Informationen zum Sicherheitsinhalt des Mac OS X 10.4.7-Updates
In diesem Dokument wird der Sicherheitsinhalt des Mac OS X 10.4.11-Updates beschrieben, das über die Einstellungen für Softwareupdates oder Apple Downloads geladen und installiert werden kann.
Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit findest du auf der Website zur Apple-Produktsicherheit.
Informationen zum Apple-PGP-Schlüssel für die Produktsicherheit findest du unter Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit.
Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.
Informationen zu weiteren Sicherheitsupdates findest du unter Apple-Sicherheitsupdates.
Mac OS X v10.4.7-Update
AFP
CVE-ID: CVE-2006-1468
Verfügbar für: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Auswirkung: Datei- und Ordnernamen werden möglicherweise unbefugten Benutzern offengelegt
Beschreibung: Ein Problem im AFP-Server bewirkt, dass Suchergebnisse die Namen von Dateien und Ordnern enthalten, für die der Benutzer, der die Suche durchführt, kein Zugriffsrecht hat. Dies könnte zur Offenlegung vertraulicher Informationen führen, wenn die Namen selbst vertrauliche Informationen darstellen. Dieses Update behebt das Problem, indem es sicherstellt, dass die Suchergebnisse nur Elemente enthalten, für die der Benutzer über eine Zugriffsberechtigung verfügt. Dieses Problem betrifft keine Systeme vor Mac OS X v10.4.
ClamAV
CVE-ID: CVE-2006-1989
Verfügbar für: Mac OS X Server v10.4.6
Auswirkung: Wenn die Virenprüfung so konfiguriert ist, dass sie automatisch aktualisiert wird, können entfernte Angreifer eine unerwartete Programmbeendigung oder die Ausführung von willkürlichem Code verursachen.
Beschreibung: Ein Problem in der automatischen Aktualisierungsfunktion der Virendatenbank von ClamAV kann einen stapelbasierten Pufferüberlauf verursachen. Ein bösartiger oder gefälschter ClamAV-Datenbankspiegel kann bewirken, dass willkürlicher Code mit den Berechtigungen von ClamAV ausgeführt wird. Der Mail-Dienst, die Virenprüfung und die automatische Aktualisierung der Virendatenbank sind standardmäßig deaktiviert. Dieses Update behebt das Problem durch die Integration von ClamAV 0.88.2. Dieses Problem hat keine Auswirkung auf Systeme, die älter als Mac OS X v10.4 sind.
ImageIO
CVE-ID: CVE-2006-1469
Verfügbar für: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Auswirkung: Das Anzeigen einer in böswilliger Absicht erstellten TIFF-Bilddatei kann zu einem Programmabsturz oder zur Ausführung von willkürlichem Code führen
Beschreibung: Durch die gezielte Herstellung einer schädlichen TIFF-Bilddatei kann ein Angreifer einen stapelbasierten Pufferüberlauf auslösen, der zu einem Programmabsturz oder zur Ausführung von willkürlichem Code führen kann. Dieses Update behebt die Probleme durch die zusätzliche Validierung von TIFF-Bilddateien. Dieses Problem betrifft keine Systeme vor Mac OS X v10.4.
launchd
CVE-ID: CVE-2006-1471
Verfügbar für: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Auswirkung: Lokale Benutzer können möglicherweise erweiterte Rechte erlangen
Beschreibung: Eine Formatzeichenketten-Schwachstelle im setuid-Programm „launchd“ könnte einem authentifizierten lokalen Benutzer erlauben, willkürlichen Code mit Systemrechten auszuführen. Das Problem ist in der Protokollierungsfunktion von launchd enthalten. Dieses Update behebt das Problem durch eine zusätzliche Überprüfung der Protokollierungsmeldungen. Dieses Problem hat keine Auswirkung auf Systeme, die älter als Mac OS X v10.4 sind. Wir danken Kevin Finisterre von DigitalMunition für die Meldung dieses Problems.
OpenLDAP
CVE-ID: CVE-2006-1470
Verfügbar für: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Auswirkung: Entfernte Angreifer können einen Absturz des Open Directory Servers verursachen
Beschreibung: Durch die gezielte Herstellung einer ungültigen LDAP-Anfrage kann ein entfernter Angreifer möglicherweise einen Assertionsfehler im OpenLDAP-Server auslösen, was zu einem Denial-of-Service führt. Dieses Update behebt das Problem, indem die ungültige Anforderung verworfen wird. Dieses Problem betrifft keine Systeme vor Mac OS X v10.4. Wir danken dem Forschungsteam von Mu Security für die Meldung dieses Problems.