Informationen zum Sicherheitsinhalt des Sicherheitsupdates 2010-004/Mac OS X 10.6.4

In diesem Dokument wird der Sicherheitsinhalt des Sicherheitsupdates 2010-004/Mac OS X 10.6.4 beschrieben

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit findest du auf der Website zur Apple-Produktsicherheit.

Informationen zum Apple-PGP-Schlüssel für die Produktsicherheit findest du unter Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit.

Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.

Informationen zu weiteren Sicherheitsupdates findest du unter Apple-Sicherheitsupdates.

Sicherheitsupdate 2010-004 / Mac OS X 10.6.4

• CUPS

  CVE-ID: CVE-2010-0540

  Verfügbar für: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Der Besuch einer in böser Absicht erstellten Website, während Sie als Administrator in der CUPS-Weboberfläche angemeldet sind, kann die Änderung der CUPS-Einstellungen zulassen.

  Beschreibung: In der CUPS-Weboberfläche besteht ein Problem mit der Fälschung von Cross-Site-Requests. Wenn Sie eine in böser Absicht erstellte Website besuchen, während Sie als Administrator bei der CUPS-Weboberfläche angemeldet sind, können die CUPS-Einstellungen möglicherweise geändert werden. Dieses Problem wird dadurch behoben, dass die Übermittlung von Webformularen ein zufälliges Sitzungstoken enthalten muss. Dank geht an Adrian „pagvac“, Pastor von GNUCITIZEN, und Tim Starling für die Meldung dieses Problems.

• CUPS

  CVE-ID: CVE-2010-0302

  Verfügbar für: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Ein entfernter Angreifer kann eine unerwartete Beendigung der Anwendung von cupsd verursachen

  Beschreibung: Es gibt ein Use-After-Free-Problem in cupsd. Durch die Ausgabe einer in böswilliger Absicht erstellten Get-Printer-Jobs-Anfrage kann ein Angreifer einen entfernten Denial-of-Service verursachen. Dies wird durch den automatischen Neustart von cupsd nach dessen Beendigung abgemildert. Dieses Problem wird durch eine verbesserte Verfolgung der Verbindungsnutzung behoben. Wir danken Tim Waugh für die Meldung dieses Problems.

• CUPS

  CVE-ID: CVE-2010-1748

  Verfügbar für: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Ein Angreifer mit Zugang zum CUPS Webinterface kann möglicherweise eine begrenzte Menge des Speichers des cupsd-Prozesses lesen

  Beschreibung: Ein gibt ein Problem mit der Behandlung von Formvariablen im CUPS Webinterface beim nicht-initialisiertem Lesen des Speichers. Ein Angreifer mit Zugriff auf die CUPS-Weboberfläche kann möglicherweise eine begrenzte Menge an Speicher aus dem cupsd-Prozess lesen. Standardmäßig können nur lokale Benutzer auf die Weboberfläche zugreifen. Wenn die Druckerfreigabe aktiviert ist, können auch Remote-Benutzer darauf zugreifen. Dieses Problem wird durch eine verbesserte Handhabung von Formularvariablen behoben. Wir danken Luca Carettoni für die Meldung dieses Problems.

• DesktopServices

  CVE-ID: CVE-2010-0545

  Verfügbar für: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Ein Finder-Vorgang kann zu Dateien oder Ordnern mit unerwarteten Berechtigungen führen.

  Beschreibung: Wenn „Auf eingeschlossene Elemente anwenden…“ im Fenster „Informationen“ im Finder ausgewählt ist Das Eigentum an den beigefügten Gegenständen wird dadurch nicht geändert. Dies kann dazu führen, dass die eingeschlossenen Dateien und Ordner über unerwartete Berechtigungen verfügen. Dieses Problem wird durch die Anwendung des richtigen Eigentums behoben. Dank geht an Michi Ruepp von Pianobakery.com für die Meldung dieses Problems.

