Informationen zum Sicherheitsinhalt von OS X Yosemite 10.10.3 und zum Sicherheitsupdate 2015-004
Dieses Dokument beschreibt den Sicherheitsinhalt von OS X Mavericks 10.10.3 und das Sicherheitsupdate 2015-004.
Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit findest du auf der Website zur Apple-Produktsicherheit.
Informationen zum Apple-PGP-Schlüssel für die Produktsicherheit findest du unter Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit.
Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.
Informationen zu weiteren Sicherheitsupdates findest du unter Apple-Sicherheitsupdates.
OS X Yosemite 10.10.3 und Sicherheitsupdate 2015-004
Admin Framework
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein Prozess kann möglicherweise ohne ordnungsgemäße Authentifizierung Administratorrechte erlangen.
Beschreibung: Bei der Prüfung der XPC-Berechtigungen ist ein Problem aufgetreten. Dieses Problem wurde durch eine verbesserte Berechtigungsüberprüfung behoben.
CVE-ID
CVE-2015-1130: Emil Kvarnhammar von TrueSec
apache
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Mehrere Schwachstellen in Apache
Beschreibungen: In Apache-Versions vor 2.4.10 und 2.2.29 gab es mehrere Schwachstellen, einschließlich einer Schwachstelle, die einem entfernten Angreifer das Ausführen von willkürlichem Code ermöglichen kann. Die Probleme wurden durch ein Update auf Apache-Versionen 2.4.10 und 2.2.29 behoben
CVE-ID
CVE-2013-5704
CVE-2013-6438
CVE-2014-0098
CVE-2014-0117
CVE-2014-0118
CVE-2014-0226
CVE-2014-0231
ATS
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit Systemberechtigungen ausführen.
Beschreibung: In fontd bestanden mehrere Probleme bei der Eingabeüberprüfung. Diese Probleme wurden durch eine verbesserte Eingabeüberprüfung behoben.
CVE-ID
CVE-2015-1131: Ian Beer von Google Project Zero
CVE-2015-1132: Ian Beer von Google Project Zero
CVE-2015-1133: Ian Beer von Google Project Zero
CVE-2015-1134: Ian Beer von Google Project Zero
CVE-2015-1135: Ian Beer von Google Project Zero
Certificate Trust Policy
Auswirkung: Aktualisierung der Richtlinie für vertrauenswürdige Zertifikate
Beschreibung: Die Richtlinie für vertrauenswürdige Zertifikate wurde aktualisiert. Sieh dir die vollständige Liste der Zertifikate an.
CFNetwork HTTPProtocol
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Cookies von einer Quelle können möglicherweise an eine andere Quelle gesendet werden.
Beschreibung: Bei der Verarbeitung von Weiterleitungen bestand ein Problem mit Cross-Domain-Cookies. Cookies, die in einer Weiterleitungsantwort festgelegt wurden, könnten an ein Weiterleitungsziel einer anderen Quelle übergeben werden. Dieses Problem wurde durch eine verbesserte Verarbeitung von Weiterleitungen behoben.
CVE-ID
CVE-2015-1089: Niklas Keller (http://kelunik.com)
CFNetwork Session
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Die Anmeldedaten zur Authentifizierung können möglicherweise an einen Server auf einer anderen Quelle gesendet werden.
Beschreibung: Es bestand ein Problem mit Cross-Domain-HTTP-Anfrageheadern bei der Verarbeitung von Weiterleitungen. HTTP-Anfrageheader, die in einer Weiterleitungsantwort gesendet wurden, konnten an eine andere Quelle übergeben werden. Dieses Problem wurde durch eine verbesserte Verarbeitung von Umleitungen behoben.
CVE-ID
CVE-2015-1091: Diego Torres (http://dtorres.me)
CFURL
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website kann möglicherweise zur Ausführung von willkürlichem Code führen.
Beschreibung: Bei der URL-Verarbeitung trat ein Problem mit der Eingabeüberprüfung auf. Dieses Problem wurde durch eine verbesserte URL-Überprüfung behoben.
CVE-ID
CVE-2015-1088: Luigi Galli
CoreAnimation
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website kann möglicherweise zur Ausführung von willkürlichem Code führen.
