Tietoja OS X Yosemite 10.10.2:n ja suojauspäivitys 2015-001:n turvallisuussisällöstä
Tässä asiakirjassa kerrotaan OS X Yosemite 10.10.2:n ja suojauspäivitys 2015-001:n turvallisuussisällöstä.
Apple haluaa suojella asiakkaitaan, eikä siksi paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustossa.
Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.
CVE-tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.
Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.
OS X Yosemite 10.10.2:n ja suojauspäivitys 2015-001
AFP Server
Saatavuus: OS X Mavericks 10.9.5
Vaikutus: etähyökkääjä saattoi pystyä päättelemään kaikki järjestelmän verkko-osoitteet.
Kuvaus: AFP-tiedostopalvelin tuki komentoa, joka palautti kaikki järjestelmän verkko-osoitteet. Ongelma on ratkaistu poistamalla osoitteet tuloksista.
CVE-ID
CVE-2014-4426: Craig Young (Tripwire VERT)
bash
Saatavuus: OS X Yosemite 10.10 ja 10.10.1
Vaikutus: useita haavoittuvuuksia bashissa, mukaan lukien yksi, jonka avulla paikalliset hyökkääjät saattoivat voida suorittaa mielivaltaista koodia.
Kuvaus: bashissa oli useita haavoittuvuuksia. Ongelmat on ratkaistu päivittämällä bash korjaustasolle 57.
CVE-ID
CVE-2014-6277
CVE-2014-7186
CVE-2014-7187
Bluetooth
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5
Vaikutus: haitallinen appi saattoi kyetä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: IOBluetoothFamilyssa oli kokonaisluvun etumerkkisyysvirhe, joka mahdollisti kernel-muistin manipulaation. Ongelma ratkaistiin parantamalla rajojen tarkistusta. Tämä ongelma ei koske OS X Yosemite ‑järjestelmiä.
CVE-ID
CVE-2014-4497
Bluetooth
Saatavuus: OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallinen appi saattoi kyetä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Bluetooth-ohjaimessa oli virhe, jonka kautta haitallinen appi saattoi kyetä hallitsemaan kernel-muistin kirjoituksen kokoa. Ongelma on ratkaistu lisäämällä syötettyjen tietojen tarkistamista.
CVE-ID
CVE-2014-8836: Ian Beer (Google Project Zero)
Bluetooth
Saatavuus: OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallinen appi saattoi kyetä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Bluetooth-ohjaimessa oli useita suojausongelmia, joiden avulla haitallinen appi saattoi kyetä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla. Ongelmat on ratkaistu parantamalla syötettyjen tietojen tarkistamista.
CVE-ID
CVE-2014-8837: Roberto Paleari ja Aristide Fattori (Emaze Networks)
CFNetwork Cache
Saatavuus: OS X Yosemite 10.10 ja 10.10.1
Vaikutus: verkkosivuston välimuisti ei ehkä tyhjentynyt kokonaan yksityisen selaamisen päätyttyä.
Kuvaus: Yksityisyysongelma aiheutti sen, että selaustiedot saattoivat säilyä välimuistissa yksityisen selaamisen päätyttyä. Ongelma on ratkaistu muuttamalla välimuistiin lisäämisen toimintaa.
CVE-ID
CVE-2014-4460
CoreGraphics
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallisen PDF-tiedoston avaaminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: PDF-tiedostojen käsittelyssä oli kokonaisluvun ylivuoto. Ongelma ratkaistiin parantamalla rajojen tarkistusta.
CVE-ID
CVE-2014-4481: Felipe Andres Manzano (Binamuse VRT), iSIGHT Partners GVP Programin kautta
CPU Software
Saatavuus: OS X Yosemite 10.10 ja v10.10.1: MacBook Pro Retina, MacBook Air (vuoden 2013 puoliväli ja uudemmat), iMac (loppuvuosi 2013 ja uudemmat), Mac Pro (loppuvuosi 2013)
Vaikutus: haitallinen Thunderbolt-laite saattoi kyetä vaikuttamaan laiteohjelmiston päivittämiseen.
