID

    CVE-2011-0190: Aaron Sigel von vtty.com

  • Kerberos

    Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Mehrere Schwachstellen in MIT Kerberos 5

    Beschreibung: Es gab mehrere kryptografische Probleme in MIT Kerberos 5. Nur CVE-2010-1323 betrifft Mac OS X 10.5. Weitere Informationen zu diesen Problemen und zu den angewendeten Patch-Programmen finden Sie auf der Website von MIT Kerberos unter http://web.mit.edu/Kerberos/.

    CVE-ID

    CVE-2010-1323

    CVE-2010-1324

    CVE-2010-4020

    CVE-2010-4021

  • Kernel

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit Systemrechten ausführen

    Beschreibung: Bei der Verarbeitung von Call Gates beim Systemaufruf i386_set_ldt gab es ein Problem mit der Berechtigungsüberprüfung. Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit Systemrechten ausführen. Dieses Problem wird behoben, indem Call Gate-Einträge per i386_set_ldt() nicht mehr zugelassen werden.

    CVE-ID

    CVE-2011-0182: Jeff Mears

  • Libinfo

    Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Ein entfernter Angreifer könnte einen Denial-of-Service-Angriff auf Hosts ausführen, die NFS-Dateisysteme exportieren

    Beschreibung: Bei der Verarbeitung von NFS-RPC-Paketen durch Libinfo konnte es zur Beschneidung von Ganzzahlen kommen. Ein entfernter Angreifer könnte NFS-RPC-Dienste wie lockd, statd, mountd und portmap dazu bringen, nicht mehr zu reagieren.

    CVE-ID

    CVE-2011-0183: Peter Schwenk von der Universität Delaware

  • libxml

    Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von XPath-Ausdrücken durch libxml kam es zu einem Speicherfehler. Der Besuch einer in böswilliger Absicht erstellten Website kann zu einer unerwarteten Programmbeendigung oder zur Ausführung willkürlichen Codes führen.

    CVE-ID

    CVE-2010-4008: Bui Quang Minh von Bkis (www.bkis.com)

  • libxml

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von XPath-Ausdrücken durch libxml kam es zu einem Double-Free-Problem. Der Besuch einer in böswilliger Absicht erstellten Website kann zu einer unerwarteten Programmbeendigung oder zur Ausführung willkürlichen Codes führen. Das Problem betrifft keine Systeme vor Mac OS X 10.6.

    CVE-ID

    CVE-2010-4494: Yang Dingning von NCNIPC, Graduate University of Chinese Academy of Sciences

  • Mailman

    Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Mehrere Schwachstellen in Mailman 2.1.13

    Beschreibung: Es gab mehrere Cross-Site-Scripting-Probleme in Mailman 2.1.13. Diese Probleme werden durch die Aktualisierung auf Mailman 2.1.14 behoben. Weitere Informationen finden Sie auf der Mailman-Website unter http://mail.python.org/pipermail/mailman-announce/2010-September/000154.html.

    CVE-ID

    CVE-2010-3089

  • PHP

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Mehrere Schwachstellen in PHP 5.3.3

    Beschreibung: PHP wird auf Version 5.3.4 aktualisiert, um mehrere Schwachstellen zu beseitigen, die im schlimmsten Fall zur Ausführung willkürlichen Codes führen können. Weitere Informationen finden Sie auf der PHP-Website unter http://www.php.net/.

    CVE-ID

    CVE-2006-7243

    CVE-2010-2950

    CVE-2010-3709

    CVE-2010-3710

    CVE-2010-3870

    CVE-2010-4150

    CVE-2010-4409

  • PHP

    Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8

    Auswirkung: Mehrere Schwachstellen in PHP 5.2.14

    Beschreibung: PHP wird auf Version 5.2.15 aktualisiert, um mehrere Schwachstellen zu beseitigen, die im schlimmsten Fall zur Ausführung willkürlichen Codes führen können. Weitere Informationen finden Sie auf der PHP-Website unter http://www.php.net/.