• Flash Player-Plug-in

  CVE-ID: CVE-2010-0186, CVE-2010-0187

  Verfügbar für: Mac OS X v10.5.8 , Mac OS X Server v10.5.8, Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Mehrere Schwachstellen im Adobe Flash Player-Plug-in

  Beschreibung: Im Adobe Flash Player-Plug-in bestehen mehrere Probleme, von denen das schwerwiegendste zu unbefugtem Crossover führen kann -Domain-Anfragen. Die Probleme werden durch ein Update des Flash Player-Plug-ins auf Version 10.0.45.2 behoben. Weitere Informationen finden sich auf der Adobe-Website unter http://www.adobe.com/support/security/

• Ordnermanager

  CVE-ID: CVE-2010-0546

  Verfügbar für: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Das Aufheben der Bereitstellung eines in böser Absicht erstellten Festplatten-Images oder einer Remote-Freigabe kann zu Datenverlust führen.

  Beschreibung: Im Ordner-Manager besteht ein Problem mit der Folge eines Symlinks. Beim Aufheben der Bereitstellung wird ein Ordner mit dem Namen „Cleanup At Startup“ entfernt. Ein in böser Absicht erstelltes Volume kann einen Symlink verwenden, um das Löschen eines beliebigen Ordners mit den Berechtigungen des aktuellen Benutzers zu veranlassen. Dieses Problem wird durch eine verbesserte Handhabung von Symlinks behoben. Quelle: Apple.

• Hilfe-Viewer

  CVE-ID: CVE-2010-1373

  Verfügbar für: Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Der Besuch einer in böser Absicht erstellten Website kann zur Ausführung von JavaScript in der lokalen Domäne führen.

  Beschreibung: Bei der Verarbeitung von Hilfe-URLs durch den Help Viewer liegt ein Cross-Site-Scripting-Problem vor. Der Besuch einer in böser Absicht erstellten Website kann zur Ausführung von JavaScript in der lokalen Domäne führen. Dies kann zur Offenlegung von Informationen oder zur Ausführung willkürlichen Codes führen. Dieses Problem wird durch eine verbesserte Escape-Funktion für URL-Parameter in HTML-Inhalten behoben. Dieses Problem hat keine Auswirkung auf Systeme, die älter als Mac OS X v10.6 sind. Wir dankeClint Ruoho von Laconic Security für die Meldung dieses Problems.

• iChat

  CVE-ID: CVE-2010-1374

  Verfügbar für: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Ein Remote-Benutzer kann Dateien an beliebige Speicherorte im Dateisystem eines Benutzers hochladen, der derzeit AIM in iChat verwendet.

  Beschreibung: Bei der Verarbeitung von Inline-Bildübertragungen durch iChat liegt ein Verzeichnisdurchlaufproblem vor. Ein Remote-Benutzer kann Dateien an beliebige Speicherorte im Dateisystem eines Benutzers hochladen, der derzeit AIM in iChat verwendet. Dieses Problem wird durch eine verbesserte Handhabung von Dateipfaden behoben. Quelle: Apple.

• ImageIO

  CVE-ID: CVE-2010-1411

  Verfügbar für: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Das Öffnen einer in böser Absicht erstellten TIFF-Datei kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen.

  Beschreibung: Mehrere Ganzzahlüberläufe bei der Verarbeitung von TIFF-Dateien können zu einem Heap-Pufferüberlauf führen. Das Öffnen einer in böswilliger Absicht erstellten TIFF-Datei kann zum unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben. Wir danken Kevin Finisterre of digitalmunition.com dafür, dass er dieses Problem gemeldet hat.

• ImageIO

  Available for: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Impact: Viewing a maliciously crafted movie file may lead to an unexpected application termination or arbitrary code execution

  Description: A memory corruption exists in the handling of MPEG2 encoded movie files. Viewing a maliciously crafted movie file may lead to an unexpected application termination or arbitrary code execution. This issue is addressed by performing additional validation of MPEG2 encoded movie files. For Mac OS X v10.6 systems this issue is addressed in Mac OS X v10.6.2. Credit: Apple.