Kuvaus: Thunderbolt-laitteet kykenivät muokkaamaan isännän laiteohjelmistoa, jos ne muodostivat yhteyden EFI-päivityksen aikana. Ongelma on ratkaistu olemalla lataamatta valinnaisia ROM-muisteja päivitysten aikana.
CVE-ID
CVE-2014-4498: Trammell Hudson (Two Sigma Investments)
CommerceKit Framework
Saatavuus: OS X Yosemite 10.10 ja 10.10.1
Vaikutus: hyökkääjä, jolla oli pääsy järjestelmään, saattoi päästä käsiksi Apple ID ‑kirjautumistietoihin.
Kuvaus: App Storen lokien käsittelyssä oli ongelma. App Store ‑prosessi saattoi kirjata Apple ID ‑kirjautumistiedot lokeihin, kun lisäkirjaaminen oli käytössä. Ongelma on ratkaistu estämällä tunnistetietojen kirjaaminen lokiin.
CVE-ID
CVE-2014-4499: Sten Petersen
CoreGraphics
Saatavuus: OS X Yosemite 10.10 ja 10.10.1
Vaikutus: jotkin kolmannen osapuolen apit saattoivat kirjata kirjoitetun tekstin ja hiiritoiminnot, jos apit eivät olleet suojanneet niitä.
Kuvaus: Alustamattoman muuttujan ja apin oman allokaattorin yhdistelmä aiheutti sen, että suojaamattomia tekstejä ja hiiritoimintoja saatettiin kirjata lokeihin. Ongelma on ratkaistu varmistamalla, että lokeihin kirjaaminen on oletuksena pois käytöstä. Tämä ongelma ei vaikuta OS X Yosemitea edeltäviin järjestelmiin.
CVE-ID
CVE-2014-1595: Steven Michaud (Mozilla) yhteistyössä Kent Howardin kanssa
CoreGraphics
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5
Vaikutus: haitallisen PDF-tiedoston avaaminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: PDF-tiedostojen käsittelyssä oli muistin vioittumisongelma. Ongelma ratkaistiin parantamalla rajojen tarkistusta. Tämä ongelma ei koske OS X Yosemite ‑järjestelmiä.
CVE-ID
CVE-2014-8816: Mike Myers (Digital Operatives LLC)
CoreSymbolication
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallinen appi saattoi kyetä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: coresymbolicationd:n XPC-viestien käsittelyssä oli useita tyyppisekaannusongelmia. Ongelmat on ratkaistu parannetulla tyypin tarkistamisella.
CVE-ID
CVE-2014-8817: Ian Beer (Google Project Zero)
FontParser
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallisen .dfont-tiedoston käsittely saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: .dfont-tiedostojen käsittelyssä oli muistin vioittumisongelma. Ongelma ratkaistiin parantamalla rajojen tarkistusta.
CVE-ID
CVE-2014-4484: Gaurav Baruah yhteistyössä HP:n Zero Day Initiativen kanssa
FontParser
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallisen PDF-tiedoston avaaminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: Fonttitiedostojen käsittelyssä oli puskurin ylivuoto. Ongelma ratkaistiin parantamalla rajojen tarkistusta.
CVE-ID
CVE-2014-4483: Apple
Foundation
Saatavuus: OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallisen XML-tiedoston katsominen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: XML-jäsentimessä oli puskurin ylivuoto. Ongelma ratkaistiin parantamalla rajojen tarkistusta.
CVE-ID
CVE-2014-4485: Apple
Intel Graphics Driver
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: Intelin grafiikkaohjaimessa oli useita haavoittuvuuksia.
Kuvaus: Intelin grafiikkaohjaimessa oli useita haavoittuvuuksia, joista vakavin saattoi aiheuttaa mielivaltaisen koodin suorittamisen järjestelmän käyttöoikeuksilla. Tämä päivitys ratkaisee ongelman lisäämällä rajojen tarkistuksia.
