Informationen zum Sicherheitsinhalt von OS X Yosemite 10.10.2 und zum Sicherheitsupdate 2015-001

In diesem Dokument werden der Sicherheitsinhalt von OS X Yosemite 10.10.2 und das Sicherheitsupdate 2015-001 beschrieben.

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit finden Sie auf der Website Apple-Produktsicherheit.

Informationen zum Apple-PGP-Schlüssel für die Produktsicherheit finden Sie unter Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit.

Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.

Informationen zu weiteren Sicherheitsupdates finden Sie unter Apple-Sicherheitsupdates.

OS X Yosemite 10.10.2 und Sicherheitsupdate 2015-001

  • AFP-Server

    Verfügbar für: OS X Mavericks 10.9.5

    Auswirkung: Ein entfernter Angreifer konnte alle Netzwerkadressen des Systems ermitteln.

    Beschreibung: Der AFP-Dateiserver unterstützte einen Befehl, der alle Netzwerkadressen des Systems ausgab. Dieses Problem wurde durch das Entfernen der Adressen aus dem Ergebnis behoben.

    CVE-ID

    CVE-2014-4426: Craig Young von Tripwire VERT

  • bash

    Verfügbar für: OS X Yosemite 10.10 und 10.10.1

    Auswirkung: bash enthielt mehrere Schwachstellen, darunter eine, die es lokalen Angreifern ermöglicht, willkürlichen Code auszuführen.

    Beschreibung: In bash gab es mehrere Schwachstellen. Diese Probleme wurden durch eine Aktualisierung von bash auf Patchebene 57 behoben.

    CVE-ID

    CVE-2014-6277

    CVE-2014-7186

    CVE-2014-7187

  • Bluetooth

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: In IOBluetoothFamily gab es einen Fehler mit der Vorzeichenbehaftung von Ganzzahlen, der eine Manipulation des Kernelspeichers erlaubte. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben. Dieses Problem betrifft keine Systeme mit OS X Yosemite.

    CVE-ID

    CVE-2014-4497

  • Bluetooth

    Verfügbar für: OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Im Bluetooth-Treiber existierte ein Fehler, der es einem Schadprogramm erlaubte, die Größe eines Schreibvorgangs im Kernelspeicher zu kontrollieren. Das Problem wurde durch eine zusätzliche Eingabeüberprüfung behoben.

    CVE-ID

    CVE-2014-8836: Ian Beer von Google Project Zero

  • Bluetooth

    Verfügbar für: OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Im Bluetooth-Treiber existierten mehrere Sicherheitsprobleme, die es einem Schadprogramm erlaubten, willkürlichen Code mit Systemrechten auszuführen. Die Probleme wurden durch eine zusätzliche Eingabeüberprüfung behoben.

    CVE-ID

    CVE-2014-8837: Roberto Paleari und Aristide Fattori von Emaze Networks

  • CFNetwork Cache

    Verfügbar für: OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Nach dem privaten Surfen wurde der Cache der Website möglicherweise nicht vollständig gelöscht.

    Beschreibung: Es gab ein Datenschutzproblem, bei dem nach dem privaten Surfen möglicherweise Surfdaten im Cache verblieben sind. Dieses Problem wurde durch eine Änderung des Cache-Verhaltens behoben.

    CVE-ID

    CVE-2014-4460

  • CoreGraphics

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Das Öffnen einer in böser Absicht erstellten PDF-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    Beschreibung: Bei der Verarbeitung von PDF-Dateien konnte ein Ganzzahlüberlauf auftreten. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

    CVE-ID

    CVE-2014-4481: Felipe Andres Manzano von Binamuse VRT über das iSIGHT Partners GVP Program

  • CPU-Software

    Verfügbar für: OS X Yosemite 10.10 und 10.10.1 für: MacBook Pro Retina, MacBook Air (Mitte 2013 und neuer), iMac (Ende 2013 und neuer), Mac Pro (Ende 2013)

    Auswirkung: Ein schadhaftes Thunderbolt-Gerät kann das Firmware-Flashing beeinträchtigen.