• Images

  CVE-ID: CVE-2010-1816

  Verfügbar für: Mac OS X 10.5 bis 10.5.6, Mac OS X Server 10.6 bis 10.6.3

  Auswirkung: Das Einbinden eines in böswilliger Absicht erstellten Disk-Images kann zu einer unerwarteten Beendigung der Anwendung oder der Ausführung von beliebigem Code führen

  Beschreibung: Es gibt einen Stapelpufferüberlauf bei der Verarbeitung von Disk-Images. Die Verarbeitung eines in böswilliger Absicht erstellten Bildes kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Dieses Problem wird durch eine verbesserte Abgrenzungsüberprüfung behoben. Dieses Problem betrifft keine Systeme vor Mac OS X v10.6. Dank geht an Joseph Spiros von iThink Software für die Meldung dieses Problems.

• Kerberos

  CVE-ID: CVE-2009-4212

  Verfügbar für: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Ein nicht authentifizierter Remotebenutzer kann zu einem unerwarteten Abbruch des KDC-Prozesses oder zur Ausführung willkürlichen Codes führen.

  Beschreibung: Bei AES- und RC4-Entschlüsselungsvorgängen der Kryptobibliothek auf dem KDC-Server liegt ein Ganzzahlüberlauf vor. Das Senden einer in böser Absicht erstellten verschlüsselten Nachricht an den KDC-Server kann zu einem unerwarteten Abbruch des KDC-Prozesses oder zur Ausführung willkürlichen Codes führen. Dieses Problem wird durch eine verbesserte Abgrenzungsüberprüfung behoben. Dank geht an das Kerberos-Team des MIT für die Meldung dieses Problems.

• Kerberos

  CVE-ID: CVE-2010-1320

  Verfügbar für: Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Ein Remote-Benutzer kann einen unerwarteten Abbruch des KDC-Prozesses oder die Ausführung willkürlichen Codes verursachen.

  Beschreibung: Bei der Erneuerung oder Validierung bestehender Tickets im KDC-Prozess besteht ein Problem mit der doppelten Gratislizenz. Ein Remote-Benutzer kann einen unerwarteten Abbruch des KDC-Prozesses oder die Ausführung willkürlichen Codes verursachen. Dieses Problem wird durch eine verbesserte Ticket-Verwaltung behoben. Dieses Problem betrifft keine Systeme vor Mac OS X v10.6. Dank geht an Joel Johnson für die Meldung dieses Problems an Debian und an Brian Almeida für die Zusammenarbeit mit dem Kerberos-Sicherheitsteam des MIT.

• Kerberos

  CVE-ID: CVE-2010-0283

  Verfügbar für: Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Ein nicht authentifizierter Remote-Benutzer kann zu einem unerwarteten Abbruch des KDC-Prozesses führen.

  Beschreibung: Ein logisches Problem bei der Verarbeitung von KDC-Anfragen kann dazu führen, dass eine Behauptung ausgelöst wird. Durch das Senden einer in böser Absicht erstellten Nachricht an den KDC-Server kann ein Remote-Angreifer möglicherweise den Kerberos-Dienst unterbrechen, indem er eine Behauptung auslöst. Dieses Problem wird durch eine verbesserte Validierung von KDC-Anfragen behoben. Dieses Problem betrifft keine Systeme vor Mac OS X v10.6. Wir danken Emmanuel Bouillon von der NATO C3 Agency, die im Kerberos-Sicherheitsteam des MIT arbeitet, für die Meldung dieses Problems.

• Kernel

  CVE-ID: CVE-2010-1821

  Verfügbar für: Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10. 6.3

  Auswirkung: Ein lokaler Benutzer erhält möglicherweise Systemrechte.