CVE-ID
CVE-2014-8819: Ian Beer (Google Project Zero)
CVE-2014-8820: Ian Beer (Google Project Zero)
CVE-2014-8821: Ian Beer (Google Project Zero)
IOAcceleratorFamily
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallinen appi saattoi kyetä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: IOAcceleratorFamilyn tiettyjen IOService-käyttäjäasiakastyyppien käsittelyssä noudettiin osoittimen tyhjä arvo. Ongelma on ratkaistu parantamalla IOAcceleratorFamilyn kontekstien tarkistamista.
CVE-ID
CVE-2014-4486: Ian Beer (Google Project Zero)
IOHIDFamily
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallinen appi saattoi kyetä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: IOHIDFamilyssa oli puskurin ylivuoto. Ongelma on ratkaistu parantamalla rajojen tarkistamista.
CVE-ID
CVE-2014-4487: TaiG Jailbreak Team
IOHIDFamily
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallinen appi saattoi kyetä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: IOHIDFamilyn resurssijonojen metatietojen käsittelyssä oli tarkistusvirhe. Ongelma on ratkaistu parantamalla metadatan tarkistamista.
CVE-ID
CVE-2014-4488: Apple
IOHIDFamily
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallinen appi saattoi kyetä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: IOHIDFamilyn tapahtumajonojen käsittelyssä noudettiin osoittimen tyhjä arvo. Ongelma on ratkaistu parantamalla IOHIDFamilyn tapahtumajonojen aloittamisen tarkistamista.
CVE-ID
CVE-2014-4489: @beist
IOHIDFamily
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallisen apin suorittaminen saattoi johtaa mielivaltaisen koodin suorittamiseen kernelissä.
Kuvaus: IOHIDFamilyn tarjoamassa käyttäjäasiakasohjelmassa oli rajojen tarkistusongelma, jonka kautta haitallinen appi kykeni korvaamaan satunnaisia osia kernelin osoitetilasta. Ongelma on ratkaistu poistamalla haavoittuva käyttäjäasiakasmenetelmä.
CVE-ID
CVE-2014-8822: Vitaliy Toropov yhteistyössä HP:n Zero Day Initiativen kanssa
IOKit
Saatavuus: OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallinen appi saattoi kyetä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: IOKit-toimintojen käsittelyssä oli kokonaisluvun ylivuoto. Ongelma on ratkaistu parantamalla IOKitin API-argumenttien tarkistusta.
CVE-ID
CVE-2014-4389: Ian Beer (Google Project Zero)
IOUSBFamily
Saatavuus: OS X Yosemite 10.10 ja 10.10.1
Vaikutus: appi, jolla oli järjestelmän käyttöoikeudet, saattoi kyetä lukemaan satunnaisia tietoja kernel-muistista.
Kuvaus: IOUSB-ohjaimen käyttäjäasiakastoimintojen käsittelyssä oli ongelma, joka vaikutti muistiin pääsyyn. Ongelma on ratkaistu parantamalla argumenttien tarkistamista.
CVE-ID
CVE-2014-8823: Ian Beer (Google Project Zero)
Kerberos
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallinen appi saattoi kyetä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Kerberosin libgssapi-kirjasto palautti kontekstitunnuksen, jossa oli virheellinen osoitin. Ongelma on ratkaistu parantamalla tilanhallintaa.
CVE-ID
CVE-2014-5352
Kernel
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallinen appi saattoi kyetä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Oman välimuistin määrittäminen mahdollisti kirjoittamisen kernelin jaettuihin vain luettaviin muistisegmentteihin. Ongelma on ratkaistu lopettamalla kirjoitusluvan myöntäminen joidenkin omien välimuistitilojen ohessa.