    CVE-ID

    CVE-2010-3436

    CVE-2010-3709

    CVE-2010-4150

  • QuickLook

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Laden einer in böswilliger Absicht erstellten Excel-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von Excel-Dateien in QuickLook konnte es zu einem Speicherfehler kommen. Das Laden einer in böswilliger Absicht erstellten Excel-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Das Problem betrifft keine Systeme vor Mac OS X 10.6.

    CVE-ID

    CVE-2011-0184: Tobias Klein in Zusammenarbeit mit Verisign iDefense Labs

  • QuickLook

    Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Laden einer in böswilliger Absicht erstellten Microsoft Office-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von Microsoft Office-Dateien in QuickLook konnte es zu einem Speicherfehler kommen. Das Laden einer in böswilliger Absicht erstellten Microsoft Office-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    CVE-ID

    CVE-2011-1417: Charlie Miller und Dion Blazakis in Zusammenarbeit mit der Zero Day Initiative von TippingPoint

  • QuickTime

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Anzeigen einer in böswilliger Absicht erstellten JPEG2000-Bilddatei mit QuickTime kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von JPEG2000-Bildern in QuickTime traten mehrere Speicherfehler auf. Das Anzeigen einer in böswilliger Absicht erstellten JPEG2000-Bilddatei mit QuickTime kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    CVE-ID

    CVE-2011-0186: Will Dormann von CERT/CC

  • QuickTime

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Anzeigen einer in böswilliger Absicht erstellten Filmdatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Die Verarbeitung von Filmdateien in QuickTime konnte zu einem Ganzzahl-Pufferüberlauf führen. Das Anzeigen einer in böswilliger Absicht erstellten Filmdatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Für Mac OS X 10.5-Systeme wurde das Problem in QuickTime 7.6.9 behoben.

    CVE-ID

    CVE-2010-4009: Honggang Ren von FortiGuard Labs von Fortinet

  • QuickTime

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Anzeigen eines in böswilliger Absicht erstellten FlashPix-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von FlashPix-Bildern in QuickTime kam es zu einem Speicherfehler. Das Anzeigen eines in böswilliger Absicht erstellten FlashPix-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Für Mac OS X 10.5-Systeme wurde das Problem in QuickTime 7.6.9 behoben.

    CVE-ID

    CVE-2010-3801: Damian Put in Zusammenarbeit mit der Zero Day Initiative von TippingPoint und Rodrigo Rubira Branco vom Check Point Vulnerability Discovery Team

  • QuickTime

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website kann zur ungewollten Offenlegung von Videodaten einer anderen Site führen

    Beschreibung: Bei der Verarbeitung von Cross-Site-Umleitungen kam es im QuickTime-Plug-in zu einem Cross-Origin-Problem. Der Besuch einer in böswilliger Absicht erstellten Website kann zur ungewollten Offenlegung von Videodaten einer anderen Site führen. Dieses Problem wird behoben, indem QuickTime daran gehindert wird, Cross-Site-Umleitungen zu folgen.

    CVE-ID

    CVE-2011-0187: Nirankush Panchbhai und Microsoft Vulnerability Research (MSVR)

  • QuickTime

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Anzeigen einer in böswilliger Absicht erstellten QTVR-Filmdatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: Bei der Verarbeitung von Panorama-Atomen in QTVR-Filmdateien (QuickTime Virtual Reality) kam es zu einem Speicherfehler. Das Anzeigen einer in böswilliger Absicht erstellten QTVR-Filmdatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Für Mac OS X 10.5-Systeme wurde das Problem in QuickTime 7.6.9 behoben.