Beschreibung: In CoreAnimation lag ein Use-After-Free-Problem vor. Dieses Problem wurde durch eine verbesserte Mutex-Verwaltung behoben.
CVE-ID
CVE-2015-1136: Apple
CUPS
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit der Root-Rechten ausführen.
Beschreibung: Bei der Verarbeitung von IPP-Nachrichten durch CUPS ist ein Use-After-Free-Problem aufgetreten. Dieses Problem wurde durch eine verbesserte Referenzzählung behoben.
CVE-ID
CVE-2015-1158: Neel Mehta von Google
CUPS
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: In bestimmten Konfigurationen kann möglicherweise ein entfernter Angreifer möglicherweise willkürliche Druckaufträge übermitteln.
Beschreibung: Auf der CUPS-Weboberfläche trat ein Cross-Site-Scripting-Problem auf. Dieses Problem wurde durch eine verbesserte Ausgabebereinigung behoben.
CVE-ID
CVE-2015-1159: Neel Mehta von Google
FontParser
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Schriftdatei kann möglicherweise zur Ausführung von willkürlichem Code führen.
Beschreibung: Bei der Verarbeitung von Schriftdateien traten mehrere Speicherfehler auf. Diese Probleme wurden durch eine verbesserte Abgrenzungsüberprüfung behoben.
CVE-ID
CVE-2015-1093: Marc Schoenefeld
Graphics Driver
Verfügbar für: OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit Systemberechtigungen ausführen.
Beschreibung: Bei der Verarbeitung bestimmter IOService-Benutzerclient-Typen durch den NVIDIA-Grafiktreiber ist ein Problem mit einem Rückverweis auf einen Nullzeiger aufgetreten. Dieses Problem wurde durch eine zusätzliche Kontextüberprüfung behoben.
CVE-ID
CVE-2015-1137: Frank Graziano und John Villamil vom Yahoo Pentest Team
Hypervisor
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein lokales Programm kann möglicherweise zu einem Denial-of-Service führen.
Beschreibung: Im Hypervisor-Framework ist ein Problem mit der Eingabeüberprüfung aufgetreten. Dieses Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-ID
CVE-2015-1138: Izik Eidus und Alex Fishman
ImageIO
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten .sgi-Datei kann möglicherweise zur Ausführung von willkürlichem Code führen.
Beschreibung: Bei der Verarbeitung von .sgi-Dateien ist ein Speicherfehler aufgetreten. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.
CVE-ID
CVE-2015-1139: Apple
IOHIDFamily
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein schadhaftes HID-Gerät kann möglicherweise zur Ausführung von willkürlichem Code führen.
Beschreibung: In einer IOHIDFamily-API ist ein Speicherproblem aufgetreten. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-1095: Andrew Church
IOHIDFamily
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit Systemberechtigungen ausführen.
Beschreibung: In IOHIDFamily gab es ein Problem mit einem Pufferüberlauf. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-1140: lokihardt@ASRT in Zusammenarbeit mit der Zero Day Initiative von HP, Luca Todesco, Vitaliy Toropov in Zusammenarbeit mit der Zero Day Initiative (ZDI) von HP
IOHIDFamily
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein lokaler Benutzer kann möglicherweise das Layout des Kernelspeichers bestimmen.
Beschreibung: In IOHIDFamily bestand ein Problem, das dazu führte, dass Inhalte des Kernel-Speichers offengelegt wurden. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.
CVE-ID
CVE-2015-1096: Ilja van Sprundel von IOActive
IOHIDFamily
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5
Auswirkung: Ein bösartiges Programm kann möglicherweise willkürlichen Code mit Systemberechtigungen ausführen.
Beschreibung: Bei der Verarbeitung von Schlüsselzuordnungseigenschaften in IOHIDFamily trat ein Heap-Pufferüberlauf auf. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.
CVE-ID
CVE-2014-4404: Ian Beer von Google Project Zero
IOHIDFamily
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5
Auswirkung: Ein bösartiges Programm kann möglicherweise willkürlichen Code mit Systemberechtigungen ausführen.
Beschreibung: Bei der Verarbeitung von Schlüsselzuordnungseigenschaften in IOHIDFamily gab es einen Rückverweis auf einen Nullzeiger. Dieses Problem wurde durch eine verbesserte Überprüfung von IOHIDFamily-Schlüsselzuordnungseigenschaften behoben.