CVE-ID
CVE-2014-4495: Ian Beer (Google Project Zero)
Kernel
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallinen appi saattoi kyetä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Tiettyjen IODataQueue-objektien metatietokenttien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla metadatan tarkistamista.
CVE-ID
CVE-2014-8824: @PanguTeam
Kernel
Saatavuus: OS X Yosemite 10.10 ja 10.10.1
Vaikutus: paikallinen hyökkääjä saattoi kyetä väärentämään hakemistopalveluvastauksia kernelille, saamaan käyttöoikeuksia tai suorittamaan kernel-tapahtumia.
Kuvaus: Hakemistopalvelun ratkaisuprosessissa sekä merkintöjen ja virheiden käsittelyssä oli identitysvc:n tarkistusongelmia. Ongelma on ratkaistu parantamalla validointia.
CVE-ID
CVE-2014-8825: Alex Radocea (CrowdStrike)
Kernel
Saatavuus: OS X Yosemite 10.10 ja 10.10.1
Vaikutus: paikallinen käyttäjä saattoi kyetä päättelemään kernel-muistin asettelun.
Kuvaus: Verkkotilastojen käyttöliittymässä oli useita alustamattomaan muistiin liittyviä ongelmia, jotka johtivat kernel-muistin sisällön paljastamiseen. Ongelma on ratkaistu muistin lisäalustamisella.
CVE-ID
CVE-2014-4371: Fermin J. Serna (Google Security Team)
CVE-2014-4419: Fermin J. Serna (Google Security Team)
CVE-2014-4420: Fermin J. Serna (Google Security Team)
CVE-2014-4421: Fermin J. Serna (Google Security Team)
Kernel
Saatavuus: OS X Mavericks 10.9.5
Vaikutus: henkilö, jolla oli verkon käyttöoikeudet, saattoi kyetä aiheuttamaan palveluneston.
Kuvaus: IPv6-pakettien käsittelyssä oli kilpailutilanneongelma. Ongelma on ratkaistu parantamalla lukituksen tilan tarkistamista.
CVE-ID
CVE-2011-2391
Kernel
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitalliset tai vaarantuneet apit saattoivat kyetä päättelemään osoitteita kernelissä.
Kuvaus: Kernel-laajennuksiin liittyvien rajapintojen käsittelyssä oli tietojen paljastamisongelma. OSBundleMachOHeaders-avaimen sisältävät vastaukset saattoivat sisältää kernel-osoitteita ja näin auttaa ohittamaan osoitteiden tila-asettelun satunnaistamissuojauksen. Ongelma on ratkaistu vapauttamalla osoitteet ennen niiden palauttamista.
CVE-ID
CVE-2014-4491: @PanguTeam, Stefan Esser
Kernel
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallinen appi saattoi kyetä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Tiettyjen IOSharedDataQueue-objektien metatietokenttien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu metatietojen uudelleensijoittamisella.
CVE-ID
CVE-2014-4461: @PanguTeam
LaunchServices
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallinen JAR-tiedosto saattoi kyetä ohittamaan Gatekeeper-tarkistukset.
Kuvaus: Appien käynnistyksen käsittelyssä oli ongelma, jonka avulla tietyt haitalliset JAR-tiedostot kykenivät ohittamaan Gatekeeper-tarkistukset. Ongelma on ratkaistu tiedostotyypin metatietojen parannetulla käsittelyllä.
CVE-ID
CVE-2014-8826: Hernan Ochoa (Amplia Security)
libnetcore
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallinen eristetty appi kykeni vaarantamaan networkd-daemonin.
Kuvaus: networkd:n prosessienvälisen kommunikaation käsittelyssä oli useita tyyppisekaannusongelmia. Kun networkd:lle lähetti haitallisesti muotoillun viestin, saattoi olla mahdollista suorittaa mielivaltaista koodia networkd-prosessina. Ongelma on ratkaistu tyypin lisätarkistuksilla.
CVE-ID
CVE-2014-4492: Ian Beer (Google Project Zero)
LoginWindow
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: Macia ei välttämättä voinut lukita heti herättämisen jälkeen.
Kuvaus: Lukitusnäytön renderöinnissä oli ongelma. Ongelma on ratkaistu parantamalla näytön renderöintiä, kun se on lukittu.
CVE-ID
CVE-2014-8827: Xavier Bertels (Mono) ja useat OS X ‑seed-testaajat
lukemftp
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: komentorivin ftp-työkalun käyttö tiedostojen noutamiseen haitalliselta http-palvelimelta saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: HTTP-uudelleenohjausten käsittelyssä oli komennonsyöttöongelma. Ongelma on ratkaistu parantamalla erikoismerkkien tarkistamista.
CVE-ID
CVE-2014-8517
ntpd
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: ntp-daemonin käyttö, kun kryptografinen todennus oli käytössä, saattoi johtaa tietovuotoihin.
Kuvaus: ntpd:ssä oli useita syötön tarkistusongelmia. Ongelmat on ratkaistu parantamalla tietojen tarkistamista.
CVE-ID
CVE-2014-9297
OpenSSL
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: OpenSSL 0.9.8za:ssa oli useita haavoittuvuuksia, mukaan lukien yksi, jonka avulla hyökkääjä saattoi kyetä päivittämään yhteydet käyttämään heikompaa salauspakettia kirjastoa käyttävissä apeissa.
Kuvaus: OpenSSL 0.9.8za:ssa oli useita haavoittuvuuksia. Ongelmat on ratkaistu päivittämällä OpenSSL versioon 0.9.8zc.
CVE-ID
CVE-2014-3566
CVE-2014-3567
CVE-2014-3568
Sandbox
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5
Vaikutus: eristetty prosessi saattoi kyetä kiertämään eristysrajoitukset.
Kuvaus: Eristettyjen profiilien välimuistiin tallentamisessa oli suunnitteluongelma, jonka avulla eristetyt apit saattoivat saada välimuistin kirjoitusoikeuden. Ongelma on ratkaistu rajoittamalla kirjoitusoikeus poluille, jotka sisältävät segmentin com.apple.sandbox. Tämä ongelma ei koske OS X Yosemite 10.10:tä ja sitä uudempia järjestelmiä.
CVE-ID
CVE-2014-8828: Apple
SceneKit
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5
Vaikutus: haitallinen appi saattoi suorittaa mielivaltaista koodia, mikä vaaransi käyttäjätiedot.
Kuvaus: SceneKitissä oli useita rajojen kirjoitusongelmia. Ongelmat on ratkaistu parannetulla rajojen tarkistamisella.
CVE-ID
CVE-2014-8829: Jose Duart (Google Security Team)
SceneKit
Saatavuus: OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallisen Collada-tiedoston katsominen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: SceneKitin Collada-tiedostojen käsittelyssä oli kekopuskurin ylivuoto. Haitallisen Collada-tiedoston tarkasteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen. Ongelma on ratkaistu parantamalla tietoihin pääsevien elementtien tarkistusta.
CVE-ID
CVE-2014-8830: Jose Duart (Google Security Team)
Security
Saatavuus: OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: perutulla kehittäjätunnusvarmenteella allekirjoitettu ladattu appi saattoi läpäistä Gatekeeper-tarkistukset.
Kuvaus: Välimuistiin tallennettujen appien varmennetietojen arviointitavassa oli ongelma. Ongelma on ratkaistu parantamalla välimuistin logiikkaa.
CVE-ID
CVE-2014-8838: Apple
security_taskgate
Saatavuus: OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Kuvaus: appi saattoi saada käyttöoikeuden muille apeille kuuluviin avainnipun kohteisiin.
