Informationen zum Sicherheitsupdate 2008-007
In diesem Dokument wird das Sicherheitsupdate 2008-007 beschrieben, das in den Einstellungen unter Softwareupdate oder über Apple-Downloads geladen und installiert werden kann.
Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit findest du auf der Website zur Apple-Produktsicherheit.
Informationen zum Apple-PGP-Schlüssel für die Produktsicherheit findest du unter Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit.
Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.
Informationen zu weiteren Sicherheitsupdates findest du unter Apple-Sicherheitsupdates.
Sicherheitsupdate 2008-007
Apache
CVE-ID: CVE-2007-6420, CVE-2008-1678, CVE-2008-2364
Verfügbar für: Mac OS X 10.5.5, Mac OS X Server 10.5.5
Auswirkung: Mehrere Schwachstellen in Apache 2.2.8
Beschreibung: Apache wird auf Version 2.2.9 aktualisiert, um mehrere Schwachstellen zu beheben, von denen die schwerwiegendste zu Cross-Site-Request-Forgery führen kann. Apache-Version 2 wird nicht mit Mac OS X-Clientsystemen älter als Version 10.5 geliefert. Apache-Version 2 wird mit Mac OS X 10.4-Systemen geliefert, ist aber nicht standardmäßig aktiviert. Weitere Informationen findest du auf der Apache-Website unter http://httpd.apache.org/
Certificates
Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Auswirkung: Root-Zertifikate wurden aktualisiert
Beschreibung: Mehrere vertrauenswürdige Zertifikate wurden zur Liste der System-Roots hinzugefügt. Mehrere bestehende Zertifikate wurden auf ihre aktuellste Version aktualisiert. Die vollständige Liste der erkannten System-Roots kann über die Anwendung „Schlüsselbund“ eingesehen werden.
ClamAV
CVE-ID: CVE-2008-1389, CVE-2008-3912, CVE-2008-3913, CVE-2008-3914
Verfügbar für: Mac OS X Server 10.4.11, Mac OS X Server 10.5.5
Auswirkung: Mehrere Schwachstellen in ClamAV 0.93.3
Auswirkung: In ClamAV 0.93.3 existieren mehrere Schwachstellen, von denen die schwerwiegendste zur Ausführung willkürlichen Codes führen kann. Dieses Update behebt das Problem durch Aktualisierung von ClamAV 0.94, wird aber nicht mit Mac OS X-Clientsystemen geliefert. Weitere Informationen findest du auf der ClamAV-Website unter http://www.clamav.net/
ColorSync
CVE-ID: CVE-2008-3642
Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Auswirkung: Das Anzeigen eines in böswilliger Absicht erstellten Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Bildern mit eingebettetem ICC-Profil tritt ein Pufferüberlauf auf. Das Öffnen eines in böswilliger Absicht erstellten Bildes mit einem eingebetteten ICC-Profil kann zu einem unerwarteten Beenden der Anwendung oder zur Ausführung von willkürlichem Code führen. Dieses Update behebt das Problem, indem es eine zusätzliche Überprüfung von ICC-Profilen in Bildern durchführt. Quelle: Apple.
CUPS
CVE-ID: CVE-2008-3641
Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Auswirkung: Ein entfernter Angreifer kann möglicherweise willkürlich Code mit den Rechten eines „lp“-Benutzers ausführen
Beschreibung: Es gibt ein Problem innerhalb des Hewlett-Packard Graphics Language-Filters (HPGL), das dazu führen kann, dass Speicher willkürlich von gesteuerten Daten überschrieben wird. Wenn „Druckerfreigabe“ aktiviert ist, kann ein entfernter Angreifer möglicherweise willkürlich Code mit den Rechten eines „lp“-Benutzers ausführen. Ist „Druckerfreigabe“ nicht aktiviert, kann ein lokaler Benutzer möglicherweise erhöhte Rechte erhalten. Dieses Update behebt das Problem, indem eine zusätzliche Abgrenzungsüberprüfung durchgeführt wird. Wir danken regenrecht in Zusammenarbeit mit der Zero Day Initiative von TippingPoint für die Meldung dieses Problems.
Finder
CVE-ID: CVE-2008-3643
Verfügbar für: Mac OS X 10.5.5, Mac OS X Server 10.5.5
Auswirkung: Eine Datei auf dem Schreibtisch kann zu einem Denial-of-Service führen
Beschreibung: Es besteht ein Fehlerwiederherstellungsproblem im Finder. Eine in böswilliger Absicht erstellte Datei auf dem Schreibtisch, die zum unerwarteten Beenden von Finder führt, wenn das Generieren des Symbols zum kontinuierlichen Beenden und Neustarten von Finder führt. Bis die Datei entfernt wird, kann nicht auf das Benutzerkonto über die Benutzeroberfläche von Finder zugegriffen werden. Dieses Update behebt das Problem, indem Symbole in einem separaten Vorgang generiert werden. Dieses Problem hat keine Auswirkung auf Systeme, die älter als Mac OS X 10.5 sind. Wir danken Sergio „shadown“ Alvarez von n.runs AG für die Meldung dieses Problems.