    Beschreibung: Thunderbolt-Geräte konnten die Hostfirmware ändern, wenn sie während eines EFI-Updates verbunden sind. Dieses Problem wurde dadurch behoben, dass während Updates keine Options-ROMs geladen werden.

    CVE-ID

    CVE-2014-4498: Trammell Hudson von Two Sigma Investments

  • CommerceKit Framework

    Verfügbar für: OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein Angreifer mit Zugriff auf ein System ist möglicherweise in der Lage, Apple-ID-Anmeldedaten zu ermitteln.

    Beschreibung: Bei der Verarbeitung von App Store-Protokollen bestand ein Problem. Der App Store-Prozess konnte Apple-ID-Anmeldeinformationen im Protokoll protokollieren, wenn die zusätzliche Protokollierung aktiviert war. Dieses Problem wurde dadurch behoben, dass das Protokollieren von Anmeldeinformationen nun nicht mehr zugelassen wird.

    CVE-ID

    CVE-2014-4499: Sten Petersen

  • CoreGraphics

    Verfügbar für: OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Einige Drittanbieterprogramme mit nicht sicheren Texteingabe- und Mausereignissen können diese Ereignisse protokollieren.

    Beschreibung: Aufgrund der Kombination einer nicht initialisierten Variable und dem benutzerdefinierten Zuteiler eines Programms konnten nicht sichere Texteingabe- und Mausereignisse protokolliert werden. Dieses Problem wurde dadurch behoben, dass sichergestellt wird, dass die Protokollierung standardmäßig deaktiviert ist. Dieses Problem wirkt sich nicht auf Systeme vor OS X Yosemite aus.

    CVE-ID

    CVE-2014-1595: Steven Michaud von Mozilla in Zusammenarbeit mit Kent Howard

  • CoreGraphics

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5

    Auswirkung: Das Öffnen einer in böser Absicht erstellten PDF-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    Beschreibung: Bei der Verarbeitung von PDF-Dateien konnte es zu einem Speicherfehler kommen. Das Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben. Dieses Problem betrifft keine Systeme mit OS X Yosemite.

    CVE-ID

    CVE-2014-8816: Mike Myers von Digital Operatives LLC

  • CoreSymbolication

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Bei der Verarbeitung von XPC-Nachrichten in coresymbolicationd gab es mehrere Typenverwechslungsprobleme. Diese Probleme wurden durch eine verbesserte Typüberprüfung behoben.

    CVE-ID

    CVE-2014-8817: Ian Beer von Google Project Zero

  • FontParser

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Die Verarbeitung einer in böser Absicht erstellten .dfont-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    Beschreibung: Bei der Verarbeitung von .dfont-Dateien gab es einen Speicherfehler. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

    CVE-ID

    CVE-2014-4484: Gaurav Baruah in Zusammenarbeit mit der Zero Day Initiative von HP

  • FontParser

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Das Öffnen einer in böser Absicht erstellten PDF-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    Beschreibung: Bei der Verarbeitung von Schrift-Dateien konnte es zu einem Pufferüberlauf kommen. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

    CVE-ID

    CVE-2014-4483: Apple

  • Foundation

    Verfügbar für: OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Das Anzeigen einer in böser Absicht erstellten XML-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    Beschreibung: Im XML-Parser konnte es zu einem Pufferüberlauf kommen. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

    CVE-ID

    CVE-2014-4485: Apple

  • Intel Graphics Driver

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Mehrere Schwachstellen im Intel-Grafiktreiber

    Beschreibung: Im Intel-Grafiktreiber existierten mehrere Schwachstellen, die im schlimmsten Fall zur Ausführung willkürlichen Codes mit Systemrechten führen konnten. Mit diesem Update werden die Probleme durch zusätzliche Abgrenzungsüberprüfungen behoben.