Kuvaus: Avainnipussa oli käyttöoikeuksien hallintaongelma. Itse allekirjoitetulla varmenteella tai kehittäjätunnusvarmenteella allekirjoitetut apit saattoivat saada pääsyn avainnipun kohteisiin, joiden käyttöoikeuden hallintalistat perustuivat avainnippuryhmiin. Ongelma on ratkaistu tarkistamalla allekirjoittajan henkilöllisyys myönnettäessä avainnippuryhmien käyttöoikeuksia.
CVE-ID
CVE-2014-8831: Apple
Spotlight
Saatavuus: OS X Yosemite 10.10 ja 10.10.1
Vaikutus: sähköpostin lähettäjä saattoi kyetä päättelemään vastaanottajan IP-osoitteen.
Kuvaus: Spotlight ei tarkistanut Mailin Lataa viestien etäsisältö ‑asetusta. Ongelma on ratkaistu parantamalla määritysten tarkistusta.
CVE-ID
CVE-2014-8839: John Whitehead (The New York Times), Frode Moe (LastFriday.no)
Spotlight
Saatavuus: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: Spotlight saattoi tallentaa odottamattomia tietoja ulkoiselle kovalevylle.
Kuvaus: Spotlightissa oli ongelma, joka saattoi aiheuttaa muistin sisällön kirjoittamisen ulkoiselle kovalevylle, kun hakemistoon lisättiin sisältöä. Ongelma on ratkaistu parantamalla muistin hallintaa.
CVE-ID
CVE-2014-8832: F-Secure
SpotlightIndex
Saatavuus: OS X Yosemite 10.10 ja 10.10.1
Vaikutus: Spotlight saattoi näyttää tuloksina tiedostoja, jotka eivät kuuluneet käyttäjälle.
Kuvaus: Spotlightin lupavälimuistien käsittelyssä oli deserialisointiongelma. Spotlight-kyselyä tekevälle käyttäjälle saatettiin näyttää hakutuloksina tiedostoja, joiden lukuun heillä ei ollut riittäviä oikeuksia. Ongelma on ratkaistu parantamalla rajojen tarkistamista.
CVE-ID
CVE-2014-8833: David J Peacock, itsenäinen teknologiakonsultti
sysmond
Saatavuus: OS X Mavericks 10.9.5, OS X Yosemite 10.10 ja 10.10.1
Vaikutus: haitallinen appi saattoi kyetä suorittamaan mielivaltaista koodia pääkäyttöoikeuksilla.
Kuvaus: sysmondissa oli sekaannushaavoittuvuus, jonka avulla paikallinen appi saattoi saada ylimääräisiä käyttöoikeuksia. Ongelma on ratkaistu parantamalla tyypin tarkistusta.
CVE-ID
CVE-2014-8835: Ian Beer (Google Project Zero)
UserAccountUpdater
Saatavuus: OS X Yosemite 10.10 ja 10.10.1
Vaikutus: tulostamiseen liittyvät asetustiedostot saattoivat sisältää arkaluontoisia tietoja PDF-dokumenteista.
Kuvaus: OS X Yosemite ratkaisi ongelman Tulosta-valintaikkunasta luotujen, salasanalla suojattujen PDF-tiedostojen käsittelyssä, jossa tulostamisen asetustiedostot saattoivat sisältää salasanoja. Tämä päivitys poistaa tällaiset ylimääräiset tiedot, joita tulostamisen asetustiedostoissa saattoi olla.
CVE-ID
CVE-2014-8834: Apple
Huomaa: OS X Yosemite 10.10.2 sisältää Safari 8.0.3:n turvallisuussisällön.
Tiedot tuotteista, jotka eivät ole Applen valmistamia, sekä tiedot itsenäisistä verkkosivustoista, jotka eivät ole Applen hallinnoimia tai testaamia, eivät sisällä suosituksia. Apple ei vastaa muiden valmistajien verkkosivustojen tai tuotteiden valikoimasta, toimivuudesta tai käytöstä. Apple ei takaa muiden valmistajien verkkosivustojen tarkkuutta tai luotettavuutta. Saat lisätietoja ottamalla yhteyttä myyjään.