Tietoja OS X Server 3.0:n turvallisuussisällöstä

Lue lisätietoja OS X Server 3.0:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan OS X Server 3.0:n turvallisuussisällöstä.

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustossa.

Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.

CVE-tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.

OS X Server 3.0

• Profiilinhallinta

  Saatavilla seuraaville käyttöjärjestelmille: OS X Mavericks 10.9 tai uudemmat.

  Vaikutus: etähyökkääjä saattaa pystyä aiheuttamaan palvelun eston.

  Kuvaus: JSON Ruby Gem varasi muistia pysyvästi, kun tiettyjä sen tietojen rakenteita käsiteltiin. Hyökkääjä saattoi hyödyntää tätä haavoittuvuutta varatakseen kaiken saatavilla olevan muistin palvelunestohyökkäystä varten. Ongelma on ratkaistu JSON-tietojen lisätarkistuksella.

  CVE-tunnus

  CVE-2013-0269

• Profiilinhallinta

  Saatavilla seuraaville käyttöjärjestelmille: OS X Mavericks 10.9 tai uudemmat.

  Vaikutus: Ruby on Railsissa on useita ongelmia.

  Kuvaus: Ruby on Railsissa on useita haavoittuvuuksia, joista vakavimmat saattavat johtaa sivustojenväliseen komentosarjahyökkäykseen. Nämä ongelmat ratkaistiin päivittämällä Profiilinhallinta-toiminnon käyttämä Rails-toteutus versioon 2.3.18.

  CVE-tunnus

  CVE-2013-1854

  CVE-2013-1855

  CVE-2013-1856

  CVE-2013-1857

• FreeRADIUS

  Saatavilla seuraaville käyttöjärjestelmille: OS X Mavericks 10.9 tai uudemmat.

  Vaikutus: etähyökkääjä saattaa aiheuttaa palvelun eston tai mielivaltaisen koodin suorittamisen.

  Kuvaus: FreeRADIUS:issa esiintyi puskuriylivuoto, kun asiakasvarmenteen not after -aikaleimaa jäsennettiin TLS-pohjaisten EAP-menetelmien ollessa käytössä. Ongelma on ratkaistu päivittämällä FreeRADIUS versioon 2.2.0.

  CVE-tunnus

  CVE-2012-3547

• Server-ohjelma

  Saatavilla seuraaville käyttöjärjestelmille: OS X Mavericks 10.9 tai uudemmat.

  Vaikutus: Server saattaa käyttää varavarmennetta todennuksessa.

  Kuvaus: logiikkaongelman vuoksi RADIUS-palvelu saattoi valita väärän varmenteen määritettyjen varmenteiden luettelosta. Ongelma korjattiin käyttämällä samaa varmennetta kuin muissakin palveluissa.

  CVE-tunnus

  CVE-2013-5143 : Arek Dreyer, Dreyer Network Consultants, Inc.