    CVE-ID

    CVE-2014-8819: Ian Beer von Google Project Zero

    CVE-2014-8820: Ian Beer von Google Project Zero

    CVE-2014-8821: Ian Beer von Google Project Zero

  • IOAcceleratorFamily

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Bei der Verarbeitung bestimmter IOService-Userclient-Typen in IOAcceleratorFamily gab es eine Null-Zeiger-Dereferenz. Dieses Problem wurde durch eine verbesserte Überprüfung von IOAcceleratorFamily-Kontexten behoben.

    CVE-ID

    CVE-2014-4486: Ian Beer von Google Project Zero

  • IOHIDFamily

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: In IOHIDFamily konnte es zu einem Pufferüberlauf kommen. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

    CVE-ID

    CVE-2014-4487: TaiG Jailbreak Team

  • IOHIDFamily

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Bei der Verarbeitung von Ressourcenwartelisten-Metadaten in IOHIDFamily existierte ein Validierungsproblem. Dieses Problem wurde durch eine verbesserte Überprüfung von Metadaten behoben.

    CVE-ID

    CVE-2014-4488: Apple

  • IOHIDFamily

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Bei der Verarbeitung von Ereigniswartelisten in IOHIDFamily gab es eine Null-Zeiger-Dereferenz. Dieses Problem wurde durch eine verbesserte Überprüfung der IOHIDFamily-Ereigniswartelisten-Initialisierung behoben.

    CVE-ID

    CVE-2014-4489: @beist

  • IOHIDFamily

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Das Ausführen eines schadhaften Programms kann im Kernel zur Ausführung willkürlichen Codes führen.

    Beschreibung: In einem vom IOHIDFamily-Treiber bereitgestellten Benutzerclient existierte ein Problem mit der Abgrenzungsüberprüfung, das es einem schadhaften Programm ermöglichte, beliebige Teile des Kernel-Adressraums zu überschreiben. Das Problem wurde durch Entfernen der anfälligen Benutzerclient-Methode behoben.

    CVE-ID

    CVE-2014-8822: Vitaliy Toropov in Zusammenarbeit mit der Zero Day Initiative von HP

  • IOKit

    Verfügbar für: OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Bei der Verarbeitung von IOKit-Funktionen konnte ein Ganzzahlüberlauf auftreten. Dieses Problem wurde durch eine verbesserte Überprüfung von IOKit-API-Argumenten behoben.

    CVE-ID

    CVE-2014-4389: Ian Beer von Google Project Zero

  • IOUSBFamily

    Verfügbar für: OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein privilegiertes Program konnte beliebige Daten aus dem Kernelspeicher lesen.

    Beschreibung: Bei der Verarbeitung von IOUSB-Controller-Benutzerclient-Funktionen existierte ein Problem mit dem Speicherzugriff. Dieses Problem wurde durch eine verbesserte Argumentüberprüfung behoben.

    CVE-ID

    CVE-2014-8823: Ian Beer von Google Project Zero

  • Kerberos

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Die Kerberos-Bibliothek libgssapi gab einen Kontext-Token mit losem Zeiger aus. Dieses Problem wurde durch eine verbesserte Statusverwaltung behoben.

    CVE-ID

    CVE-2014-5352

  • Kernel

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Die Angabe eines benutzerdefinierten Cachemodus erlaubte das Schreiben in schreibgeschützte, gemeinsam genutzte Speichersegmente des Kernels. Dieses Problem wurde dadurch behoben, dass keine Schreibrechte als Nebeneffekt mancher benutzerdefinierter Cachemodi gewährt werden.

    CVE-ID

    CVE-2014-4495: Ian Beer von Google Project Zero

  • Kernel

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Es existierte ein Validierungsproblem bei der Verarbeitung bestimmter Metadatenfelder von IODataQueue-Objekten. Dieses Problem wurde durch eine verbesserte Überprüfung von Metadaten behoben.

    CVE-ID

    CVE-2014-8824: @PanguTeam

  • Kernel

    Verfügbar für: OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein lokaler Angreifer kann dem Kernel Verzeichnisdienst-Antworten vortäuschen, höhere Rechte vergeben oder eine Kernelausführung erlangen.