    CVE-ID

    CVE-2010-3802: Ein anonymer Forscher in Zusammenarbeit mit der Zero Day Initiative von TippingPoint

  • Ruby

    Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Das Ausführen eines Ruby-Skripts, das eine nicht vertrauenswürdige Eingabe verwendet, um ein BigDecimal-Objekt zu erstellen, kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

    Beschreibung: In der Klasse BigDecimal von Ruby gab es ein Problem, das zur Ganzzahlbeschneidung führen konnte. Das Ausführen eines Ruby-Skripts, das eine nicht vertrauenswürdige Eingabe verwendet, um ein BigDecimal-Objekt zu erstellen, kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Dieses Problem betrifft nur 64-Bit-Prozesse von Ruby.

    CVE-ID

    CVE-2011-0188: Apple

  • Samba

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Wenn die SMB-Dateifreigabe aktiviert ist, könnte ein entfernter Angreifer einen Denial-of-Service oder die Ausführung willkürlichen Codes verursachen

    Beschreibung: Bei der Verarbeitung von Windows-Sicherheits-IDs in Samba konnte es zu einem Stapelpufferüberlauf kommen. Wenn die SMB-Dateifreigabe aktiviert ist, könnte ein entfernter Angreifer einen Denial-of-Service oder die Ausführung willkürlichen Codes verursachen.

    CVE-ID

    CVE-2010-3069

  • Subversion

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Bei Subversion-Servern, welche die nicht standardmäßige Konfiguration "SVNPathAuthz short_circuit" für mod_dav_svn verwenden, können nicht autorisierte Benutzer Zugriff auf Teile des Repository erlangen

    Beschreibung: Bei Subversion-Servern, welche die nicht standardmäßige Konfiguration "SVNPathAuthz short_circuit" für mod_dav_svn verwenden, können nicht autorisierte Benutzer Zugriff auf Teile des Repository erlangen. Dieses Problem wird durch die Aktualisierung von Subversion auf Version 1.6.13 behoben. Systeme vor Mac OS X 10.6 sind hiervon nicht betroffen.

    CVE-ID

    CVE-2010-3315

  • Terminal

    Verfügbar für: Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Wenn im Terminal-Dialog "Neue entfernte Verbindung" SSH verwendet wird, dann wird SSH-Version 1 als Standardversion für das Protokoll ausgewählt

    Beschreibung: Wenn im Terminal-Dialog "Neue entfernte Verbindung" SSH verwendet wird, dann wird SSH-Version 1 als Standardprotokollversion ausgewählt. Dieses Problem wird durch Änderung der Standardprotokollversion auf "Automatisch" behoben. Das Problem betrifft keine Systeme vor Mac OS X 10.6.

    CVE-ID

    CVE-2011-0189: Matt Warren von HNW Inc.

  • X11

    Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.6, Mac OS X Server 10.6 bis 10.6.6

    Auswirkung: Mehrere Schwachstellen in FreeType

    Beschreibung: In FreeType gab es mehrere Schwachstellen, die im schlimmsten Fall bei der Verarbeitung von in böswilliger Absicht erstellten Schriftartdaten zur Ausführung willkürlichen Codes führen können. Dieses Problem wird durch die Aktualisierung auf Version 2.4.4 behoben. Weitere Informationen finden Sie auf der FreeType-Website unter http://www.freetype.org/.

    CVE-ID

    CVE-2010-3814

    CVE-2010-3855

 

Informationen zu nicht von Apple gefertigten Produkten sowie nicht von Apple gesteuerte oder geprüfte unabhängige Websites werden ohne Empfehlung und Unterstützung zur Verfügung gestellt. Apple übernimmt keine Verantwortung für die Auswahl, Leistung oder Nutzung von Websites und Produkten Dritter. Apple übernimmt keine Garantie für die Richtigkeit und Zuverlässigkeit von Drittanbieter-Websites. Die Nutzung des Internets birgt Risiken. Kontaktieren Sie den Hersteller, um zusätzliche Informationen zu erhalten. Andere Produkt- und Firmennamen sind möglicherweise Marken ihrer jeweiligen Eigentümer.

Veröffentlichungsdatum: