In diesem Dokument werden Sicherheitsupdates für Apple-Produkte beschrieben, die zwischen dem 3. Oktober 2003 und dem 11. Januar 2005 veröffentlicht wurden.
Wichtig: Informationen zu späteren (neueren) Sicherheitsupdates sind unter Apple-Sicherheitsupdates zu finden.
Informationen zu früheren Sicherheitsupdates sind unter Apple-Sicherheitsupdates: August 2003 und älter zu finden.
Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Weitere Informationen zur Apple-Produktsicherheit sind auf der Website zur Reaktion auf Sicherheitsvorfälle von Apple Inc. zu finden.
PGP-Schlüssel für die Apple-Produktsicherheit
Weitere Informationen sind unter Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit zu finden.
Sicherheitsupdates
Die Sicherheitsupdates sind unten entsprechend der Softwareversion aufgeführt, in der sie erstmals erschienen sind. Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.
iTunes 4.7.1
Verfügbar für: Mac OS X, Microsoft Windows XP, Microsoft Windows 2000
CVE-ID: CAN-2005-0043
Auswirkung: Bösartige Playlists können dazu führen, dass iTunes abstürzt und willkürlichen Code ausführt.
Beschreibung: iTunes unterstützt mehrere gängige Wiedergabelistenformate. iTunes 4.7.1 behebt einen Pufferüberlauf bei der Analyse von m3u- und pls-Wiedergabelistendateien, der bei früheren iTunes-Versionen zu einem Absturz und zum Ausführen von willkürlichem Code führen konnte. Danke an Sean de Regge (seanderegge[at]hotmail.com) für die Entdeckung dieses Problems und an iDEFENSE Labs für die Meldung dieses Problems an uns.
Sicherheitsupdate 02.12.2004
Apache
Verfügbar für: Mac OS X Server v10.3.6, Mac OS X Server v10.2.8
CVE-ID: CAN-2004-1082
Auswirkung: Die mod_digest_apple-Authentifizierung in Apache ist anfällig für Wiedergabeangriffe.
Beschreibung: Die für Mac OS X Server spezifische mod_digest_apple-Authentifizierung basiert auf mod_digest von Apache. In den Versionen 1.3.31 und 1.3.32 von Apache (CAN-2003-0987) wurden mehrere Korrekturen für ein Wiedergabeproblem in mod_digest vorgenommen. Dieses Update korrigiert das Wiedergabeproblem bei der mod_digest_Apple-Authentifizierung mithilfe der Änderungen an Apache 1.3.32.
Apache
Verfügbar für: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
CVE-ID: CAN-2003-0020, CAN-2003-0987, CAN-2004-0174, CAN-2004-0488, CAN-2004-0492, CAN-2004-0885, CAN-2004-0940
Auswirkung: Mehrere Schwachstellen in Apache und mod_ssl, einschließlich lokaler Berechtigungseskalation, Remote-Denial-of-Service und in einigen modifizierten Konfigurationen die Ausführung von willkürlichem Code.
Beschreibung: Die Apache-Gruppe hat eine Reihe von Sicherheitsanfälligkeiten zwischen den Versionen 1.3.29 und 1.3.33 behoben. Die Sicherheitsseite der Apache-Gruppe für Apache 1.3 befindet sich unter http://www.apacheweek.com/features/security-13. Die zuvor installierte Version von Apache war 1.3.29. Die Standardinstallation von Apache aktiviert mod_ssl nicht. Dieses Update behebt alle anwendbaren Probleme, indem Apache auf Version 1.3.33 und das zugehörige mod_ssl auf Version 2.8.22 aktualisiert wird.
Apache
Verfügbar für: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
CVE-ID: CAN-2004-1083
Auswirkung: Apache-Konfigurationen haben den Zugriff auf ".DS_Store"-Dateien oder Dateien, die mit ".ht" beginnen, nicht vollständig blockiert.
Beschreibung: Eine standardmäßige Apache-Konfiguration blockiert den Zugriff auf Dateien, die mit ".ht" beginnen, und zwar unter Berücksichtigung der Groß-/Kleinschreibung. Das Apple HFS+-Dateisystem führt den Dateizugriff ohne Berücksichtigung der Groß-/Kleinschreibung durch. Der Finder kann auch .DS_Store-Dateien erstellen, die die Namen von Dateien an Speicherorten enthalten, die für die Bereitstellung von Webseiten verwendet werden. Dieses Update ändert die Apache-Konfiguration, um den Zugriff auf alle Dateien, die mit ".ht" oder ".DS_S" beginnen, unabhängig von der Groß-/Kleinschreibung einzuschränken. Weitere...
Apache
Verfügbar für: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
CVE-ID: CAN-2004-1084
Auswirkung: Dateidaten und Ressourcen-Fork-Inhalte können über HTTP unter Umgehung normaler Apache-Dateihandler abgerufen werden.
Beschreibung: Das Apple HFS+-Dateisystem erlaubt Dateien, mehrere Datenströme zu haben. Auf diese Datenströme kann direkt mit speziellen Dateinamen zugegriffen werden. Eine speziell gestaltete HTTP-Anfrage kann einen Apache-Datei-Handler umgehen und direkt auf Dateidaten oder "Resource fork"-Inhalte zugreifen. Dieses Update ändert die Apache-Konfiguration, um Anfragen nach Dateidaten oder Ressource fork-Inhalten über ihre speziellen Dateinamen abzulehnen. Weitere Informationen sind in diesem Dokument zu finden. Danke an NetSec für die Meldung dieses Problems.
Apache 2
Verfügbar für: Mac OS X Server v10.3.6, Mac OS X Server v10.2.8
CVE-ID: CAN-2004-0747, CAN-2004-0786, CAN-2004-0751, CAN-2004-0748
Auswirkung: Modifizierte Apache 2-Konfigurationen könnten eine Berechtigungseskalation für lokale Benutzer und Remote-Denial-of-Service ermöglichen.
Beschreibung: Eine vom Kunden modifizierte Apache 2-Konfiguration, bei der "AllowOverride" aktiviert wurde, könnte einem lokalen Benutzer ermöglichen, willkürlichen Code als Apache (www)-Benutzer auszuführen. Eine unveränderte Konfiguration ist für dieses Problem nicht anfällig. Dieses Update behebt auch Fehler in Apache, die bestimmten Anfragetypen ermöglichen könnten, den Server abstürzen zu lassen. Apache wird auf Version 2.0.52 aktualisiert. Apache 2 wird nur mit Mac OS X Server geliefert und ist standardmäßig deaktiviert.
AppKit
Verfügbar für: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
CVE-ID: CAN-2004-1081
Auswirkung: Zeichen, die in ein sicheres Textfeld eingegeben werden, können von anderen Anwendungen in derselben Fenstersitzung gelesen werden.
Beschreibung: Unter bestimmten Umständen kann ein sicheres Texteingabefeld die sichere Eingabe nicht korrekt aktivieren. Dadurch können andere Anwendungen in derselben Fenstersitzung einige Eingabezeichen und Tastaturereignisse sehen. Die Eingabe in sichere Textfelder ist jetzt so aktiviert, dass keine wichtigen Informationen zu gedrückten Tasten verloren gehen.
AppKit
Verfügbar für: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
CVE-ID: CAN-2004-0803, CAN-2004-0804, CAN-2004-0886
Auswirkung: Ganzzahlüberläufe und eine schlechte Bereichsprüfung bei der TIFF-Verarbeitung können die Ausführung von willkürlichem Code oder Denial-of-Service ermöglichen.
Beschreibung: Fehler beim Decodieren von TIFF-Bildern können den Speicher überschreiben, arithmetische Fehler verursachen, die zu einem Absturz führen, oder die Ausführung von willkürlichem Code ermöglichen. Dieses Update behebt die Probleme bei der Handhabung von TIFF-Bildern.
Cyrus IMAP
Verfügbar für: Mac OS X Server v10.3.6
CVE-ID: CAN-2004-1089
Auswirkung: Bei Verwendung der Kerberos-Authentifizierung mit Cyrus IMAP kann ein authentifizierter Benutzer unbefugten Zugriff auf andere Postfächer auf demselben System erhalten.
Beschreibung: Bei Verwendung des Kerberos-Authentifizierungsmechanismus mit dem Cyrus IMAP-Server kann ein Benutzer nach der Authentifizierung zwischen Postfächern wechseln und Zugriff auf andere Postfächer auf demselben System erhalten. Dieses Update bindet das Postfach an den authentifizierten Benutzer. Dieses serverspezifische Problem tritt in Mac OS X Server v10.2.8 nicht auf. Danke an johan.gradvall@gothia.se für die Meldung dieses Problems.
HIToolbox
Verfügbar für: Mac OS X v10.3.6, Mac OS X Server v10.3.6
CVE-ID: CAN-2004-1085
Auswirkung: Benutzer können Anwendungen im Kioskmodus beenden.
Beschreibung: Mit einer speziellen Tastenkombination konnten Benutzer das Fenster "Beenden erzwingen" auch im Kioskmodus aufrufen. Dieses Update blockiert alle Tastenkombinationen zum zwangsweisen Beenden, damit sie im Kioskmodus nicht funktionieren. Dieses Problem tritt in Mac OS X v10.2.8 oder Mac OS X Server v10.2.8 nicht auf. Danke an Glenn Blauvelt von der University of Colorado in Boulder für die Meldung dieses Problems.
Kerberos
Verfügbar für: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
CVE-ID: CAN-2004-0642, CAN-2004-0643, CAN-2004-0644, CAN-2004-0772
Auswirkung: Potenzieller Denial-of-Service, wenn die Kerberos-Authentifizierung verwendet wird.
Beschreibung: MIT hat eine neue Version von Kerberos veröffentlicht, die einen Denial-of-Service und drei Double-Free-Fehler behebt. Mac OS X bietet Schutz vor Double-Free-Fehlern. Dieses Update wendet die Behebung des Denial-of-Service-Problems an. Als Vorsichtsmaßnahme wurden auch die Double-Free-Patches angewendet. Dank an das MIT Kerberos Development Team für die Meldung dieses Problems und die Bereitstellung von Problembehebungen.
Postfix
Verfügbar für: Mac OS X v10.3.6, Mac OS X Server v10.3.6
CVE-ID: CAN-2004-1088
Auswirkung: Postfix mit CRAM-MD5 kann einem Remotebenutzer ermöglichen, E-Mails zu senden, ohne sich ordnungsgemäß zu authentifizieren.
Beschreibung: Postfix-Server, die CRAM-MD5 zur Authentifizierung von Absendern verwendeten, waren anfällig für einen Wiedergabeangriff. Unter bestimmten Umständen können die Anmeldedaten, die zur erfolgreichen Authentifizierung eines Benutzers verwendet werden, für einen kurzen Zeitraum wiederverwendet werden. Der CRAM-MD5-Algorithmus zur Authentifizierung von Benutzern wurde aktualisiert, um das Wiedergabefenster zu verhindern. Dieses Problem tritt in Mac OS X v10.2.8 oder Mac OS X Server v10.2.8 nicht auf. Danke an Victor Duchovni von Morgan Stanley für die Meldung dieses Problems.
PSNormalizer
Verfügbar für: Mac OS X v10.3.6, Mac OS X Server v10.3.6
CVE-ID: CAN-2004-1086
Auswirkung: Ein Pufferüberlauf bei der Konvertierung von PostScript in PDF kann die Ausführung von willkürlichem Code ermöglichen.
Beschreibung: Ein Pufferüberlauf bei der Verarbeitung der Konvertierung von PostScript in PDF könnte möglicherweise die Ausführung von willkürlichem Code ermöglichen. Dadurch wird der Konvertierungscode für die Konvertierung von PostScript in PDF korrigiert, um einen Pufferüberlauf zu verhindern. Dieses Problem tritt in Mac OS X v10.2.8 oder Mac OS X Server v10.2.8 nicht auf.
QuickTime Streaming Server
Verfügbar für: Mac OS X Server v10.3.6, Mac OS X Server v10.2.8
CVE-ID: CAN-2004-1123
Auswirkung: Speziell gestaltete Anfragen können zu einem Denial-of-Service führen.
Beschreibung: QuickTime Streaming Server war bei der Verarbeitung von DESCRIBE-Anfragen anfällig für einen Denial-of-Service-Angriff. Dieses Update korrigiert die Bearbeitung dieser Anfragen. Danke an iDEFENSE für die Meldung dieses Problems.
Safari
Verfügbar für: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
CVE-ID: CAN-2004-1121
Auswirkung: Speziell gestaltete HTML kann einen irreführenden URI in der Safari-Statusleiste anzeigen.
Beschreibung: Safari könnte dazu gebracht werden, in der Statusleiste einen URI anzuzeigen, der nicht mit dem Ziel eines Links identisch ist. Dieses Update korrigiert Safari so, dass jetzt der URI angezeigt wird, der aktiviert wird, wenn er ausgewählt wird.
Safari
Verfügbar für: Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
CVE-ID: CAN-2004-1122
Auswirkung: Bei mehreren aktiven Browserfenstern könnten Safari-Benutzer irregeführt werden, welches Fenster ein Popup-Fenster aktiviert hat.
Beschreibung: Wenn mehrere Safari-Fenster geöffnet sind, könnte ein sorgfältig eingestelltes Pop-up Benutzer fälschlicherweise glauben lassen, dass es von einer anderen Website aktiviert wurde. In diesem Update platziert Safari jetzt ein Fenster, das ein Pop-up vor allen anderen Browserfenstern aktiviert. Danke an Secunia Research für die Meldung dieses Problems.
Terminal
Verfügbar für: Mac OS X v10.3.6 and Mac OS X Server v10.3.6
CVE-ID: CAN-2004-1087
Auswirkung: Terminal kann anzeigen, dass "Sichere Tastatureingabe" aktiv ist, obwohl dies nicht der Fall ist.
Beschreibung: Die Menüeinstellung "Sichere Tastatureingabe" wurde beim Starten von Terminal.app nicht ordnungsgemäß wiederhergestellt. Neben "Sichere Tastatureingabe" wird ein Häkchen angezeigt, obwohl es nicht aktiviert war. Dieses Update behebt das Verhalten von "Sichere Tastatureingabe“. Dieses Problem tritt in Mac OS X v10.2.8 oder Mac OS X Server v10.2.8 nicht auf. Danke an Jonathan 'Wolf' Rentzsch von Red Shed Software für die Meldung dieses Problems.
iCal 1.5.4
CVE-ID: CAN-2004-1021
Auswirkung: Neue iCal-Kalender können Alarme ohne Genehmigung hinzufügen.
Beschreibung: iCal-Kalender können Benachrichtigungen über Ereignisse über Alarme enthalten. Diese Alarme können Programme öffnen und E-Mails senden. iCal wurde aktualisiert und zeigt beim Importieren oder Öffnen von Kalendern, die Erinnerungen enthalten, ein Warnfenster an. iCal 1.5.4 ist für Mac OS X 10.2.3 oder höher verfügbar. Danke an aaron@vtty.com für die Meldung dieses Problems.
Sicherheitsupdate 27.10.2004
Apple Remote Desktop
Verfügbar für: Apple Remote Desktop Client 1.2.4 mit Mac OS X 10.3.x
CVE-ID: CAN-2004-0962
Auswirkung: Eine Anwendung kann hinter dem Anmeldefenster gestartet werden und wird als Root ausgeführt.
Beschreibung: Für ein System mit den folgenden Bedingungen:
Apple Remote Desktop Client installiert
Ein Benutzer auf dem Client-System wurde mit der Berechtigung "Anwendungen öffnen und beenden" aktiviert
Der Benutzername und das Passwort des ARD-Benutzers sind bekannt
Der schnelle Benutzerwechsel wurde aktiviert
Ein Benutzer ist angemeldet, und das Anmeldefenster ist über den schnellen Benutzerwechsel aktiv
Wenn die Anwendung "Apple Remote Desktop Administrator" auf einem anderen System verwendet wird, um eine GUI-Anwendung auf dem Client zu starten, wird die GUI-Anwendung als Root hinter dem Anmeldefenster ausgeführt. Dieses Update verhindert, dass Apple Remote Desktop Anwendungen startet, wenn das Anmeldefenster aktiv ist. Diese Sicherheitsverbesserung ist auch in Apple Remote Desktop v2.1 vorhanden. Dieses Problem betrifft keine Systeme vor Mac OS X 10.3. Danke an Andrew Nakhla und Secunia Research für die Meldung dieses Problems.
QuickTime 6.5.2
CVE-ID: CAN-2004-0988
Verfügbar für: Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME und Microsoft Windows 98
Auswirkung: Ein Ganzzahlüberlauf, der in einer HTML-Umgebung ausgenutzt werden kann.
Beschreibung: Eine Zeichenerweiterung einer übergelaufenen kleinen Ganzzahl kann dazu führen, dass eine sehr große Zahl an eine Speicherverschiebungsfunktion übergeben wird. Die Korrektur verhindert, dass die kleine Ganzzahl überläuft. Dieses Problem tritt in QuickTime für Mac OS X-Systeme nicht auf. Danke an John Heasman von Next Generation Security Software Ltd. für die Meldung dieses Problems.
CVE-ID: CAN-2004-0926
Verfügbar für: Mac OS X v10.3.x, Mac OS X Server v10.3.x, Mac OS X v10.2.8, Mac OS X Server v10.2.8, Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME und Microsoft Windows 98
Auswirkung: Ein Heap-Pufferüberlauf kann Angreifern die Ausführung von willkürlichem Code ermöglichen.
Beschreibung: Fehler beim Decodieren des BMP-Bildtyps können den Heap-Speicher überschreiben und möglicherweise die Ausführung von willkürlichem Code ermöglichen, der in einem Bild verborgen ist. Dies ist dieselbe Sicherheitsverbesserung, die in Sicherheitsupdate 30.09.2004 verfügbar gemacht wurde und auf den zusätzlichen Systemkonfigurationen implementiert werden kann, die von diesem QuickTime-Update abgedeckt werden.
Sicherheitsupdate 30.09.2004 (veröffentlicht am 04.10.2004)
AFP Server
Verfügbar für: Mac OS X v10.3.5 und Mac OS X Server v10.3.5
CVE-ID: CAN-2004-0921
Auswirkung: Ein Denial-of-Service, der es einem Gast ermöglicht, AFP-Volumes zu trennen
Beschreibung: Ein von einem Gast bereitgestelltes AFP-Volume kann verwendet werden, um authentifizierte Benutzermounts vom selben Server durch Ändern von SessionDestroy-Paketen zu beenden. Dieses Problem betrifft keine Systeme vor Mac OS X v10.3 oder Mac OS X Server v10.3.
AFP Server
Verfügbar für: Mac OS X v10.3.5 und Mac OS X Server v10.3.5
CVE-ID: CAN-2004-0922
Auswirkung: Schreibgeschützte AFP Drop Box kann als Lese-/Schreibzugriff festgelegt werden.
Beschreibung: Eine schreibgeschützte Drop Box auf einem AFP-Volume, das von einem Gast bereitgestellt wurde, kann manchmal aufgrund einer falschen Einstellung der Gastgruppen-ID mit Lese-/Schreibzugriff versehen werden. Dieses Problem betrifft keine Systeme vor Mac OS X v10.3 oder Mac OS X Server v10.3.
CUPS
Verfügbar für: Mac OS X v10.3.5, Mac OS X Server v10.3.5, Mac OS X v10.2.8, Mac OS X Server v10.2.8
CVE-ID: CAN-2004-0558
Auswirkung: Ein Denial-of-Service, der dazu führt, dass das Drucksystem hängen bleibt
Beschreibung: Die IPP-Implementierung (Internet Printing Protocol) in CUPS kann hängen bleiben, wenn ein bestimmtes UDP-Paket an den IPP-Anschluss gesendet wird.
CUPS
Verfügbar für: Mac OS X v10.3.5, Mac OS X Server v10.3.5, Mac OS X v10.2.8, Mac OS X Server v10.2.8
CVE-ID: CAN-2004-0923
Auswirkung: Lokale Offenlegung von Benutzerpasswörtern
Beschreibung: Bestimmte Methoden des authentifizierten Remote-Druckens können Benutzerpasswörter in den Drucksystemprotokolldateien offenlegen. Danke an Gary Smith von der IT Services-Abteilung der Glasgow Caledonian University für die Meldung dieses Problems.
NetInfo Manager
Verfügbar für: Mac OS X v10.3.5 und Mac OS X Server v10.3.5
CVE-ID: CAN-2004-0924
Auswirkung: Falsche Angabe des Accountstatus
Beschreibung: Das NetInfo Manager-Dienstprogramm kann den "root"-Account aktivieren, aber nach einer einzigen "root"-Anmeldung ist es nicht mehr möglich, den Account mit NetInfo Manager zu deaktivieren, und er scheint fälschlicherweise deaktiviert zu sein. Dieses Problem betrifft keine Systeme vor Mac OS X v10.3 oder Mac OS X Server v10.3.
Postfix
Verfügbar für: Mac OS X v10.3.5 und Mac OS X Server v10.3.5
CVE-ID: CAN-2004-0925
Auswirkung: Ein Denial-of-Service, wenn SMTPD AUTH aktiviert wurde
Beschreibung: Wenn SMTPD AUTH in Postfix aktiviert wurde, wird zwischen den Authentifizierungsversuchen ein Puffer mit dem Benutzernamen nicht korrekt gelöscht. Nur Benutzer mit den längsten Benutzernamen können sich authentifizieren. Dieses Problem betrifft keine Systeme vor Mac OS X v10.3 oder Mac OS X Server v10.3. Danke an Michael Rondinelli von EyeSee360 für die Meldung dieses Problems.
QuickTime
Verfügbar für: Mac OS X v10.3.5, Mac OS X Server v10.3.5, Mac OS X v10.2.8, Mac OS X Server v10.2.8
CVE-ID: CAN-2004-0926
Auswirkung: Ein Heap-Pufferüberlauf kann Angreifern die Ausführung von willkürlichem Code ermöglichen.
Beschreibung: Fehler beim Decodieren des BMP-Bildtyps können den Heap-Speicher überschreiben und möglicherweise die Ausführung von willkürlichem Code ermöglichen, der in einem Bild verborgen ist.
ServerAdmin
Verfügbar für: Mac OS X Server v10.3.5 and Mac OS X Server v10.2.8
CVE-ID: CAN-2004-0927
Auswirkung: Die Client-Server-Kommunikation mit ServerAdmin kann durch Decodieren erfasster Sitzungen gelesen werden.
Beschreibung: Die Client-Server-Kommunikation mit ServerAdmin verwendet SSL. Alle Systeme werden mit demselben Beispiel für ein selbstsigniertes Zertifikat installiert. Wenn dieses Zertifikat nicht ersetzt wurde, kann die ServerAdmin-Kommunikation entschlüsselt werden. Die Problembehebung ersetzt das vorhandene selbstsignierte Zertifikat durch eines, das lokal und eindeutig generiert wurde. Danke an Michael Bartosh von 4am Media, Inc. für die Meldung dieses Problems.
Sicherheitsupdate 16.09.2004
iChat
CVE-ID: CAN-2004-0873
Auswirkung: Entfernte iChat-Teilnehmer können "Links" senden, die lokale Programme starten können, wenn darauf geklickt wird.
Beschreibung: Ein entfernter iChat-Teilnehmer kann einen "Link" senden, der auf ein Programm auf dem lokalen System verweist. Wenn der "Link" durch Klicken aktiviert wird und der "Link" auf ein lokales Programm verweist, wird das Programm ausgeführt. iChat wurde so geändert, dass "Links" dieses Typs ein Finder-Fenster öffnen, in dem das Programm angezeigt wird, anstatt es auszuführen. Danke an aaron@vtty.com für die Meldung dieses Problems.
Verfügbarkeit: Dieses Update ist für die folgenden iChat-Versionen verfügbar:
- iChat AV v2.1 (Mac OS X 10.3.5 oder höher)
- iChat AV v2.0 (Mac OS X 10.2.8)
- iChat 1.0.1 (Mac OS X 10.2.8)
Sicherheitsupdate 07.09.2004
Dieses Sicherheitsupdate ist für die folgenden Systemversionen verfügbar:
- Mac OS X 10.3.4
- Mac OS X 10.3.5
- Mac OS X Server 10.3.4
- Mac OS X Server 10.3.5
- Mac OS X 10.2.8
- Mac OS X Server 10.2.8
Tipp: Weitere Informationen zu den unten genannten CVE-IDs sind unter (http://www.cve.mitre.org/) zu finden.
Komponente: Apache 2
CVE-IDs: CAN-2004-0493, CAN-2004-0488
Verfügbar für: Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
Auswirkung: Potenzielle Denial-of-Service-Angriffe
Beschreibung: Die Apache-Organisation hat Apache Version 2.0.50. veröffentlicht. Diese Version behebt eine Reihe von Schwachstellen bezüglich Denial-of-Service. Wir haben Apache auf Version 2.0.50 aktualisiert, die nur mit Mac OS X Server geliefert wird und standardmäßig deaktiviert ist.
Komponente: CoreFoundation
CVE-ID: CAN-2004-0821
Verfügbar für: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
Auswirkung: Privilegierte Programme, die CoreFoundation verwenden, können so eingerichtet werden, dass sie eine vom Benutzer bereitgestellte Bibliothek laden.
Beschreibung: Bundles, die die CFPlugIn-Funktionen von CoreFoundation verwenden, können Anweisungen zum automatischen Laden ausführbarer Plug-in-Dateien enthalten. Bei einem speziell gestalteten Bundle kann dies auch bei privilegierten Programmen vorkommen, sodass eine Eskalation lokaler Berechtigungen möglich ist. CoreFoundation verhindert jetzt das automatische Laden von ausführbaren Dateien für Bundles, die bereits eine geladene ausführbare Datei haben. Danke an Kikuchi Masashi (kik@ms.u-tokyo.ac.jp) für die Meldung dieses Problems.
Komponente: CoreFoundation
CVE-ID: CAN-2004-0822
Verfügbar für: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
Auswirkung: Eine Umgebungsvariable kann so manipuliert werden, dass ein Pufferüberlauf verursacht wird, der zu einer Berechtigungseskalation führen kann.
Beschreibung: Durch die Manipulation einer Umgebungsvariablen kann ein Programm möglicherweise dazu veranlasst werden, willkürlichen Code von einem lokalen Angreifer auszuführen. Dies kann nur mit Zugriff auf einen lokalen Account ausgenutzt werden. Für diese Umgebungsvariable werden jetzt strengere Gültigkeitsprüfungen durchgeführt. Danke an aaron@vtty.com für die Meldung dieses Problems.
Komponente: IPSec
CVE-ID: CAN-2004-0607
Verfügbar für: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
Auswirkung: Bei der Verwendung von Zertifikaten können nicht authentifizierte Hosts möglicherweise eine IPSec-Verbindung aushandeln.
Beschreibung: Bei Konfiguration zur Verwendung von X.509-Zertifikaten zur Authentifizierung von Remote-Hosts wird der Schlüsselaustausch durch einen Zertifikatverifizierungsfehler nicht abgebrochen. Mac OS X verwendet standardmäßig keine Zertifikate für IPSec, daher betrifft dieses Problem nur Konfigurationen, die manuell konfiguriert wurden. IPSec überprüft jetzt einen Schlüsselaustausch und bricht ihn ab, wenn ein Fehler bei der Zertifikatüberprüfung auftritt.
Komponente: Kerberos
CVE-ID: CAN-2004-0523
Verfügbar für: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
Auswirkung: Mehrere Pufferüberläufe in krb5_aname_to_localname für MIT Kerberos 5 (krb5) 1.3.3 und älter können es Remote-Angreifern ermöglichen, willkürlichen Code auszuführen.
Beschreibung: Der Pufferüberlauf kann nur ausgenutzt werden, wenn die Unterstützung "auth_to_local_names" oder "auth_to_local"-Unterstützung auch in der Datei "edu.mit.Kerberos" konfiguriert ist. Apple aktiviert dies nicht standardmäßig. Die Sicherheitskorrektur wurde rückportiert und auf die Mac OS X-Versionen von Kerberos angewendet. Die Mac OS X- und Mac OS X Server-Version von Kerberos ist nicht anfällig für das kürzlich in der CERT-Sicherheitslücke VU#350792 (CAN-2004-0772) gemeldete Double-Free-Problem. Danke an das mit Kerberos Development Team für die Meldung dieses Problems.
Komponente: lukemftpd
CVE-ID: CAN-2004-0794
Verfügbar für: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
Auswirkung: Eine Race-Bedingung, die es einem authentifizierten Remoteangreifer ermöglichen kann, einen Denial-of-Service zu verursachen oder willkürlichen Code auszuführen.
Beschreibung: Wenn der FTP-Dienst aktiviert wurde und ein Remote-Angreifer sich korrekt authentifizieren kann, würde eine Race-Bedingung es ihm ermöglichen, den FTP-Dienst zu stoppen oder willkürlichen Code auszuführen. Die Problembehebung besteht darin, den FTP-Dienst "lukemftpd" durch "tnftpd" zu ersetzen. "lukemftp" ist installiert, aber nicht in Mac OS X Server aktiviert; hier wird stattdessen xftp verwendet. Danke an Luke Mewburn von der NetBSD Foundation, dass er uns über dieses Problem informiert hat.
Komponente: OpenLDAP
CVE-ID: CAN-2004-0823
Verfügbar für: Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
Auswirkung: Ein Verschlüsselungspasswort kann so verwendet werden, als wäre es ein Klartextpasswort.
Beschreibung: Die Abwärtskompatibilität mit älteren LDAP-Implementierungen ermöglicht das Speichern eines kryptischen Passworts im userPassword-Attribut. Einige Authentifizierungsvalidierungsschemas können diesen Wert so verwenden, als wäre er ein Klartextpasswort. Die Korrektur entfernt die Mehrdeutigkeit und verwendet immer diesen Feldtyp als Verschlüsselungspasswort. Dieses Problem tritt in Mac OS X 10.2.8 nicht auf. Danke an Steve Revilak von der Kayak Software Corporation für die Meldung dieses Problems.
Komponente: OpenSSH
CVE-ID: CAN-2004-0175
Verfügbar für: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
Auswirkung: Ein böswilliger ssh/scp-Server kann lokale Dateien überschreiben.
Beschreibung: Eine Sicherheitsanfälligkeit bezüglich Directory-Traversal im Programm "scp" ermöglicht es einem böswilligen Remote-Server, lokale Dateien zu überschreiben. Die Sicherheitskorrektur wurde rückportiert und auf die Mac OS X-Versionen von OpenSSH angewendet.
Komponente: PPPDialer
CVE-ID: CAN-2004-0824
Verfügbar für: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
Auswirkung: Ein böswilliger Benutzer kann Systemdateien überschreiben, was zu einer lokalen Berechtigungseskalation führt.
Beschreibung: PPP-Komponenten haben unsichere Zugriffe auf eine Datei durchgeführt, die an einem global beschreibbaren Speicherort gespeichert ist. Die Problembehebung verschiebt die Protokolldateien an einen nicht global beschreibbaren Speicherort.
Komponente: QuickTime Streaming Server
Verfügbar für: Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
CVE-ID: CAN-2004-0825
Auswirkung: Ein Denial-of-Service, der einen Neustart des QuickTime Streaming Servers erfordert
Beschreibung: Eine bestimmte Abfolge von Client-Vorgängen kann einen Deadlock auf dem QuickTime Streaming Server verursachen. Die Problembehebung aktualisiert den Code, um diese Deadlock-Bedingung zu beseitigen.
Komponente: rsync
CVE-ID: CAN-2004-0426
Verfügbar für: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
Auswirkung: Wenn rsync im Daemon-Modus ausgeführt wird, kann ein entfernter Angreifer außerhalb des Modulpfads schreiben, es sei denn, die chroot-Option wurde festgelegt.
Beschreibung: rsync vor Version 2.6.1 bereinigt Pfade nicht ordnungsgemäß, wenn ein Lese-/Schreib-Daemon mit deaktivierter chroot-Option ausgeführt wird. Die Problembehebung aktualisiert rsync auf Version 2.6.2.
Komponente: Safari
CVE-ID: CAN-2004-0361
Verfügbar für: Mac OS X 10.2.8, Mac OS X Server 10.2.8
Auswirkung: Ein JavaScript-Array mit negativer Größe kann dazu führen, dass Safari auf Speicher außerhalb der Speichergrenzen zugreift, was zu einem Programmabsturz führt.
Beschreibung: Das Speichern von Objekten in einem JavaScript-Array mit negativer Größe kann den Speicher überschreiben. Safari stoppt nun die Verarbeitung von JavaScript-Programmen, wenn eine Array-Zuweisung fehlschlägt. Diese Sicherheitsverbesserung wurde zuvor in Safari 1.0.3 verfügbar gemacht und wird im Betriebssystem Mac OS X 10.2.8 als zusätzliche Schutzebene für Kunden angewendet, die diese Safari-Version nicht installiert haben. Dies ist eine spezifische Problembehebung für Mac OS X 10.2.8, und das Problem tritt in Mac OS X 10.3 oder neueren Systemen nicht auf.
Komponente: Safari
CVE-ID: CAN-2004-0720
Verfügbar für: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
Auswirkung: Eine nicht vertrauenswürdige Website kann Inhalte in einen Frame einfügen, der von einer anderen Domain verwendet werden soll.
Beschreibung: Eine Website, die mehrere Frames verwendet, kann einige ihrer Frames durch Inhalte einer schädlichen Website ersetzen lassen, wenn die schädliche Website zuerst besucht wird. Die Problembehebung erzwingt eine Reihe von über-/untergeordneten Regeln, die den Angriff verhindern.
Komponente: SquirrelMail
CVE-ID: CAN-2004-0521
Verfügbar für: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
Auswirkung: Mit SquirrelMail vor 1.4.3 RC1 können entfernte Angreifer nicht autorisierte SQL-Anweisungen ausführen.
Beschreibung: SquirrelMail vor 1.4.3 RC1 ist anfällig für SQL-Injection, wodurch nicht autorisierte SQL-Anweisungen ausgeführt werden können. Die Problembehebung aktualisiert SquirrelMail auf Version 1.4.3a
Komponente: tcpdump
CVE-IDs: CAN-2004-0183, CAN-2004-0184
Verfügbar für: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
Auswirkung: Böswillig erstellte Pakete können einen Absturz eines ausgeführten tcpdump verursachen.
Beschreibung: Die detaillierten Druckfunktionen für ISAKMP-Pakete führen keine korrekte Grenzwertprüfung durch und führen zu einem Lesevorgang außerhalb der Grenzwerte, was zu einem Absturz führt. Die Problembehebung aktualisiert tcpdump auf Version 3.8.3.
Mac OS X 10.3.5
Tipp: Weitere Informationen zu den unten genannten CVE-IDs sind unter (http://www.cve.mitre.org/) zu finden.
libpng (Portable Network Graphics)
CVE-IDs: CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599
Auswirkung: Bösartige PNG-Images können zu Programmabstürzen führen und willkürlichen Code ausführen.
Beschreibung: In der Referenzbibliothek wurden mehrere Pufferüberläufe, Nullzeigerdereferenzen und Ganzzahlüberläufe zum Lesen und Schreiben von PNG-Bildern entdeckt. Diese Sicherheitsanfälligkeiten wurden in libpng behoben, das von den CoreGraphics- und AppKit-Frameworks in Mac OS X verwendet wird. Nach der Installation dieses Updates sind Anwendungen, die das PNG-Bildformat über diese Frameworks verwenden, vor diesen Fehlern geschützt.
Safari:
CVE-IDs: CAN-2004-0743
Auswirkung: In einer besonderen Situation kann die Navigation mit den Vorwärts-/Rückwärtstasten Formulardaten erneut an eine GET-url senden.
Beschreibung: Dies ist für eine Situation, in der ein Webformular mit einer POST-Methode an einen Server gesendet wird, bei der eine HTTP-Umleitung zu einer GET-Methode-url ausgegeben wird. Die Verwendung der Vorwärts-/Rückwärtstasten führt dazu, dass Safari die Formulardaten erneut an die GET-url sendet. Safari wurde so geändert, dass in dieser Situation die Vor-/Rücknavigation nur zu einer GET-Methode führt. Danke an Rick Osterberg von der Harvard University FAS Computer Services für die Meldung dieses Problems.
TCP/IP Networking:
CVE-IDs: CAN-2004-0744
Auswirkung: Böswillig erstellte IP-Fragmente können zu viele Systemressourcen verwenden, was den normalen Netzwerkbetrieb verhindert.
Beschreibung: Der "Rose Attack" beschreibt eine speziell konstruierte Sequenz von IP-Fragmenten, die Systemressourcen verbrauchen. Die TCP/IP-Implementierung wurde so geändert, dass die verbrauchten Ressourcen begrenzt werden, um diesen Denial-of-Service-Angriff zu verhindern. Danke an Ken Hollis (gandalf@digital.net) und Chuck McAuley (Chuck-at-Lemure-dot-net), aus einer Diskussion über den "Rose Attack".
Sicherheitsupdate 09.08.2004 (Mac OS X 10.3.4 und 10.2.8)
Tipp: Weitere Informationen zu den unten genannten CVE-IDs sind unter (http://www.cve.mitre.org/) zu finden.
libpng (Portable Network Graphics)
CVE-IDs: CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599
Auswirkung: Bösartige PNG-Bilder können zu Programmabstürzen führen und willkürlichen Code ausführen.
Beschreibung: In der Referenzbibliothek wurden mehrere Pufferüberläufe, Nullzeigerdereferenzen und Ganzzahlüberläufe zum Lesen und Schreiben von PNG-Bildern entdeckt. Diese Sicherheitsanfälligkeiten wurden in libpng behoben, das von den CoreGraphics- und AppKit-Frameworks in Mac OS X verwendet wird. Nach der Installation dieses Updates sind Anwendungen, die das PNG-Bildformat über diese Frameworks verwenden, vor diesen Fehlern geschützt.
Sicherheitsupdate 07.06.2004 (Mac OS X 10.3.4 und 10.2.8)
Das Sicherheitsupdate 07.06.2004 bietet eine Reihe von Sicherheitsverbesserungen und wird allen Macintosh-Benutzern empfohlen. Der Zweck dieses Updates besteht darin, die Sicherheit zu erhöhen, indem eine beim ersten Öffnen einer Anwendung über Dokumentzuordnungen oder eine Webadresse (URL) eine Warnung angezeigt wird. Weitere Details, einschließlich einer Beschreibung des neuen Warndialogfelds, sind in diesem Artikel zu finden. Das Sicherheitsupdate 07.06.2004 ist für die folgenden Systemversionen verfügbar:
- Mac OS X 10.3.4 "Panther"
- Mac OS X Server 10.3.4 "Panther"
- Mac OS X 10.2.8 "Jaguar"
- Mac OS X Server 10.2.8 "Jaguar"
LaunchServices
Auswirkung: LaunchServices registriert automatisch Programme, die dazu verwendet werden können, dass das System unerwartete Programme ausführt.
Diskussion: LaunchServices ist eine Systemkomponente, die Anwendungen erkennt und öffnet. Diese Systemkomponente wurde so geändert, dass nur Anwendungen geöffnet werden, die zuvor explizit auf dem System ausgeführt wurden. Versuche, eine Anwendung auszuführen, die zuvor nicht explizit ausgeführt wurde, führen zu einer Benutzerwarnung. Weitere Informationen sind in diesem Artikel zu finden.
Komponente: DiskImageMounter
CVE-ID: Es wurde keine CVE-ID reserviert, da dies nur eine zusätzliche vorbeugende Maßnahme ist.
Auswirkung: Der URL-Typ "disk://" mountet ein anonymes Remote-Dateisystem mit dem http-Protokoll.
Diskussion: Die Registrierung des URL-Typs "disk://" wird aus dem System entfernt, um Versuche zu verhindern, Remote-Image-Dateisysteme automatisch zu mounten.
Safari
Auswirkung: Mit der Taste "Im Finder anzeigen" werden bestimmte heruntergeladene Dateien geöffnet, in einigen Fällen werden heruntergeladene Anwendungen ausgeführt.
Diskussion: Mit der Taste "Im Finder anzeigen" werden Dateien jetzt in einem Finder-Fenster angezeigt und es wird nicht mehr versucht, sie zu öffnen. Diese Änderung ist nur für Mac OS X 10.3.4 "Panther"- und Mac OS X Server 10.3.4 "Panther"-Systeme verfügbar, da das Problem nicht auf Mac OS X 10.2.8 "Jaguar" oder Mac OS X Server 10.2.8 "Jaguar" zutrifft.
Terminal
CVE-ID: Nicht zutreffend
Auswirkung: Versuche, eine telnet://-URL mit einer alternativen Portnummer zu verwenden, schlagen fehl.
Diskussion: Es wurde eine Änderung vorgenommen, um die Angabe einer alternativen Portnummer in einer telnet://-URL zu ermöglichen. Dadurch wird die Funktionalität wiederhergestellt, die mit der kürzlich vorgenommenen Problembehebung für CAN-2004-0485 entfernt wurde.
Mac OS X 10.3.4
NFS: Korrektur von CAN-2004-0513 zur Verbesserung der Protokollierung bei der Verfolgung von Systemaufrufe. Danke an David Brown (dave@spoonguard.org) für die Meldung dieses Problems.
LoginWindow: Korrektur von CAN-2004-0514 zur Verbesserung der Verarbeitung von Verzeichnisdienstsuchen.
LoginWindow: Korrektur von CAN-2004-0515 zur Verbesserung der Verarbeitung von Konsolenprotokolldateien. Danke an aaron@vtty.com für die Meldung dieses Problems.
Packaging: Korrektur von CAN-2004-0516 zur Verbesserung von Paketinstallationsskripten. Danke an aaron@vtty.com für die Meldung dieses Problems.
Packaging: Korrektur von CAN-2004-0517 zur Verbesserung der Handhabung von Prozess-IDs während der Paketinstallation. Danke an aaron@vtty.com für die Meldung dieses Problems.
TCP/IP: Korrektur von CAN-2004-0171 zur Verbesserung der Verarbeitung von TCP-Paketen außerhalb der Sequenz.
AppleFileServer: Korrektur von CAN-2004-0518 zur Verbesserung der Verwendung von SSH und der Meldung von Fehlern.
Terminal: Korrektur von CAN-2004-0485 zur Verbesserung der Verarbeitung von URLs. Danke an RenÌ© Puls (rpuls@gmx.net) für die Meldung dieses Problems.
Hinweis: Mac OS X 10.3.4 enthält Sicherheitsupdate 05.04.2004 und Sicherheitsupdate 03.05.2004.
Sicherheitsupdate 24.05.2004 für Mac OS X 10.3.3 "Panther" und Mac OS X 10.3.3 Server
HelpViewer: Korrektur von CAN-2004-0486, um sicherzustellen, dass HelpViewer nur Skripte verarbeitet, die er initiiert hat. Danke an lixlpixel Hinweis: Dieses Update kann auch auf Mac OS X 10.3.4 und Mac OS X 10.3.4 Server installiert werden
Sicherheitsupdate 24.05.2004 für Mac OS X 10.2.8 "Panther" und Mac OS X 10.2.8 Server
HelpViewer: Korrektur von CAN-2004-0486, um sicherzustellen, dass HelpViewer nur Skripte verarbeitet, die er initiiert hat. Danke an lixlpixel
Terminal: Korrektur von CAN-2004-0485 zur Verbesserung der URL-Verarbeitung in Terminal. Danke an RenÌ Puls
Sicherheitsupdate 03.05.2004 für Mac OS X 10.3.3 "Panther" und Mac OS X 10.3.3 Server
AppleFileServer: Korrektur von CAN-2004-0430 zur Verbesserung der Handhabung langer Passwörter. Danke an Dave G. von @stake für die Meldung dieses Problems.
Apache 2: Korrektur von CAN-2003-0020, CAN-2004-0113 und CAN-2004-0174 durch ein Update auf Apache 2 auf Version 2.0.49.
CoreFoundation: Korrektur von CAN-2004-0428 zur Verbesserung der Handhabung einer Umgebungsvariablen. Danke an aaron@vtty.com für die Meldung dieses Problems.
IPSec: Korrektur von CAN-2004-0155 und CAN-2004-0403 zur Verbesserung der Sicherheit von VPN-Tunneln. IPSec in Mac OS X ist nicht anfällig für CAN-2004-0392.
Das Sicherheitsupdate 05.04.2004 wurde in dieses Sicherheitsupdate integriert.
Sicherheitsupdate 03.05.2004 für Mac OS X 10.2.8 "Jaguar" und Mac OS X 10.2.8 Server
AppleFileServer: Korrektur von CAN-2004-0430 zur Verbesserung der Handhabung langer Passwörter. Danke an Dave G. von @stake für die Meldung dieses Problems.
Apache 2: Korrektur von CAN-2003-0020, CAN-2004-0113 und CAN-2004-0174 durch ein Update auf Apache 2 auf Version 2.0.49.
CoreFoundation: Korrektur von CAN-2004-0428 zur Verbesserung der Handhabung einer Umgebungsvariablen. Danke an aaron@vtty.com für die Meldung dieses Problems.
IPSec: Korrektur von CAN-2004-0155 und CAN-2004-0403 zur Verbesserung der Sicherheit von VPN-Tunneln. IPSec in Mac OS X ist nicht anfällig für CAN-2004-0392.
Server Settings daemon: Korrektur von CAN-2004-0429 zur Verbesserung der Verarbeitung großer Anfragen.
Das Sicherheitsupdate 05.04.2004 wurde in dieses Sicherheitsupdate integriert.
QuickTime 6.5.1
Korrektur von CAN-2004-0431, wobei das Abspielen einer fehlerhaften .mov-Datei (Film) dazu führen konnte, dass QuickTime beendet wird.
Sicherheitsupdate 05.04.2004 für Mac OS X 10.3.3 "Panther" und Mac OS X 10.3.3 Server
CUPS Printing: Korrektur von CAN-2004-0382 zur Verbesserung der Sicherheit des Drucksystems. Dies ist eine Änderung der Konfigurationsdatei, die sich nicht auf das zugrunde liegende Drucksystem auswirkt. Danke an aaron@vtty.com für die Meldung dieses Problems.
libxml2: Korrektur von CAN-2004-0110 zur Verbesserung der Verarbeitung von einheitlichen Ressourcenlokalisierern.
Mail: Korrektur von CAN-2004-0383 zur Verbesserung der Verarbeitung von HTML-formatierten E-Mails. Danke an aaron@vtty.com für die Meldung dieses Problems.
OpenSSL: Korrektur von CAN-2004-0079 und CAN-2004-0112 zur Verbesserung der Handhabung von Verschlüsselungsoptionen.
Sicherheitsupdate 05.04.2004 für Mac OS X 10.2.8 "Jaguar" und Mac OS X 10.2.8 Server
CUPS Printing: Korrektur von CAN-2004-0382 zur Verbesserung der Sicherheit des Drucksystems. Danke an aaron@vtty.com für die Meldung dieses Problems.
Das Sicherheitsupdate 26.01.2004 wurde in dieses Sicherheitsupdate integriert. Die zusätzlichen Sicherheitsverbesserungen für Panther im Sicherheitsupdate 05.04.2004 wirken sich nicht auf die 10.2-Plattform aus.
Sicherheitsupdate 23.02.2004 für Mac OS X 10.3.2 "Panther" und Mac OS X 10.3.2 Server
CoreFoundation: Korrektur von CAN-2004-0168 zur Verbesserung der Benachrichtigungsprotokollierung. Danke an aaron@vtty.com für die Meldung dieses Problems.
DiskArbitration: Korrektur von CAN-2004-0167 zur sichereren Verarbeitung der Initialisierung von beschreibbaren Wechselmedien. Danke an aaron@vtty.com für die Meldung dieses Problems.
IPSec: Korrektur von CAN-2004-0164 zur Verbesserung des Schlüsselaustauschs beim Einchecken.
Point-to-Point-Protocol: Korrektur von CAN-2004-0165 zur Verbesserung der Verarbeitung von Fehlermeldungen. Danke an Dave G. von @stake und Justin Tibbs von Secure Network Operations (SRT) für die Meldung dieses Problems.
tcpdump: Korrektur von CAN-2003-0989, CAN-2004-0055 und CAN-2004-0057 durch Aktualisieren von tcpdump auf Version 3.8.1 und libpcap auf Version 0.8.1
QuickTime Streaming Server: Korrektur von CAN-2004-0169 zur Verbesserung der Überprüfung von Anforderungsdaten. Danke an iDEFENSE Labs für die Meldung dieses Problems. Streaming Server-Updates für andere Plattformen sind unter http://developer.apple.com/darwin/ verfügbar.
Sicherheitsupdate 23.02.2004 für Mac OS X 10.2.8 "Jaguar" und Mac OS X 10.2.8 Server
DiskArbitration: Korrektur von CAN-2004-0167 zur sichereren Verarbeitung der Initialisierung von beschreibbaren Wechselmedien. Danke an aaron@vtty.com für die Meldung dieses Problems.
IPsec: Korrektur von CAN-2004-0164 zur Verbesserung des Schlüsselaustauschs beim Einchecken.
Point-to-Point-Protocol: Korrektur von CAN-2004-0165 zur Verbesserung der Verarbeitung von Fehlermeldungen. Danke an Dave G. von @stake und Justin Tibbs von Secure Network Operations (SRT) für die Meldung dieses Problems.
Safari: Korrektur von CAN-2004-0166 zur Verbesserung der Anzeige von URLs in der Statusleiste.
QuickTime Streaming Server: Korrektur von CAN-2004-0169 zur Verbesserung der Überprüfung von Anforderungsdaten. Danke an iDEFENSE Labs für die Meldung dieses Problems. Streaming Server-Updates für andere Plattformen sind unter http://developer.apple.com/darwin/ verfügbar.
Das Sicherheitsupdate 26.01.2004 für Mac OS X 10.2.8 Server wurde in dieses Sicherheitsupdate integriert.
Sicherheitsupdate 26.01.2004 für Mac OS X 10.1.5 "Puma" und Mac OS X 10.1.5 Server
Mail: Korrektur von CAN-2004-0085 zur Bereitstellung von Sicherheitsverbesserungen für das Mail-Programm von Apple.
Sicherheitsupdate 26.01.2004 für Mac OS X 10.2.8 "Jaguar" und Mac OS X 10.2.8 Server
AFP Server: Verbesserung von AFP gegenüber dem Sicherheitsupdate 19.12.2003.
Apache 1.3: Korrektur von CAN-2003-0542, ein Pufferüberlauf in den Modulen mod_alias und mod_rewrite des Apache-Webservers.
Apache 2: (Nur auf Server installiert) Korrektur von CAN-2003-0542 und CAN-2003-0789 durch Aktualisierung von Apache 2.0.47 auf 2.0.48. Details zum Update finden sich unter: http://www.apache.org/dist/httpd/Announcement2.html
Classic: Korrektur von CAN-2004-0089 zur Verbesserung der Verarbeitung von Umgebungsvariablen. Danke an Dave G. von @stake für die Meldung dieses Problems.
Mail: Korrektur von CAN-2004-0085 zur Bereitstellung von Sicherheitsverbesserungen für das Mail-Programm von Apple.
Safari: Korrektur von CAN-2004-0092 durch die Bereitstellung von Sicherheitsverbesserungen für den Safari-Webbrowser.
System Configuration: Korrektur von CAN-2004-0087 und CAN-2004-0088, wobei das Subsystem "SystemConfiguration" es Remote-Benutzern ohne Administratorrechte ermöglichte, Netzwerkeinstellungen zu ändern und Konfigurationsänderungen an configd vorzunehmen. Danke an Dave G. von @stake für die Meldung dieser Probleme.
Das Sicherheitsupdate 19.12.2003 wurde in dieses Sicherheitsupdate integriert. Zusätzliche Sicherheitsverbesserungen im Sicherheitsupdate 26.01.2004 für Mac OS X 10.3.2 "Panther" sind in diesem Update für Jaguar nicht enthalten, da Jaguar von diesen Problemen nicht betroffen ist.
Sicherheitsupdate 26.01.2004 für Mac OS X 10.3.2 "Panther" und Mac OS X 10.3.2 Server
Apache 1.3: Korrektur von CAN-2003-0542, ein Pufferüberlauf in den Modulen mod_alias und mod_rewrite des Apache-Webservers.
Apache 2: (Nur auf Server installiert) Korrektur von CAN-2003-0542 und CAN-2003-0789 durch Aktualisierung von Apache 2.0.47 auf 2.0.48. Details zum Update finden sich unter: http://www.apache.org/dist/httpd/Announcement2.html.
Classic: Korrektur von CAN-2004-0089 zur Verbesserung der Verarbeitung von Umgebungsvariablen. Danke an Dave G. von @stake für die Meldung dieses Problems.
Mail: Korrektur von CAN-2004-0086 zur Bereitstellung von Sicherheitsverbesserungen für das Mail-Programm von Apple. Danke an Jim Roepcke für die Meldung dieses Problems.
Safari: Korrektur von CAN-2004-0092 durch die Bereitstellung von Sicherheitsverbesserungen für den Safari-Webbrowser.
System Configuration: Korrektur von CAN-2004-0087, bei dem das Subsystem "SystemConfiguration" es Remote-Benutzern ohne Administratorrechte erlaubte, Netzwerkeinstellungen zu ändern. Danke an Dave G. von @stake für die Meldung dieser Probleme.
Windows File Sharing: Korrektur von CAN-2004-0090; die Windows-Dateifreigabe wurde nicht ordnungsgemäß heruntergefahren.
Das Sicherheitsupdate 19.12.2003 wurde in dieses Sicherheitsupdate integriert. Zusätzliche Sicherheitsverbesserungen im Sicherheitsupdate 26.01.2004 für Mac OS X 10.2.8 "Jaguar" sind in diesem Update für Panther nicht enthalten, da Panther von diesen Problemen nicht betroffen ist.
Sicherheitsupdate 19.12.2003 für Mac OS X 10.2.8 "Jaguar" und Mac OS X 10.2.8 Server
AppleFileServer: Korrektur von CAN-2003-1007 zur Verbesserung der Verarbeitung von fehlerhaften Anfragen.
cd9660.util: Korrektur von CAN-2003-1006, eine Sicherheitsanfälligkeit durch Pufferüberlauf im Dateisystem-Dienstprogramm "cd9660.util“. Danke an KF von Secure Network Operations für die Meldung dieses Problems.
Directory Services: Korrektur von CAN-2003-1009. Die Standardeinstellungen werden geändert, um eine unbeabsichtigte Verbindung im Falle eines bösartigen DHCP-Servers im lokalen Subnetz des Computers zu verhindern. Weitere Informationen finden sich im Knowledge Base-Artikel von Apple: http://docs.info.apple.com/article.html?artnum=32478. Danke an William A. Carrel für die Meldung dieses Problems.
Fetchmail: Korrektur von CAN-2003-0792. Es werden Updates zum Abrufen von E-Mails bereitgestellt, die unter bestimmten Bedingungen die Stabilität verbessern.
fs_usage: Korrektur von CAN-2003-1010. Das Tool "fs_usage" wurde verbessert, um eine lokale Sicherheitsanfälligkeit bezüglich der Eskalation von Berechtigungen zu verhindern. Dieses Tool wird verwendet, um Informationen zur Systemleistung zu erfassen, und erfordert Administratorrechte, um ausgeführt werden zu können. Danke an Dave G. von @stake für die Meldung dieses Problems.
rsync: Korrektur von CAN-2003-0962 durch eine Verbesserung der Sicherheit von rsyncserver.
System initialization: Korrektur von CAN-2003-1011. Der Systeminitialisierungsprozess wurde verbessert, um den Root-Zugriff auf einem System einzuschränken, das eine USB-Tastatur verwendet.
Hinweis: Die folgenden Korrekturen, die unter "Sicherheitsupdate 19.12.2003 für Panther" angezeigt werden, sind nicht in "Sicherheitsupdate 19.12.2003 für Jaguar" enthalten, da die Jaguar-Versionen von Mac OS X und Mac OS X Server nicht anfällig für diese Probleme sind:
- CAN-2003-1005: ASN.1 Decodierung für PKI
- CAN-2003-1008: Bildschirmschoner-Textausschnitte
Sicherheitsupdate 19.12.2003 für Mac OS X 10.3.2 "Panther" und Mac OS X 10.3.2 Server
ASN.1 Decoding for PKI: Behebt CAN-2003-1005, das beim Empfang fehlerhafter ASN.1-Sequenzen zu einem potenziellen Denial-of-Service führen könnte. Dies hängt mit CAN-2003-0851 zusammen, ist aber nicht identisch.
AppleFileServer: Korrektur von CAN-2003-1007 zur Verbesserung der Verarbeitung von fehlerhaften Anfragen.
cd9660.util: Korrektur von CAN-2003-1006, eine Sicherheitsanfälligkeit durch Pufferüberlauf im Dateisystem-Dienstprogramm "cd9660.util“. Danke an KF von Secure Network Operations für die Meldung dieses Problems.
Directory Services: Korrektur von CAN-2003-1009. Die Standardeinstellungen werden geändert, um eine unbeabsichtigte Verbindung im Falle eines böswilligen DHCP-Servers im lokalen Subnetz des Computers zu verhindern. Weitere Informationen finden sich im Knowledge Base-Artikel von Apple: http://docs.info.apple.com/article.html?artnum=32478. Danke an William A. Carrel für die Meldung dieses Problems.
Fetchmail: Korrektur von CAN-2003-0792. Es werden Updates für fetchmail bereitgestellt, die die Stabilität unter bestimmten Bedingungen verbessern.
fs_usage: Korrektur von CAN-2003-1010. Das Tool "fs_usage" wurde verbessert, um eine lokale Sicherheitsanfälligkeit bezüglich der Eskalation von Berechtigungen zu verhindern. Dieses Tool wird verwendet, um Informationen zur Systemleistung zu erfassen, und erfordert Administratorrechte, um ausgeführt werden zu können. Danke an Dave G. von @stake für die Meldung dieses Problems.
rsync: Korrektur von CAN-2003-0962 durch eine Verbesserung der Sicherheit von rsyncserver.
Screen Saver: Korrektur von CAN-2003-1008. Wenn das Anmeldefenster "Bildschirmschoner" angezeigt wird, ist es nicht mehr möglich, einen Textausschnitt auf den Desktop oder in eine Anwendung zu schreiben. Danke an Benjamin Kelly für die Meldung dieses Problems.
System initialization: Korrektur von CAN-2003-1011. Der Systeminitialisierungsprozess wurde verbessert, um den Root-Zugriff auf einem System einzuschränken, das eine USB-Tastatur verwendet.
Sicherheitsupdate 05.12.2003
Safari: Korrektur von CAN-2003-0975, um sicherzustellen, dass Safari nur autorisierten Websites Zugriff auf die Cookie-Informationen eines Benutzers bietet. Das Update ist sowohl für Mac OS X 10.3.1 als auch für Mac OS X 10.2.8 verfügbar.
Sicherheitsupdate 19.11.2003 für 10.2.8
Es ist die Richtlinie von Apple, erhebliche Schwachstellen in früheren Versionen von Mac OS X schnell zu beheben, wo immer dies möglich ist. Das Sicherheitsupdate 19.11.2003 enthält Updates für mehrere Komponenten von Mac OS X 10.2, die diese Kriterien erfüllen.
gm4: Korrektur von CAN-2001-1411, eine Sicherheitsanfälligkeit bezüglich Formatzeichenfolgen im Dienstprogramm "gm4“. Keine Set-UID-Root-Programme basieren auf "gm4". Diese Problembehebung ist eine vorbeugende Maßnahme gegen einen möglichen zukünftigen Exploit.
groff: Korrektur von CVE-2001-1022, wobei das groff-Komponenten-PIC eine Sicherheitsanfälligkeit bezüglich einer Formatzeichenfolge enthielt.
Mail: Korrektur von CAN-2003-0881; das Mail-Programm von Mac OS X kehrt nicht mehr zur Anmeldung im Nur-Text-Format zurück, wenn ein Account für die Verwendung von MD5 Challenge Response konfiguriert ist.
OpenSSL: Korrektur von CAN-2003-0851; Analysen bestimmter fehlerhafter ASN.1-Sequenzen werden jetzt sicherer verarbeitet.
Personal File Sharing: Korrektur von CAN-2003-0878; wenn die persönliche Dateifreigabe aktiviert ist, kann der slpd-Daemon im /tmp-Verzeichnis keine Root-eigene Datei mehr erstellen, um erhöhte Berechtigungen zu erhalten.
QuickTime for Java: Korrektur von CAN-2003-0871, eine potenzielle Sicherheitsanfälligkeit, die unbefugten Zugriff auf ein System ermöglichen kann.
zlib: Korrektur von CAN-2003-0107. Obwohl es in MacOS X keine Funktionen gab, die die anfällige Funktion "gzprintf(") verwendeten, wurde das zugrunde liegende Problem in "zlib" behoben, um alle Drittanbieteranwendungen zu schützen, die diese Bibliothek möglicherweise verwenden.
Sicherheitsupdate 19.11.2003 für Panther 10.3.1
OpenSSL: Korrektur von CAN-2003-0851; Analysen bestimmter fehlerhafter ASN.1-Sequenzen werden jetzt sicherer verarbeitet.
zlib: Korrektur von CAN-2003-0107. Obwohl es in MacOS X keine Funktionen gab, die die anfällige Funktion "gzprintf()" verwendeten, wurde das zugrunde liegende Problem in "zlib" behoben, um alle Drittanbieteranwendungen zu schützen, die diese Bibliothek möglicherweise verwenden.
Sicherheitsupdate 04.11.2003
Terminal: Korrektur von CAN-2003-0913, eine potenzielle Sicherheitsanfälligkeit in der Terminal-Anwendung in Mac OS X 10.3 und Mac OS X Server 10.3, die nicht autorisierten Zugriff auf ein System ermöglichen kann. Mac OS X-Versionen vor 10.3 sind nicht betroffen.
Sicherheitsupdate 28.10.2003
Korrektur von CAN-2003-0871, eine potenzielle Sicherheitsanfälligkeit bei der Implementierung von QuickTime Java in Mac OS X 10.3 und Mac OS X Server 10.3, die nicht autorisierten Zugriff auf ein System ermöglichen kann.
Mac OS X 10.3 Panther
Finder: Korrektur von CAN-2003-0876, wobei Ordnerberechtigungen beim Kopieren eines Ordners von einem bereitgestellten Volume wie einem diskimage möglicherweise nicht beibehalten werden. Danke an Dave G. von @stake, Inc. für die Aufdeckung dieses Problems.
Kernel: Korrektur von CAN-2003-0877, wobei Benutzer mit interaktivem Shell-Zugriff willkürliche Dateien überschreiben und Kerndateien lesen können, die von Root-eigenen Prozessen erstellt wurden, wenn ein System mit aktivierten Core-Dateien ausgeführt wird. Dies kann dazu führen, dass vertrauliche Informationen wie Authentifizierungsdaten kompromittiert werden. Die Erstellung von Core-Dateien ist auf Mac OS X standardmäßig deaktiviert. Danke an Dave G. von @stake, Inc. für die Aufdeckung dieses Problems.
slpd: Korrektur von CAN-2003-0878; wenn die persönliche Dateifreigabe aktiviert ist, kann der slpd-Daemon eine Datei im Root-Besitz im /tmp-Verzeichnis erstellen. Dadurch könnte eine vorhandene Datei überschrieben werden, sodass Benutzer erhöhte Berechtigungen erhalten können. Die persönliche Dateifreigabe ist in Mac OS X standardmäßig deaktiviert. Danke an Dave G. von @stake, Inc. für die Aufdeckung dieses Problems.
Kernel: Korrektur von CAN-2003-0895, wobei ein lokaler Benutzer einen Absturz des Mac OS X-Kernels verursachen kann, indem ein langes Befehlszeilenargument angegeben wird. Das Gerät startet nach einigen Minuten von selbst neu. Danke an Dave G. von @stake, Inc. für die Aufdeckung dieses Problems.
ktrace: Korrektur von CVE-2002-0701; ein theoretischer Exploit, wenn ktrace über die Kernel-Option KTRACE aktiviert ist, kann ein lokaler Benutzer möglicherweise vertrauliche Informationen abrufen. Es ist derzeit nicht bekannt, dass ein bestimmtes Dienstprogramm für dieses Problem anfällig ist.
nfs: Korrektur von CVE-2002-0830 für das Netzwerkdateisystem, in dem ein Remote-Benutzer RPC-Nachrichten senden kann, die das System blockieren.
zlib: Korrektur von CAN-2003-0107. Obwohl es in Mac OSX keine Funktionen gab, die die anfällige Funktion gzprintf() verwendeten, wurde das zugrunde liegende Problem inzlib behoben.
gm4: Korrektur von CAN-2001-1411, eine Sicherheitsanfälligkeit bezüglich Formatzeichenfolgen im Dienstprogramm "gm4“. Keine Set-UID-Root-Programme basieren auf "gm4". Diese Problembehebung ist eine vorbeugende Maßnahme gegen einen möglichen zukünftigen Exploit.
OpenSSH: Korrektur von CAN-2003-0386, wobei Beschränkungen für "from=" und "user@Hosts" potenziell über Reverse DNS für numerisch angegebene IP-Adressen manipuliert werden können. Mac OS X 10.3 umfasst auch frühere Korrekturen, die für OpenSSH veröffentlicht wurden. Die Version von OpenSSH, die über den Befehl "ssh -V" abgerufen wird, lautet: OpenSSH_3.6.1p1+CAN-2003-0693, SSH protocols 1.5/2.0, OpenSSL 0x0090702f
nidump: Korrektur von CAN-2001-1412, wobei das Dienstprogramm nidump Zugriff auf die verschlüsselten Passwörter bietet, die zur Authentifizierung von Anmeldungen verwendet werden.
System Preferences: Korrektur von CAN-2003-0883, wobei das System nach der Authentifizierung mit einem Administratorpasswort für kurze Zeit weiterhin den Zugriff auf sichere Einstellungsbereiche zulässt. Dadurch kann ein lokaler Benutzer auf Bereiche mit Einstellungen zugreifen, die er normalerweise nicht verwenden kann. In den Sicherheitseinstellungen von Mac OS X 10.3 gibt es jetzt die Option "Passwort zum Entsperren jeder sicheren Systemeinstellung anfordern". Danke an Anthony Holder für die Meldung dieses Problems.
TCP timestamp: Korrektur von CAN-2003-0882, wobei der TCP-Zeitstempel mit einer konstanten Zahl initialisiert wird. Dadurch kann eine Person anhand der ID in TCP-Paketen ermitteln, wie lange das System bereits aktiv ist. In Mac OS X 10.3 wird der TCP-Zeitstempel jetzt mit einer Zufallszahl initialisiert. Danke an Aaron Linville für die Meldung dieses Problems und das Einreichen einer Problembehebung über das Darwin Open Source-Programm.
Mail: Korrektur von CAN-2003-0881 in der Mail-Anwendung von Mac OS X. Wenn ein Account für die MD5 Challenge Response konfiguriert ist, versucht er, sich mit CRAM-MD5 anzumelden, kehrt aber im Hintergrund zu Nur-Text zurück, wenn die Hash-Anmeldung fehlschlägt. Danke an Chris Adams für die Meldung dieses Problems.
Dock: Korrektur von CAN-2003-0880; wenn "Vollständiger Tastaturzugriff" über den Bereich "Tastatur" in den Systemeinstellungen aktiviert ist, kann hinter Bildschirmeffekten blind auf Dock-Funktionen zugegriffen werden.
Mac OS X 10.2.8
OpenSSL: Korrektur von CAN-2003-0543, CAN-2003-0544, CAN-2003-0545 zur Behebung potenzieller Probleme in bestimmten ASN.1-Strukturen und im Zertifikatverifizierungscode. Um das Update schnell und zuverlässig bereitzustellen, wurden nur die Patches für die oben aufgeführten CVE-IDs angewendet, nicht die gesamte neueste OpenSSL-Bibliothek. Die OpenSSL-Version in Mac OS X 10.2.8, die über den Befehl "openssl version" abgerufen wird, lautet also: OpenSSL 0.9.6i Feb 19 2003
OpenSSH: Korrektur von CAN-2003-0693, CAN-2003-0695 und CAN-2003-0682, um Fehler bei der Pufferverwaltung in OpenSSH-sshd-Versionen vor 3.7.1 zu beheben. Um das Update schnell und zuverlässig bereitzustellen, wurden nur die oben aufgeführten Patches für CVE-IDs angewendet, nicht der gesamte Patch-Satz für OpenSSH 3.7.1. Die OpenSSH-Version in Mac OS X 10.2.8, die über den Befehl "ssh -V" abgerufen wird, lautet: OpenSSH_3.4p1+CAN-2003-0693, SSH protocols 1.5/2.0, OpenSSL 0x0090609f
sendmail: Korrektur von CAN-2003-0694 und CAN-2003-0681, um einen Pufferüberlauf bei der Adressanalyse sowie einen potenziellen Pufferüberlauf bei der Regelsatzanalyse zu beheben.
fb_realpath(): Korrektur von CAN-2003-0466, ein Fehler in der Funktion fb_realpath(), der Angreifern die Ausführung von willkürlichem Code ermöglichen kann.
arplookup(): Korrektur von CAN-2003-0804. Die Funktion "arplookup()" speichert ARP-Anfragen für Routen auf einem lokalen Link. Nur in einem lokalen Subnetz ist es einem Angreifer möglich, eine ausreichende Anzahl gefälschter ARP-Anfragen zu senden, die Kernel-Speicher überlasten und zu einem Denial-of-Service führen.
Informationen zu früheren Sicherheitsupdates sind unter Apple-Sicherheitsupdates: August 2003 und älter zu finden.
Wichtig: Informationen zu Produkten, die nicht von Apple hergestellt wurden, werden lediglich zu Informationszwecken zur Verfügung gestellt und stellen keine Empfehlung oder Billigung seitens Apple dar. Weitere Informationen sind beim Händler erhältlich.
Wichtig: Der Hinweis auf Websites und Produkte von Drittanbietern erfolgt ausschließlich zu Informationszwecken und stellt weder eine Billigung noch eine Empfehlung dar. Apple übernimmt keine Verantwortung für die Auswahl, Leistung oder Nutzung von Informationen und Produkten auf Websites von Drittanbietern. Apple stellt diese Informationen seinen Kunden lediglich als Serviceleistung zur Verfügung. Apple hat die auf diesen Websites gefundenen Informationen nicht geprüft und übernimmt keine Gewähr für ihre Genauigkeit oder Zuverlässigkeit. Die Verwendung von Informationen oder Produkten im Internet birgt Risiken, und Apple übernimmt diesbezüglich keine Verantwortung. Wir bitten um Verständnis, dass Websites von Drittanbietern von Apple unabhängig sind und dass Apple keine Kontrolle über den Inhalt dieser Website hat. Weitere Informationen sind beim Händler erhältlich.