CVE-ID
CVE-2014-4405: Ian Beer von Google Project Zero
IOHIDFamily
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5
Auswirkung: Ein Benutzer kann möglicherweise willkürlichen Code mit Systemberechtigungen ausführen.
Beschreibung: Im IOHIDFamily-Treiber bestand ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs geschrieben werden konnten. Dieses Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-ID
CVE-2014-4380: cunzhang von Adlab von Venustech
Kernel
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein lokaler Benutzer kann möglicherweise ein unerwartetes Herunterfahren des Systems verursachen.
Beschreibung: Bei der Verarbeitung von virtuellen Speichervorgängen im Kernel ist ein Problem aufgetreten. Dieses Problem wurde durch die verbesserte Verarbeitung des mach_vm_read-Vorgangs behoben.
CVE-ID
CVE-2015-1141: Ole Andre Vadla Ravnas von www.frida.re
Kernel
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein lokaler Benutzer kann möglicherweise einen Denial-of-Service des Systems verursachen.
Beschreibung: Beim setreuid-Systemaufruf des Kernels gab es eine Race-Bedingung. Dieses Problem wurde durch eine verbesserte Statusverwaltung behoben.
CVE-ID
CVE-2015-1099: Mark Mentovai von Google Inc.
Kernel
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein lokales Programm kann möglicherweise mithilfe eines kompromittierten Dienstes, der mit verringerten Berechtigungen ausgeführt werden soll, die Berechtigungen heraufsetzen.
Beschreibung: Mit den Systemaufrufen setreuid und setregid konnten die Berechtigungen nicht dauerhaft aufgehoben werden. Dieses Problem wurde behoben, indem Berechtigungen ordnungsgemäß aufgehoben wurden.
CVE-ID
CVE-2015-1117: Mark Mentovai von Google Inc.
Kernel
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein Angreifer in einer privilegierten Netzwerkposition kann möglicherweise Benutzerzugriffe zu willkürlichen Hosts weiterleiten.
Beschreibung: ICMP-Weiterleitungen waren in OS X standardmäßig aktiviert. Dieses Problem wurde durch Deaktivieren von ICMP-Weiterleitungen behoben.
CVE-ID
CVE-2015-1103: Zimperium Mobile Security Labs
Kernel
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein Angreifer in einer privilegierten Netzwerkposition kann möglicherweise einen Denial-of-Service verursachen.
Beschreibung: Bei der Verarbeitung von TCP-Headern gab es eine Statusinkonsistenz. Dieses Problem wurde durch eine verbesserte Statusverarbeitung behoben.
CVE-ID
CVE-2015-1102: Andrey Khudyakov und Maxim Zhuravlev von Kaspersky Lab
Kernel
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein lokaler Benutzer kann möglicherweise einen unerwarteten Systemabbruch verursachen oder den Kernel-Speicher lesen.
Beschreibung: Im Kernel trat ein Problem mit grenzüberschreitendem Speicherzugriff auf. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-1100: Maxime Villard von m00nbsd
Kernel
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein entfernter Angreifer kann möglicherweise Netzwerkfilter umgehen.
Beschreibung: Das System behandelte einige IPv6-Pakete von Remote-Netzwerkschnittstellen als lokale Pakete. Dieses Problem wurde durch Ablehnen dieser Pakete behoben.
CVE-ID
CVE-2015-1104: Stephen Roettger vom Google Security Team
Kernel
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen.
Beschreibung: Im Kernel gab es einen Speicherfehler. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-1101: lokihardt@ASRT in Zusammenarbeit mit der Zero Day Initiative von HP
Kernel
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein entfernter Angreifer kann möglicherweise einen Denial-of-Service verursachen.
Beschreibung: Bei der Verarbeitung von TCP-Out-of-Band-Daten gab es ein Statusinkonsistenz-Problem. Dieses Problem wurde durch eine verbesserte Statusverwaltung behoben.
CVE-ID
CVE-2015-1105: Kenton Varda von Sandstorm.io
LaunchServices
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein lokaler Benutzer kann möglicherweise einen Finder-Absturz verursachen.
Beschreibung: Bei der Verarbeitung von Programmlokalisierungsdaten ist in LaunchServices ein Problem bei der Eingabeüberprüfung aufgetreten. Dieses Problem wurde durch eine verbesserte Überprüfung von Lokalisierungsdaten behoben.
CVE-ID
CVE-2015-1142
LaunchServices
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit Systemberechtigungen ausführen.
Beschreibung: Bei der Verarbeitung von lokalisierten Zeichenfolgen ist in LaunchServices ein Typenverwechslungsproblem aufgetreten. Dieses Problem wurde durch eine zusätzliche Abgrenzungsüberprüfung behoben.
CVE-ID
CVE-2015-1143: Apple
libnetcore
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Die Verarbeitung eines in bösartiger Absicht erstellten Konfigurationsprofils kann möglicherweise zu einer unerwarteten Programmbeendigung führen.
Beschreibung: Bei der Verarbeitung von Konfigurationsprofilen gab es einen Speicherfehler. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.
CVE-ID
CVE-2015-1118: Zhaofeng Chen, Hui Xue, Yulong Zhang und Tao Wei von FireEye, Inc.
ntp
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein entfernter Angreifer kann möglicherweise mit einem Brute-Force-Angriff ntpd-Authentifizierungsschlüssel ermitteln.
Beschreibung: Die config_auth-Funktion in ntpd erzeugte einen schwachen Schlüssel, wenn kein Authentifizierungsschlüssel konfiguriert war. Dieses Problem wurde durch eine verbesserte Schlüsselerstellung behoben.
CVE-ID
CVE-2014-9298
OpenLDAP
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein nicht authentifizierter Remote-Client kann möglicherweise einen Denial-of-Service verursachen.
Beschreibung: In OpenLDAP gab es mehrere Probleme bei der Eingabeüberprüfung. Diese Probleme wurden durch eine verbesserte Eingabeüberprüfung behoben.
CVE-ID
CVE-2015-1545: Ryan Tandy
CVE-2015-1546: Ryan Tandy
OpenSSL
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Mehrere Schwachstellen in OpenSSL
Beschreibung: In OpenSSL 0.9.8zc gab es mehrere Schwachstellen, einschließlich einer Schwachstelle, die es einem Angreifer ermöglichen könnte, Verbindungen zu einem Server abzufangen, der Verschlüsselungen der Exportklasse unterstützt. Diese Probleme wurden durch Aktualisierung von OpenSSL auf Version 0.9.8zd behoben.
CVE-ID
CVE-2014-3569
CVE-2014-3570
CVE-2014-3571
CVE-2014-3572
CVE-2014-8275
CVE-2015-0204
Open Directory Client
Verfügbar für: OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Bei der Verwendung von Open Directory aus OS X Server konnte ein Passwort unverschlüsselt über das Netzwerk versendet werden.
Beschreibung: Wenn ein Open Directory-Client an einen OS X Server gebunden war, aber nicht die Zertifikate des OS X Server installiert hat, wurde die Anfrage eines Benutzers zur Änderung seines Passworts ohne Verschlüsselung über das Netzwerk übertragen. Das Problem wurde behoben, indem es zu einer Anforderung gemacht wurde, dass der Client in einem solchen Fall eine Verschlüsselung erfordert.
CVE-ID
CVE-2015-1147: Apple
PHP
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Mehrere Schwachstellen in PHP
Beschreibung: In PHP-Versionen vor 5.3.29, 5.4.38 und 5.5.20 gab es mehrere Schwachstellen, einschließlich einer Schwachstelle, die zur Ausführung von willkürlichem Code hätte führen können. Dieses Update behebt die Probleme, indem PHP auf die Versionen 5.3.29, 5.4.38 und 5.5.20 aktualisiert wird.
CVE-ID
CVE-2013-6712
CVE-2014-0207
CVE-2014-0237
CVE-2014-0238
CVE-2014-2497
CVE-2014-3478
CVE-2014-3479
CVE-2014-3480
CVE-2014-3487
CVE-2014-3538
CVE-2014-3587
CVE-2014-3597
CVE-2014-3668
CVE-2014-3669
CVE-2014-3670
CVE-2014-3710
CVE-2014-3981
CVE-2014-4049
CVE-2014-4670
CVE-2014-4698
CVE-2014-5120
QuickLook
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Das Öffnen einer in böser Absicht erstellten iWork-Datei kann möglicherweise zur Ausführung von willkürlichem Code führen.