  Beschreibung: Bei der Verarbeitung von vfork liegt ein logisches Problem vor, bei dem der Mach-Ausnahmehandler in einem bestimmten Fall nicht zurückgesetzt wird. Dies kann es einem lokalen Benutzer ermöglichen, Systemprivilegien zu erlangen. Dieses Problem wird durch eine verbesserte Handhabung von vfork behoben. Dank geht an Richard van Eeden von IOActive für die Meldung dieses Problems.

• {libcurl

  CVE-ID: CVE-2010-0734

  Verfügbar für: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Die Verwendung von libcurl zum Herunterladen von Dateien von einer in böser Absicht erstellten Website kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen.

  Beschreibung: Bei der Verarbeitung gzip-komprimierter Webinhalte durch libcurl liegt ein Pufferüberlauf vor. Bei der Verarbeitung komprimierter Inhalte kann libcurl eine unerwartet große Datenmenge an die aufrufende Anwendung zurückgeben. Dies kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Das Problem wird behoben, indem sichergestellt wird, dass die Größe der von libcurl an die aufrufende Anwendung zurückgegebenen Datenblöcke den dokumentierten Grenzwerten entspricht.

• Netzwerkautorisierung

  CVE-ID: CVE-2010-1375

  Verfügbar für: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Auswirkung: Ein lokaler Benutzer erhält möglicherweise Systemrechte.

  Beschreibung: NetAuthSysAgent erfordert für bestimmte Vorgänge keine Autorisierung. Dies kann es einem lokalen Benutzer ermöglichen, Systemprivilegien zu erlangen. Dieses Problem wird dadurch behoben, dass für zusätzliche Vorgänge eine Autorisierung erforderlich ist. Mac OS X v10.6-Systeme sind nicht von diesem Problem betroffen. Quelle: Apple.

• Netzwerkautorisierung

  CVE-ID: CVE-2010-1376

  Verfügbar für: Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10. 6.3

  Auswirkung: Der Besuch einer in böser Absicht erstellten Website kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen.

  Beschreibung: Bei der Verarbeitung der URLs afp:, cifs: und smb: liegt ein Problem mit der Formatzeichenfolge vor. Der Besuch einer in böswilliger Absicht erstellten Website kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Dieses Problem wird durch eine verbesserte Validierung der URLs afp:, cifs: und smb: behoben. Dieses Problem betrifft keine Systeme vor Mac OS X v10.6. Wir danken Ilja van Sprundel von IOActive und Chris Ries von Carnegie Mellon University Computing Services für die Meldung dieses Problems.

• Open Directory

  CVE-ID: CVE-2010-1377

  Verfügbar für: Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Ein Man-in-the-Middle-Angreifer kann sich möglicherweise als Netzwerkkontoserver ausgeben.

  Beschreibung: Bei der Bindung an einen Netzwerkkontoserver über System Einstellungen: Open Directory stellt automatisch eine ungeschützte Verbindung zum Server her, wenn keine Verbindung zum Server mit Secure Sockets Layer (SSL) möglich ist. Ein Man-in-the-Middle-Angreifer kann sich möglicherweise als Netzwerkkontoserver ausgeben, was zur Ausführung willkürlichen Codes mit Systemrechten führen kann. Dieses Problem wird durch die Bereitstellung einer Option behoben, die eine sichere Verbindung erfordert. Dieses Problem betrifft keine Systeme vor Mac OS X v10.6.

• Druckereinrichtung

  CVE-ID: CVE-2010-1379

  Verfügbar für: Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Netzwerkgeräte deaktivieren möglicherweise das Drucken in bestimmten Anwendungen

  Beschreibung: Bei der Verarbeitung von Druckern in der Nähe durch das Drucker-Setup liegt ein Problem mit der Zeichenkodierung vor. Wenn ein Gerät im lokalen Netzwerk einen Druckdienst mit einem Unicode-Zeichen im Dienstnamen ankündigt, schlägt der Druck in bestimmten Anwendungen möglicherweise fehl. Das Problem wird durch eine verbesserte Handhabung gemeinsam genutzter Drucker behoben. Dieses Problem betrifft keine Systeme vor Mac OS X v10.6. Dank geht an Filipp Lepalaan von mcare Oy für die Meldung dieses Problems.