    Beschreibung: Es existierten Probleme bei der identitysvc-Validierung des Verzeichnisdienst-Auflösungsvorgangs, bei der Verarbeitung von Markierungen und der Fehlerverarbeitung. Dieses Problem wurde durch eine verbesserte Überprüfung behoben.

    CVE-ID

    CVE-2014-8825: Alex Radocea von CrowdStrike

  • Kernel

    Verfügbar für: OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein lokaler Benutzer konnte das Kernel-Speicher-Layout ermitteln.

    Beschreibung: Es bestanden mehrere Probleme mit nicht initialisiertem Speicher in der Netzwerkstatistik-Schnittstelle, was zur Offenlegung von Kernelspeicherinhalten führte. Dieses Problem wurde durch eine zusätzliche Speicherinitialisierung behoben.

    CVE-ID

    CVE-2014-4371: Fermin J. Serna vom Google-Sicherheitsteam

    CVE-2014-4419: Fermin J. Serna vom Google-Sicherheitsteam

    CVE-2014-4420: Fermin J. Serna vom Google-Sicherheitsteam

    CVE-2014-4421: Fermin J. Serna vom Google-Sicherheitsteam

  • Kernel

    Verfügbar für: OS X Mavericks 10.9.5

    Auswirkung: Eine Person in einer privilegierten Netzwerkposition konnte einen Denial-of-Service verursachen.

    Beschreibung: Bei der Verarbeitung von IPv6-Paketen existierte eine Race-Bedingung. Dieses Problem wurde durch eine verbesserte Sperrstatusüberprüfung behoben.

    CVE-ID

    CVE-2011-2391

  • Kernel

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: In böser Absicht erstellte oder kompromittierte Programme sind unter Umständen in der Lage, Adressen im Kernel zu ermitteln.

    Beschreibung: Bei der Verarbeitung von APIs wurden in Bezug auf Kernel-Erweiterungen Informationen offengelegt. Antworten mit OSBundleMachOHeaders-Schlüssel enthielten möglicherweise Kernel-Adressen, die zur Umgehung der ASLR-Sicherheit (Address Space Layout Randomization) genutzt werden können. Dieses Problem wurde durch ein Unsliding der Adressen vor dem Zurücksenden behoben.

    CVE-ID

    CVE-2014-4491: @PanguTeam, Stefan Esser

  • Kernel

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Es bestand ein Validierungsproblem bei der Verarbeitung bestimmter Metadatenfelder von IOSharedDataQueue-Objekten. Dieses Problem wurde durch Verschiebung der Metadaten behoben.

    CVE-ID

    CVE-2014-4461: @PanguTeam

  • LaunchServices

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Eine schadhafte JAR-Datei kann Gatekeeper-Überprüfungen umgehen.

    Beschreibung: Es bestand ein Problem mit der Verarbeitung von Programmaufrufen, die es bestimmten schadhaften JAR-Dateien erlaubten, die Gatekeeper-Prüfungen zu umgehen. Dieses Problem wurde durch eine verbesserte Verarbeitung von Dateityp-Medadaten behoben.

    CVE-ID

    CVE-2014-8826: Hernan Ochoa von Amplia Security

  • libnetcore

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Eine schadhafte, in der Sandbox ausgeführte App kann den networkd-Daemon kompromittieren.

    Beschreibung: Bei der Verarbeitung der Interprozesskommunikation in networkd gab es mehrere Typenverwechslungsprobleme. Durch Senden einer in böser Absicht formatierten Nachricht an networkd war es möglich, willkürlichen Code als networkd-Prozess auszuführen. Das Problem wird durch eine zusätzliche Typüberprüfung behoben.

    CVE-ID

    CVE-2014-4492: Ian Beer von Google Project Zero

  • LoginWindow

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein Mac wird nach dem Beenden des Ruhezustands nicht sofort gesperrt.

    Beschreibung: Es bestand ein Problem mit der Darstellung des Sperrbildschirms. Dieses Problem wurde durch eine verbesserte Bildschirmdarstellung während der Sperre behoben.

