Dieses Update kann über die Option "Softwareaktualisierung" in den Systemeinstellungen oder unter Apple-Downloads geladen und installiert werden.
Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit finden Sie auf der Website Apple-Produktsicherheit.
Informationen zum Apple PGP-Schlüssel für die Produktsicherheit finden Sie unter Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit.
Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.
Informationen zu weiteren Sicherheitsupdates finden Sie unter Apple-Sicherheitsupdates.
Mac OS X 10.6.8 und Sicherheitsupdate 2011-004
AirPort
Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Auswirkung: Wenn eine WLAN-Verbindung besteht, könnte ein Angreifer in demselben Netzwerk ein Zurücksetzen des Systems auslösen
Beschreibung: Bei der Verarbeitung von Wi-Fi-Frames trat ein Problem mit Lesevorgängen außerhalb der Speichergrenzen auf. Wenn eine WLAN-Verbindung besteht, könnte ein Angreifer in demselben Netzwerk ein Zurücksetzen des Systems auslösen. Dieses Problem betrifft keine Systeme, auf denen Mac OS X 10.6 ausgeführt wird.
CVE-ID
CVE-2011-0196
App Store
Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Das Apple-ID-Passwort des Benutzers wird unter Umständen in einer lokalen Datei gesichert
Beschreibung: Unter bestimmten Umständen sichert der App Store das Apple-ID-Passwort des Benutzers in einer Datei, die nicht von anderen Benutzern des Systems gelesen werden kann. Dieses Problem wird durch eine verbesserte Verarbeitung der Anmeldedaten behoben.
CVE-ID
CVE-2011-0197: Paul Nelson
ATS
Verfügbar für: Mac OS X 10.6 bis Mac OS X 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Das Anzeigen oder Laden eines Dokuments, das in böswilliger Absicht erstellte eingebettete Schriften enthält, kann zur Ausführung von willkürlichem Code führen
Beschreibung: Die Verarbeitung von TrueType-Schriften konnte zu einem Stapelpufferüberlauf führen. Das Anzeigen oder Laden eines Dokuments, das in böswilliger Absicht erstellte eingebettete Schriften enthält, kann zur Ausführung willkürlichen Codes führen.
CVE-ID
CVE-2011-0198: Harry Sintonen, Marc Schoenefeld vom Red Hat Security Response Team
Richtlinie für vertrauenswürdige Zertifikate
Verfügbar für: Mac OS X 10.6 bis Mac OS X 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Ein Angreifer mit einer privilegierten Netzwerkposition kann Berechtigungsnachweise eines Benutzers oder andere sensible Daten abfangen
Beschreibung: Bei der Richtlinie für vertrauenswürdige Zertifikate kam es zu einem Problem mit der Fehlerbehandlung. Wenn ein Extended-Validation-Zertifikat keine OCSP-URL aufweist und die CRL-Überprüfung aktiviert ist, wird die CRL nicht überprüft und ein zurückgerufenes Zertifikat möglicherweise als gültig angenommen. Dieses Problem wurde entschärft, da die meisten EV-Zertifikate eine OCSP-URL festlegen.
CVE-ID
CVE-2011-0199: Chris Hawk und Wan-Teh Chang von Google
ColorSync
Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Auswirkung: Das Anzeigen von nicht vertrauenswürdigen Bildern mit eingebettetem ColorSync-Profil kann zu einer unerwarteten Programmbeendigung oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Bildern mit einem eingebetteten ColorSync-Profil tritt ein Ganzzahlüberlauf auf, der zu einem Stapelpufferüberlauf führen kann. Das Öffnen eines in böswilliger Absicht erstellten Bildes mit einem eingebetteten ColorSync-Profil kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.
CVE-ID
CVE-2011-0200: binaryproof in Zusammenarbeit mit der Zero Day Initiative von TippingPoint
CoreFoundation
Verfügbar für: Mac OS X 10.6 bis Mac OS X 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Programme, die das CoreFoundation-Framework verwenden, können anfällig für die Ausführung willkürlichen Codes oder einen unerwarteten Programmabbruch sein
Beschreibung: Bei der Bearbeitung von CFStrings konnte es zu einem Stapelüberlauf des Typs "off-by-one" kommen. Programme, die das CoreFoundation-Framework verwenden, können anfällig für die Ausführung willkürlichen Codes oder einen unerwarteten Programmabbruch sein.