launchd
Auswirkung: Programme treten möglicherweise nicht einer Sandbox bei, wenn dies angefordert wird
Verfügbar für: Mac OS X 10.5.5, Mac OS X Server 10.5.5
Beschreibung: Dieses Update behebt ein Problem, das erstmals in Mac OS X v10.5.5 aufgetreten ist. Ein Implementierungsproblem in launchd kann dafür sorgen, dass eine Anfrage für einen Beitritt in eine Sandbox fehlschlägt. Dieses Problem hat keine Auswirkung auf Programme, die die API „documented sandbox_init“ verwenden. Dieses Update behebt das Problem durch Bereitstellung einer aktualisierten Version von launchd. Dieses Problem betrifft keine Systeme vor Mac OS X 10.5.5.
libxslt
CVE-ID: CVE-2008-1767
Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichem Codes führen
Beschreibung: In der libxslt-Bibliothek tritt ein Heap-Pufferüberlauf auf. Das Aufrufen einer in böswilliger Absicht erstellten HTML-Seite kann zu einem unerwarteten Beenden der Anwendung oder zur Ausführung von willkürlichem Code führen. Weitere Informationen über den angewandten Patch findest du auf http://xmlsoft.org/XSLT/ Danke an Anthony de Almeida Lopes von Outpost24 AB und Chris Evans vom Google-Sicherheitsteam für die Meldung dieses Problems.
MySQL Server
CVE-ID: CVE-2007-2691, CVE-2007-5969, CVE-2008-0226, CVE-2008-0227, CVE-2008-2079
Verfügbar für: Mac OS X Server 10.5.5
Auswirkung: Mehrere Schwachstellen in MySQL 5.0.45
Beschreibung: MySQL wird auf Version 5.0.67 aktualisiert, um mehrere Schwachstellen zu beheben, von denen die schwerwiegendste zur Ausführung willkürlichen Codes führen kann. Diese Probleme betreffen nur Systeme mit Mac OS X Server. Weitere Informationen findest du auf der MySQL-Website unter http://dev.mysql.com/doc/refman/5.0/en/news-5-0-67.html
Networking
CVE-ID: CVE-2008-3645
Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Auswirkung: Ein lokaler Benutzer kann Systemberechtigungen erhalten
Beschreibung: In der lokalen IPC-Komponente des configd-Plug-ins EAPOLController tritt ein Heap-Pufferüberlauf auf, wodurch ein lokaler Benutzer möglicherweise Systemrechte erlangen kann. Dieses Update behebt das Problem durch eine verbesserte Abgrenzungsprüfung. Quelle: Apple.
PHP
CVE-ID: CVE-2007-4850, CVE-2008-0674, CVE-2008-2371
Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X Server 10.5.5
Auswirkung: Mehrere Schwachstellen in PHP 4.4.8
Beschreibung: PHP wird auf Version 4.4.9 aktualisiert, um mehrere Schwachstellen zu beheben, von denen die schwerwiegendste zur Ausführung willkürlichen Codes führen kann. Weitere Informationen findest du auf der PHP-Website unter http://www.php.net/. Diese Probleme betreffen nur Systeme, auf denen Mac OS X 10.4.x, Mac OS X Server 10.4.x oder Mac OS X Server 10.5.x ausgeführt wird.
Postfix
CVE-ID: CVE-2008-3646
Verfügbar für: Mac OS X 10.5.5
Auswirkung: Ein entfernter Angreifer kann möglicherweise E-Mails direkt an lokale Benutzer senden
Beschreibung: Es tritt ein Problem in den Postfix-Konfigurationsdateien auf. Nachdem ein lokales Befehlszeilentool eine E-Mail sendet, kann eine Minute lang aus dem Netzwerk auf Postfix zugegriffen werden. In diesem Zeitraum kann eine entfernte Entität, die sich mit dem SMTP-Port verbinden könnte, E-Mails an lokale Benutzer senden und andernfalls das SMTP-Protokoll verwenden. Dieses Problem führt nicht dazu, dass das System zu einem offenen Mail-Relay wird. Dieses Problem wird durch Ändern der Postfix-Konfiguration behoben, um SMTP-Verbindungen von entfernten Rechnern zu verhindern. Dieses Problem betrifft keine Systeme vor Mac OS X 10.5 und betrifft nicht Mac OS X Server. Danke an Pelle Johansson für die Meldung dieses Problems.
PSNormalizer
CVE-ID: CVE-2008-3647
Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Auswirkung: Das Öffnen einer in böser Absicht erstellten PostScript-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung des Begrenzungsrahmenkommentars in PostScript-Dateien von PSNormalizer kommt es zu einem Pufferüberlauf. Das Anzeigen einer in böswilliger Absicht erstellten PostScript-Datei kann zu einem unerwarteten Beenden der Anwendung oder zur Ausführung willkürlichen Codes führen. Dieses Update behebt das Problem durch eine zusätzliche Validierung von PostScript-Dateien.
Quelle: Apple.
QuickLook
CVE-ID: CVE-2008-4211
Verfügbar für: Mac OS X 10.5.5, Mac OS X Server 10.5.5
Auswirkung: Das Laden oder Anzeigen einer in böswilliger Absicht erstellten Microsoft Excel-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Ein Vorzeichenproblem bei der Verarbeitung von Spalten in Microsoft Excel-Dateien durch QuickLook kann zu einem Out-of-Bounds-Speicherzugriff führen. Das Herunterladen oder Anzeigen einer in böswilliger Absicht erstellten Microsoft Excel-Datei kann zu einem unerwarteten Beenden der Anwendung oder zur Ausführung willkürlichen Codes führen. Dieses Update behebt das Problem, indem Microsoft Excel-Dateien zusätzlich überprüft werden. Dieses Problem betrifft keine Systeme vor Mac OS X 10.5.
rlogin
CVE-ID: CVE-2008-4212
Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Auswirkung: Systeme, die manuell für eine Verwendung von rlogin sowie host.equiv konfiguriert wurden, können unerwartet eine Root-Anmeldung erlauben
Beschreibung: Die Manpage für die Konfigurationsdatei hosts.equiv zeigt an, dass Einträge nicht für Root gelten. Ein Implementierungsfehler in rlogind sorgt jedoch dafür, dass diese Einträge auch für Root gelten. Dieses Update behebt das Problem, indem rlogin für den Root-Benutzer nicht mehr erlaubt wird, wenn das Remotesystem in hosts.equiv ist. Der rlogin-Dienst wird standardmäßig nicht in Mac OS X aktiviert und muss für die Aktivierung manuell konfiguriert werden. Danke an Ralf Meyer für die Meldung dieses Problems.
Script Editor
CVE-ID: CVE-2008-4214
Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Auswirkung: Ein lokaler Benutzer kann die Rechte eines anderen Benutzers erhalten, der den Skripteditor verwendet
Beschreibung: Im Skripteditor liegt ein unsicherer Dateivorgang vor, wenn Scripting-Wörterbücher des Programms geöffnet werden. Ein lokaler Benutzer kann verursachen, dass Scripting-Wörterbücher auf einen willkürlichen Pfad geschrieben werden, auf den der Benutzer Zugriff hat, der die Anwendung ausführt. Dieses Update behebt das Problem, indem die temporäre Datei an einem sicheren Speicherort erstellt wird. Quelle: Apple.
Single Sign-On
Verfügbar für: Mac OS X 10.5.5, Mac OS X Server 10.5.5
Auswirkung: Der Befehl sso_util akzeptiert nun Passwörter aus einer Datei
Beschreibung: Der Befehl sso_util akzeptiert nun Passwörter aus einer Datei, die in der Umgebungsvariable SSO_PASSWD_PATH benannt wird. Dies führt dazu, dass automatisierte Skripte sso_util sicherer verwenden.
Tomcat
CVE-ID: CVE-2007-6286, CVE-2008-0002, CVE-2008-1232, CVE-2008-1947, CVE-2008-2370, CVE-2008-2938, CVE-2007-5333, CVE-2007-5342, CVE-2007-5461
Verfügbar für: Mac OS X Server 10.5.5
Auswirkung: Mehrere Schwachstellen in Tomcat 6.0.14
Beschreibung: Tomcat auf Mac OS X 10.5-Systemen wird auf Version 6.0.18 aktualisiert, um mehrere Schwachstellen zu beheben, von denen die schwerwiegendste zu einem Cross-Site-Scripting-Angriff führen kann. Diese Probleme betreffen nur Systeme mit Mac OS X Server. Weitere Informationen findest du auf der Tomcat-Website unter http://tomcat.apache.org/
vim
CVE-ID: CVE-2008-2712, CVE-2008-4101, CVE-2008-2712, CVE-2008-3432, CVE-2008-3294
Verfügbar für: Mac OS X 10.5.5, Mac OS X Server 10.5.5
Auswirkung: Mehrere Schwachstellen in vim 7.0
Beschreibung: In vim 7.0 liegen mehrere Schwachstellen vor, von denen die schwerwiegendste zur Ausführung willkürlichen Codes führen kann, wenn mit in böswilliger Absicht erstellten Dateien gearbeitet wird. Dieses Update behebt das Problem durch Aktualisierung auf vim 7.2.0.22. Weitere Informationen findest du auf der vim-Website unter http://www.vim.org/
Weblog
CVE-ID: CVE-2008-4215
Verfügbar für: Mac OS X Server 10.4.11
Auswirkung: Die Zugriffssteuerung für Weblog-Beiträge wird möglicherweise nicht erzwungen
Beschreibung: Es besteht ein nicht überprüftes Problem auf dem Weblog-Server. Wird ein Benutzer mit mehreren Kurznamen der Zugriffssteuerungsliste für einen Weblog-Beitrag hinzugefügt, kann dies dazu führen, dass der Weblog-Server die Zugriffssteuerung nicht erzwingt. Dieses Problem wird dadurch behoben, dass die Speicherungsart der Steuerungslisten verbessert wird. Dieses Problem betrifft nur Systeme mit Mac OS X Server 10.4. Quelle: Apple.