• Drucken

  CVE-ID: CVE-2010-1380

  Verfügbar für: Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10 .6 bis v10.6.3

  Auswirkung: Ein Benutzer mit Zugriff auf den Drucker kann eine unerwartete Beendigung der Anwendung oder die Ausführung willkürlichen Codes verursachen.

  Beschreibung: Bei der Berechnung der Seitengrößen liegt ein Ganzzahlüberlaufproblem vor im cgtexttops CUPS-Filter. Ein lokaler oder Remote-Benutzer mit Zugriff auf den Drucker kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen. Dieses Problem wird durch eine verbesserte Abgrenzungsüberprüfung behoben. Dieses Problem betrifft keine Systeme vor Mac OS X v10.6. Wir danken regenrecht für die Zusammenarbeit mit iDefense für die Meldung dieses Problems.

• Ruby

  CVE-ID: CVE-2010-0541

  Verfügbar für: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 bis v10.6.3,

  Auswirkung: Ein Remote-Angreifer erhält möglicherweise Zugriff auf Konten, die von Ruby WEBrick verwaltet werden.

  Beschreibung: Bei der Verarbeitung von Fehlerseiten durch den Ruby WEBrick-HTTP-Server besteht ein Cross-Site-Scripting-Problem. Der Zugriff auf eine in böser Absicht erstellte URL in bestimmten Webbrowsern kann dazu führen, dass die Fehlerseite als UTF-7 behandelt wird, was eine JavaScript-Injection ermöglicht. Das Problem wird behoben, indem UTF-8 als Standardzeichensatz in HTTP-Fehlerantworten festgelegt wird. Quelle: Apple.

• SMB-Dateiserver

  CVE-ID: CVE-2010-1381

  Verfügbar für: Mac OS X v10.5.8, Mac OS X Server v10.5.8 , Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Ein Remote-Benutzer erhält möglicherweise unbefugten Zugriff auf beliebige Dateien.

  Beschreibung: In der Apple-Distribution von Samba, dem Server, der für die SMB-Dateifreigabe verwendet wird, besteht ein Konfigurationsproblem. Mithilfe symbolischer Links kann ein Remote-Benutzer mit Zugriff auf eine SMB-Freigabe unbefugten Zugriff auf beliebige Dateien erhalten. Dieses Problem wird behoben, indem die Unterstützung für breite Links in der Samba-Konfigurationsdatei deaktiviert wird.

• SquirrelMail

  verfügbar.

  Available for: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 through v10.6.3, Mac OS X Server v10.6 through v10.6.3

  Impact: Multiple vulnerabilities in SquirrelMail

  Description: SquirrelMail is updated to version 1.4.20 to address several vulnerabilities, the most serious of which is a cross-site scripting issue. Further information is available via the SquirrelMail web site at http://www.SquirrelMail.org/

• Wiki-Server

  CVE-ID: CVE-2010-1382

  Verfügbar für: Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 bis v10.6.3, Mac OS X Server v10.6 bis v10.6.3

  Auswirkung: Das Anzeigen von in böser Absicht erstellten Wiki-Inhalten kann zu einem Cross-Site-Scripting-Angriff führen.

  Beschreibung: Der Wiki-Server gibt keinen expliziten Zeichensatz an, wenn er HTML-Dokumente als Reaktion auf Benutzeranfragen bereitstellt. Ein Angreifer mit der Möglichkeit, auf einem Wiki-Server gehostete Inhalte zu posten oder zu kommentieren, kann Skripte verwenden, die in einem alternativen Zeichensatz codiert sind. Dies kann zu einem Cross-Site-Scripting-Angriff gegen Benutzer des Wiki-Servers führen. Das Problem wird durch die Angabe eines Zeichensatzes für das Dokument in HTTP-Antworten behoben.