CVE-ID
CVE-2011-0201: Harry Sintonen
CoreGraphics
Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Das Öffnen einer in böser Absicht erstellten PDF-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Bearbeitung von Type 1-Schriften konnte es zu einem Ganzzahlüberlauf kommen. Das Anzeigen oder Laden eines Dokuments, das in böswilliger Absicht erstellte eingebettete Schriften enthält, kann zur Ausführung willkürlichen Codes führen.
CVE-ID
CVE-2011-0202: Cristian Draghici von Modulo Consulting, Felix Grobert vom Google Security Team
FTP-Server
Verfügbar für: Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Eine Person mit FTP-Zugriff kann Dateien des Systems auflisten
Beschreibung: In xftpd gab es ein Problem mit der Pfadvalidierung. Eine Person mit FTP-Zugriff kann eine rekursive Verzeichnisliste vom root-Verzeichnis aus erstellen, einschließlich der Verzeichnisse, die nicht für FTP freigegeben sind. Diese Liste wird schließlich alle Dateien einschließen, auf die der FTP-Benutzer Zugriff hat. Die Inhalte der Dateien werden nicht preisgegeben. Dieses Problem wird durch eine verbesserte Pfadvalidierung behoben. Dieses Problem betrifft nur Systeme, auf denen Mac OS X Server ausgeführt wird.
CVE-ID
CVE-2011-0203: team karlkani
ImageIO
Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Das Anzeigen eines in böswilliger Absicht erstellten TIFF-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Die Verarbeitung von TIFF-Bildern in ImageIO konnte zu einem Stapelpufferüberlauf führen. Das Anzeigen eines in böswilliger Absicht erstellten TIFF-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.
CVE-ID
CVE-2011-0204: Dominic Chell von NGS Secure
ImageIO
Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Der Besuch einer in böser Absicht erstellten Website kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Die Verarbeitung von JPEG2000-Bildern in ImageIO konnte zu einem Stapelpufferüberlauf führen. Der Besuch einer in böswilliger Absicht erstellten Website kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.
CVE-ID
CVE-2011-0205: Harry Sintonen
Internationale Komponenten für Unicode
Verfügbar für: Mac OS X 10.6 bis Mac OS X 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Programme, die ICU verwenden, können anfällig für die Ausführung willkürlichen Codes oder einen unerwarteten Programmabbruch sein
Beschreibung: Die ICU-Verarbeitung von Zeichenketten in Großbuchstaben kann zu einem Stapelpufferüberlauf führen. Programme, die ICU verwenden, können anfällig für die Ausführung willkürlichen Codes oder einen unerwarteten Programmabbruch sein.
CVE-ID
CVE-2011-0206: David Bienvenu von Mozilla
Kernel
Verfügbar für: Mac OS X 10.6 bis Mac OS X 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Ein lokaler Benutzer könnte das System unerwartet zurücksetzen
Beschreibung: Bei der Verarbeitung von IPv6-Socket-Optionen gab es ein Problem mit einem Nullverweis. Ein lokaler Benutzer könnte das System unerwartet zurücksetzen.
CVE-ID
CVE-2011-1132: Thomas Clement von Intego
Libsystem
Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Programme, welche die API glob(3) verwenden, können für einen Denial-of-Service anfällig sein
Beschreibung: Programme, welche die API glob(3) verwenden, können für einen Denial-of-Service anfällig sein. Wenn das glob-Muster aus einer nicht vertrauenswürdigen Eingabe stammt, kann sich das Programm aufhängen oder übermäßige CPU-Ressourcen binden. Dieses Problem wird durch eine verbesserte Validierung von glob-Mustern behoben.
CVE-ID
CVE-2010-2632: Maksymilian Arciemowicz
libxslt
Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website kann zur Offenlegung von Adressen auf dem Heap führen
Beschreibung: Bei der Implementierung der XPath-Funktion generate-id() durch libxslt wurde die Adresse eines Heap-Puffers offengelegt. Der Besuch einer in böswilliger Absicht erstellten Website kann zur Offenlegung von Adressen auf dem Stapel führen. Durch Erzeugung einer ID auf der Grundlage des Unterschieds zwischen den Adressen von zwei Heap-Puffern wurde dieses Problem behoben.
CVE-ID
CVE-2011-0195: Chris Evans vom Google Chrome Security Team
MobileMe
Verfügbar für: Mac OS X 10.6 bis Mac OS X 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Ein Angreifer mit einer privilegierten Netzwerkposition könnte die MobileMe-E-Mail-Aliasse eines Benutzers auslesen
Beschreibung: Bei der Kommunikation mit MobileMe zur Bestimmung der E-Mail-Aliasse eines Benutzers verwendet Mail Anforderungen über HTTP. Das hat zur Folge, dass ein Angreifer mit einer privilegierten Netzwerkposition die MobileMe-E-Mail-Aliasse eines Benutzers auslesen könnte. Dieses Problem wird behoben, indem für den Zugriff auf die E-Mail-Aliasse eines Benutzers SSL eingesetzt wird.
CVE-ID
CVE-2011-0207: Aaron Sigel von vtty.com
MySQL
Verfügbar für: Mac OS X Server 10.5.8, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Mehrere Schwachstellen in MySQL 5.0.91
Beschreibung: MySQL wird auf Version 5.0.92 aktualisiert, um mehrere Schwachstellen zu beseitigen, die im schlimmsten Fall zur Ausführung willkürlichen Codes führen können. MySQL wird nur für Mac OS X Server-Systeme bereitgestellt.
CVE-ID
CVE-2010-3677
CVE-2010-3682
CVE-2010-3833
CVE-2010-3834
CVE-2010-3835
CVE-2010-3836
CVE-2010-3837
CVE-2010-3838
OpenSSL
Verfügbar für: Mac OS X 10.6 bis Mac OS X 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Mehrere Schwachstellen in OpenSSL
Beschreibung: In OpenSSL bestanden mehrere Schwachstellen, von denen die schwerwiegendste zur Ausführung willkürlichen Codes führen kann. Diese Probleme werden durch das Update von OpenSSL auf Version 0.9.8r behoben.
CVE-ID
CVE-2009-3245
CVE-2010-0740
CVE-2010-3864
CVE-2010-4180
CVE-2011-0014
patch
Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Das Ausführen von patch mit einer in böswilliger Absicht erstellten patch-Datei kann dazu führen, dass Dateien willkürlich erstellt oder überschrieben werden
Beschreibung: In GNU patch bestand eine Schwachstelle durch verzeichnisübergreifenden Zugriff. Das Ausführen von patch mit einer in böswilliger Absicht erstellten patch-Datei kann dazu führen, dass Dateien willkürlich erstellt oder überschrieben werden. Dieses Problem wird durch eine verbesserte Validierung von patch-Dateien behoben.
CVE-ID
CVE-2010-4651
QuickLook
Verfügbar für: Mac OS X 10.6 bis Mac OS X 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Das Laden einer in böswilliger Absicht erstellten Microsoft Office-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Microsoft Office-Dateien in QuickLook konnte es zu einem Speicherfehler kommen. Das Laden einer in böswilliger Absicht erstellten Microsoft Office-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Das Problem betrifft keine Systeme vor Mac OS X 10.6.
CVE-ID
CVE-2011-0208: Tobias Klein in Zusammenarbeit mit iDefense VCP
QuickTime
Verfügbar für: Mac OS X 10.6 bis Mac OS X 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Die Wiedergabe einer in böswilliger Absicht erstellten WAV-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Die Verarbeitung von RIFF WAV-Dateien in QuickTime konnte zu einem Ganzzahl-Pufferüberlauf führen. Die Wiedergabe einer in böswilliger Absicht erstellten WAV-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.
CVE-ID
CVE-2011-0209: Luigi Auriemma in Zusammenarbeit mit der Zero Day Initiative von TippingPoint
QuickTime
Verfügbar für: Mac OS X 10.6 bis Mac OS X 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Das Anzeigen einer in böswilliger Absicht erstellten Filmdatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung von willkürlichem Code führen
Beschreibung: Bei der Verarbeitung von Sample-Tabellen in QuickTime-Filmdateien durch QuickTime kam es zu einem Speicherfehler. Die Wiedergabe einer in böswilliger Absicht erstellten Filmdatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.
CVE-ID
CVE-2011-0210: Honggang Ren von Fortinet FortiGuard Labs
QuickTime
Verfügbar für: Mac OS X 10.6 bis Mac OS X 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Das Anzeigen einer in böswilliger Absicht erstellten Filmdatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung von willkürlichem Code führen
Beschreibung: Die Verarbeitung von Filmdateien in QuickTime konnte zu einem Ganzzahl-Pufferüberlauf führen. Die Wiedergabe einer in böswilliger Absicht erstellten Filmdatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.
CVE-ID
CVE-2011-0211: Luigi Auriemma in Zusammenarbeit mit der Zero Day Initiative von TippingPoint
QuickTime
Verfügbar für: Mac OS X 10.6 bis Mac OS X 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Das Anzeigen eines in böswilliger Absicht erstellten PICT-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Die Verarbeitung von PICT-Bildern in QuickTime konnte zu einem Stapelpufferüberlauf führen. Das Anzeigen eines in böswilliger Absicht erstellten PICT-Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.
CVE-ID
CVE-2010-3790: Subreption LLC in Zusammenarbeit mit der Zero Day Initiative von TippingPoint
QuickTime
Verfügbar für: Mac OS X 10.6 bis Mac OS X 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Das Anzeigen einer in böswilliger Absicht erstellten JPEG-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Die Verarbeitung von JPEG-Bildern in QuickTime konnte zu einem Stapelpufferüberlauf führen. Das Anzeigen einer in böswilliger Absicht erstellten JPEG-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.
CVE-ID
CVE-2011-0213: Luigi Auriemma in Zusammenarbeit mit iDefense
Samba
Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Auswirkung: Wenn die SMB-Dateifreigabe aktiviert ist, könnte ein entfernter Angreifer einen Denial-of-Service oder die Ausführung willkürlichen Codes verursachen
Beschreibung: Bei der Verarbeitung von Windows Security IDs in Samba konnte es zu einem Stapelpufferüberlauf kommen. Wenn die SMB-Dateifreigabe aktiviert ist, kann ein entfernter Angreifer einen Denial-of-Service oder die Ausführung willkürlichen Codes verursachen. Für Mac OS X 10.6-Systeme wurde das Problem in Mac OS X 10.6.7 behoben.
CVE-ID
CVE-2010-3069
Samba
Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Wenn die SMB-Dateifreigabe aktiviert ist, könnte ein entfernter Angreifer einen Denial-of-Service oder die Ausführung willkürlichen Codes verursachen
Beschreibung: Bei der Verarbeitung von Dateibeschreibungen in Samba kam es zu einem Speicherfehler. Wenn die SMB-Dateifreigabe aktiviert ist, könnte ein entfernter Angreifer einen Denial-of-Service oder die Ausführung willkürlichen Codes verursachen.
CVE-ID
CVE-2011-0719: Volker Lendecke von SerNet
servermgrd
Verfügbar für: Mac OS X Server 10.5.8, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Ein entfernter Angreifer könnte beliebige Dateien des Systems auslesen
Beschreibung: Bei der Verarbeitung von XML-RPC-Anfragen in servermgrd kann es zu einem Problem mit externen XML-Entitäten kommen. Das Problem wird durch Entfernung der XML-RPC-Schnittstelle in servermgrd behoben. Dieses Problem betrifft nur Systeme, auf denen Mac OS X Server ausgeführt wird.
CVE-ID
CVE-2011-0212: Apple
Subversion
Verfügbar für: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 bis 10.6.7, Mac OS X Server 10.6 bis 10.6.7
Auswirkung: Wenn ein http-basierter Subversion-Server konfiguriert wird, könnte ein entfernter Angreifer einen Denial-of-Service-Angriff ausführen
Beschreibung: Bei der Verarbeitung von über HTTP gesendeten Lock Tokens in Subversion kam es zu einem Nullverweis. Wenn ein http-basierter Subversion-Server konfiguriert wird, könnte ein entfernter Angreifer einen Denial-of-Service-Angriff ausführen. Für Mac OS X 10.6-Systeme wird Subversion auf Version 1.6.6 aktualisiert. Für Mac OS X 10.5.8-Systeme wird das Problem durch eine zusätzliche Validierung von Lock Tokens behoben. Weitere Informationen finden Sie auf der Subversion-Website unter http://subversion.apache.org/.
CVE-ID
CVE-2011-0715