    CVE-ID

    CVE-2014-8827: Xavier Bertels von Mono und mehrere OS X-Seed-Tester

  • lukemftp

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Die Verwendung des Befehlszeilen-FTP-Tools zum Abrufen von Dateien von einem schadhaften http-Server kann zur Ausführung willkürlichen Codes führen.

    Beschreibung: Bei der Verarbeitung von HTTP-Umleitungen existierte ein Problem mit der Befehlseinschleusung. Dieses Problem wurde durch eine verbesserte Überprüfung von Sonderzeichen behoben.

    CVE-ID

    CVE-2014-8517

  • ntpd

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Die Verwendung des ntp-Daemons mit aktivierter kryptografischer Authentifizierung kann zur Offenlegung von Informationen führen.

    Beschreibung: In ntpd existierten mehrere Probleme mit der Eingabeüberprüfung. Diese Probleme wurden durch eine verbesserte Datenüberprüfung behoben.

    CVE-ID

    CVE-2014-9297

  • OpenSSL

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: In OpenSSL 0.9.8za gab es mehrere Schwachstellen, darunter eine, die dazu führen konnte, dass ein Angreifer Verbindungen herabstuft, um schwächere Cipher Suites in Programmen zu verwenden, die die Bibliothek nutzen.

    Beschreibung: In OpenSSL 0.9.8za gab es mehrere Schwachstellen. Diese Probleme wurden durch Aktualisierung von OpenSSL auf Version 0.9.8zc behoben.

    CVE-ID

    CVE-2014-3566

    CVE-2014-3567

    CVE-2014-3568

  • Sandbox

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5

    Auswirkung: Ein in der Sandbox ausgeführter Prozess konnte in der Lage sein, Sandbox-Einschränkungen zu umgehen.

    Beschreibung: Beim Caching von Sandbox-Profilen bestand ein Designproblem, das es in der Sandbox ausgeführten Programmen erlaubte, Schreibzugriff auf den Cache zu erlangen. Dieses Problem wurde dadurch behoben, dass der Schreibzugriff auf Pfade eingeschränkt wurde, die ein "com.apple.sandbox"-Segment enthielten. Dieses Problem betrifft keine Systeme mit OS X Yosemite 10.10 oder neuer.

    CVE-ID

    CVE-2014-8828: Apple

  • SceneKit

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5

    Auswirkung: Ein schadhaftes Programm konnte willkürlichen Code ausführen, der zur Kompromittierung der Benutzerdaten führen kann.

    Beschreibung: In SceneKit existierten mehrere grenzüberschreitende Schreibprobleme. Diese Probleme wurden durch eine verbesserte Abgrenzungsüberprüfung behoben.

    CVE-ID

    CVE-2014-8829: Jose Duart vom Google-Sicherheitsteam

  • SceneKit

    Verfügbar für: OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Das Öffnen einer in böser Absicht erstellten Collada-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    Beschreibung: Bei der Verarbeitung von Collada-Dateien in SceneKit existierte ein Stapelpufferüberlauf. Das Öffnen einer in böser Absicht erstellten Collada-Datei konnte zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Dieses Problem wurde durch eine verbesserte Überprüfung von Accessor-Elementen behoben.

    CVE-ID

    CVE-2014-8830: Jose Duart vom Google-Sicherheitsteam

  • Sicherheit

    Verfügbar für: OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein geladenes Programm, das mit einem ungültigen Developer-ID-Zertifikat signiert ist, konnte die Gatekeeper-Überprüfungen bestehen.

    Beschreibung: Es bestand ein Problem mit der Beurteilung zwischengespeicherter Programmzertifikatsinformationen. Dieses Problem wurde durch eine Verbesserung der Cache-Logik behoben.

    CVE-ID

    CVE-2014-8838: Apple

  • security_taskgate

    Verfügbar für: OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Eine App konnte auf Schlüsselbundobjekte zugreifen, die anderen Apps gehören.