Beschreibung: Bei der Verarbeitung von iWork-Dateien ist ein Speicherfehler aufgetreten. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-1098: Christopher Hickstein
SceneKit
Verfügbar für: OS X Mountain Lion 10.8.5
Auswirkung: Das Anzeigen einer in böser Absicht erstellten Collada-Datei kann möglicherweise zur Ausführung von willkürlichem Code führen.
Bei der Verarbeitung von Collada-Dateien ist in SceneKit ein Heap-Pufferüberlauf aufgetreten. Das Anzeigen einer in böser Absicht erstellten Collada-Datei konnte möglicherweise zur Ausführung von willkürlichem Code führen. Dieses Problem wurde durch eine verbesserte Überprüfung von Accessor-Elementen behoben.
CVE-ID
CVE-2014-8830: Jose Duart vom Google Security Team
Screen Sharing
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Das Passwort eines Benutzers kann möglicherweise in einer lokalen Datei erfasst werden.
Beschreibung: In einigen Fällen kann die Bildschirmfreigabe möglicherweise ein Passwort eines Benutzers erfassen, das von anderen Benutzern im System nicht gelesen werden kann. Das Problem wurde behoben, indem die Protokollierung von Anmeldedaten entfernt wurde.
CVE-ID
CVE-2015-1148: Apple
Secure Transport
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Die Verarbeitung eines in bösartiger Absicht erstellten X.509-Zertifikats kann möglicherweise zu einer unerwarteten Programmbeendigung führen.
Beschreibung: Bei der Verarbeitung von X.509-Zertifikaten bestand ein Problem mit einem Rückverweis auf einen Nullzeiger. Dieses Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-ID
CVE-2015-1160: Elisha Eshed, Roy Iarchy und Yair Amit von Skycure Security Research
Security - Code Signing
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Das Starten von manipulierten Programmen kann möglicherweise nicht verhindert werden.
Beschreibung: Programme, die speziell erstellte Pakete enthalten, konnten möglicherweise ohne vollständig gültige Signatur gestartet werden. Dieses Problem wurde durch zusätzliche Überprüfungen behoben.
CVE-ID
CVE-2015-1145
CVE-2015-1146
UniformTypeIdentifiers
Verfügbar für: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Ein lokaler Benutzer kann möglicherweise willkürlichen Code mit Systemberechtigungen ausführen.
Beschreibung: Bei der Verarbeitung von Uniform Type Identifiers gab es einen Pufferüberlauf. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.
CVE-ID
CVE-2015-1144: Apple
WebKit
Verfügbar für: OS X Yosemite 10.10 bis 10.10.2
Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website kann möglicherweise zur Ausführung von willkürlichem Code führen.
Beschreibung: In WebKit gab es einen Speicherfehler. Dieses Problem wurde durch eine verbesserte Speicherverarbeitung behoben.
CVE-ID
CVE-2015-1069: lokihardt@ASRT in Zusammenarbeit mit der Zero Day Initiative von HP
Sicherheitsupdate 2015-004 (verfügbar für OS X Mountain Lion 10.8.5 und OS X Mavericks 10.9.5) behebt auch ein Problem, das durch die Fehlerkorrektur für CVE-2015-1067 in Sicherheitsupdate 2015-002 verursacht wurde. Dieses Problem verhinderte, dass Clients für entfernte Apple-Events einer beliebigen Version eine Verbindung mit dem Server für entfernte Apple-Events herstellen konnten. In Standardkonfigurationen sind entfernte Apple-Events nicht aktiviert.
OS X Yosemite 10.10.3 umfasst den Sicherheitsinhalt von Safari 8.0.5.
Informationen zu nicht von Apple hergestellten Produkten oder nicht von Apple kontrollierten oder geprüften unabhängigen Websites stellen keine Empfehlung oder Billigung dar. Apple übernimmt keine Verantwortung für die Auswahl, Leistung oder Nutzung von Websites und Produkten Dritter. Apple gibt keine Zusicherungen bezüglich der Genauigkeit oder Zuverlässigkeit der Websites Dritter ab. Kontaktiere den Anbieter, um zusätzliche Informationen zu erhalten.