    Beschreibung: Im Schlüsselbund bestand ein Problem mit der Zugriffssteuerung. Programme, die mit selbstsignierten oder Developer-ID-Zertifikaten signiert waren, konnten auf Schlüsselbundobjekte zugreifen, deren Zugriffssteuerungslisten auf Schlüsselbundgruppen basierten. Dieses Problem wurde dadurch behoben, dass die signierende Identität überprüft wird, wenn Zugriff auf Schlüsselbundgruppen gewährt wird.

    CVE-ID

    CVE-2014-8831: Apple

  • Spotlight

    Verfügbar für: OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Der Absender einer E-Mail konnte die IP-Adresse des Empfängers ermitteln.

    Beschreibung: Spotlight überprüfte nicht den Status der Einstellung "Entfernte Inhalte in Nachrichten laden" von Mail. Dieses Problem wurde durch eine verbesserte Konfigurationsüberprüfung behoben.

    CVE-ID

    CVE-2014-8839: John Whitehead von The New York Times, Frode Moe von LastFriday.no

  • Spotlight

    Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Spotlight kann unerwartete Informationen auf einer externen Festplatte speichern.

    Beschreibung: In Spotlight existierte ein Problem, durch das Speicherinhalte beim Indizieren auf externe Festplatten geschrieben werden konnten. Dieses Problem wurde durch eine bessere Speicherverwaltung behoben.

    CVE-ID

    CVE-2014-8832: F-Secure

  • SpotlightIndex

    Verfügbar für: OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Spotlight kann Ergebnisse für Dateien anzeigen, die nicht dem Benutzer gehören.

    Beschreibung: Bei der Verarbeitung von Berechtigungs-Caches gab es in Spotlight ein Deserialisierungsproblem. Einem Benutzer, der eine Spotlight-Abfrage durchführte, konnten Ergebnisse angezeigt werden, die auf Dateien verwiesen, für die er nicht über ausreichende Leserechte verfügte. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

    CVE-ID

    CVE-2014-8833: David J. Peacock, unabhängiger Technologieberater

  • sysmond

    Verfügbar für: OS X Mavericks 10.9.5, OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Ein schadhaftes Programm kann möglicherweise willkürlichen Code mit Root-Rechten ausführen.

    Beschreibung: In sysmond existierte eine Typverwechslungsschwachstelle, die es einem lokalen Programm erlaubte, Privilegien zu eskalieren. Das Problem wurde durch eine verbesserte Typüberprüfung behoben.

    CVE-ID

    CVE-2014-8835: Ian Beer von Google Project Zero

  • UserAccountUpdater

    Verfügbar für: OS X Yosemite 10.10 und 10.10.1

    Auswirkung: Einstellungsdateien für den Druck können vertrauliche Informationen über PDF-Dokumente enthalten.

    Beschreibung: In OS X Yosemite 10.10 wurde ein Problem mit der Verarbeitung passwortgeschützter PDF-Dateien behoben, die über den Druckdialog erstellt wurden, bei dem Passwörter in den Druckeinstellungsdateien enthalten sein konnten. Dieses Update entfernt solche fremden Daten, die in Druckeinstellungsdateien vorhanden sein konnten.

    CVE-ID

    CVE-2014-8834: Apple

Hinweis: OS X Yosemite 10.10.2 beinhaltet den Sicherheitsinhalt von Safari 8.0.3.

Informationen zu nicht von Apple gefertigten Produkten sowie nicht von Apple gesteuerte oder geprüfte unabhängige Websites werden ohne Empfehlung und Unterstützung zur Verfügung gestellt. Apple übernimmt keine Verantwortung für die Auswahl, Leistung oder Nutzung von Websites und Produkten Dritter. Apple übernimmt keine Garantie für die Richtigkeit und Zuverlässigkeit von Drittanbieter-Websites. Die Nutzung des Internets birgt Risiken. Kontaktieren Sie den Hersteller, um zusätzliche Informationen zu erhalten. Andere Produkt- und Firmennamen sind möglicherweise Marken ihrer jeweiligen Eigentümer.

Veröffentlichungsdatum: