Tietoja suojauspäivityksestä 2006-003
Tässä asiakirjassa kerrotaan ohjelmiston päivitystoiminnolla tai Applen lataussivustosta ladattavasta ja asennettavasta suojauspäivityksestä 2006-003.
Apple haluaa suojella asiakkaitaan, eikä siksi paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustossa.
Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.
CVE-tunnuksia käytetään mahdollisuuksien mukaan viittaamaan haavoittuvuuksien lisätietoihin.
Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.
Suojauspäivitys 2006-003
AppKit
CVE-ID: CVE-2006-1439
Saatavuus: Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Muut samaan ikkunaistuntoon kuuluvat apit pystyivät lukemaan suojattuun tekstikenttään syötetyt merkit.
Kuvaus: NSSecureTextField-tekstikentän suojauksen uudelleenaktivointi saattoi tietyissä olosuhteissa epäonnistua tekstisyötekenttien välillä vaihdettaessa. Tämän vuoksi muut samassa ikkunaistunnossa olevat apit saattoivat nähdä joitakin syötteen merkkejä ja näppäimistötapahtumia. Tämä päivitys korjaa ongelman varmistamalla, että suojattu syöte toimii oikein. Tämä ongelma ei vaikuta Mac OS X 10.4:ää edeltäviin järjestelmiin.
AppKit, ImageIO
CVE-ID: CVE-2006-1982, CVE-2006-1983, CVE-2006-1984
Saatavuus: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Haitallisen GIF- tai TIFF-kuvan avaaminen saattoi mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: Haitallisen GIF- tai TIFF-tiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen haitallista kuvatiedostoa jäsennettäessä. Vika vaikutti appeihin, jotka lukevat kuvatiedostoja ImageIO- (Mac OS X 10.4 Tiger) tai AppKit-kehikkojen (Mac OS X 10.3 Panther) avulla. Tämä päivitys korjaa ongelman suorittamalla GIF- ja TIFF-kuville lisävahvistuksen.
BOM
CVE-ID: CVE-2006-1985
Saatavuus: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Arkiston laajentaminen saattoi mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: Hyökkääjä saattoi aiheuttaa BOM-pinopuskurin ylivuodon laatimalla haitallisen arkistotiedoston, kuten ZIP-arkiston. Tämä saattoi mahdollistaa mielivaltaisen koodin suorittamisen. BOM-toimintoa käytetään arkistotiedostojen käsittelyyn Finderissä ja muissa apeissa. Tämä päivitys korjaa ongelman käsittelemällä rajaehdot asianmukaisesti.
BOM
CVE-ID: CVE-2006-1440
Saatavuus: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Haitallisen arkiston laajentaminen saattoi mahdollistaa mielivaltaisten tiedostojen luomisen tai korvaamisen.
Kuvaus: Haitallisten symbolisten hakemistolinkkien käsittelyyn liittyvä ongelma saattoi mahdollistaa mielivaltaisten tiedostojen luomisen tai korvaamisen arkiston laajentavan käyttäjän käyttöoikeuksien puitteissa BOM-toiminnolla. BOM-toiminnolla käsitellään arkistoja Finderissä ja muissa apeissa. Tämä päivitys korjaa ongelman varmistamalla, ettei arkistoista laajennettuja tiedostoja sijoiteta kohdehakemiston ulkopuolelle.
CFNetwork
CVE-ID: CVE-2006-1441
Saatavuus: Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Haitallisissa verkkosivuistoissa käyminen saattoi mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: Lohkoistetussa siirtokoodauksessa ollut kokonaisluvun ylivuoto saattoi mahdollistaa mielivaltaisen koodin suorittamisen. CFNetwork on käytössä Safarissa ja muissa apeissa. Tämä päivitys korjaa ongelman suorittamalla lisätarkistuksen. Ongelma ei vaikuta Mac OS X 10.4:ää edeltäviin järjestelmiin.
ClamAV
CVE-ID: CVE-2006-1614, CVE-2006-1615, CVE-2006-1630
Saatavuus: Mac OS X Server 10.4.6
Vaikutus: Haitallisten sähköpostiviestien käsitteleminen ClamAV:llä saattoi mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: ClamAV-virustorjuntaohjelmiston viimeisin versio sisältää tarvittavat tietoturvapäivitykset. ClamAV on otettu käyttöön Mac OS X Server 10.4:ssä sähköpostiviestien tarkastamiseen. Vakavin ongelma saattoi mahdollistaa mielivaltaisen koodin suorittamisen ClamAV:n käyttöoikeuksilla. Lisätietoja on projektin omassa verkkosivustossa osoitteessa http://www.clamav.net.
CoreFoundation
CVE-ID: CVE-2006-1442
Saatavuus: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Ei-luotetun nipun rekisteröiminen saattoi mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: Järjestelmä tai apit saattavat tietyissä olosuhteissa rekisteröidä nippuja implisiittisesti. Nippu-APIn ominaisuus mahdollistaa dynaamisten kirjastojen lataamisen ja suorittamisen nippuja rekisteröitäessä, vaikka asiakasappi ei nimenomaisesti pyytäisi sitä. Tämä vuoksi ei-luotetut niput saattoivat pystyä suorittamaan mielivaltaista koodia ilman käyttäjän suoraa vuorovaikutusta. Tämä päivitys korjaa ongelman lataamalla ja suorittamalla kirjastoja nipuista vain asianmukaisissa tilanteissa.
CoreFoundation
CVE-ID: CVE-2006-1443
Saatavuus: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Merkkijonojen muuntaminen tiedostojärjestelmäkuvauksiksi saattoi mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: CFStringGetFileSystemRepresentationissa oleva rajaehdon käsittelyyn liittyvä kokonaislukualivuoto saattoi mahdollistaa mielivaltaisen koodin suorittamisen. Apit, jotka käyttävät tätä API-rajapintaa tai jotain liittyvää API-rajapintaa, kuten NSFileManagerin getFileSystemRepresentation:maxLength:withPath:-rajapintaa, saattoivat aktivoida ongelman ja mahdollistaa mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa ongelman käsittelemällä rajaehdot asianmukaisesti.
CoreGraphics
CVE-ID: CVE-2006-1444
Saatavuus: Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Samaan ikkunaistuntoon kuuluvat apit saattoivat pystyä lukemaan suojattuun tekstikenttään syötetyt merkit.
Kuvaus: Quartz Event Services mahdollistaa apeille matalan tason käyttäjäsyötetapahtumien seurannan ja muuttamisen. Tavallisesti apit eivät pysty käsittelemään toimintoja suojatun syötetapahtuman ollessa käytössä. Jos käyttö on sallittu apulaitteille, Quartz Event Services voi käsitellä toimintoja myös suojatun syötetapahtuman ollessa käytössä. Tämä päivitys korjaa ongelman suodattamalla toiminnot suojatun syötetapahtuman ollessa käytössä. Ongelma ei koske Mac OS X 10.4 ‑käyttöjärjestelmää vanhempia järjestelmiä. Kiitos Damien Bobillotille tämän ongelman ilmoittamisesta.
Finder
CVE-ID: CVE-2006-1448
Saatavuus: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Internet-sijaintikohteen avaaminen saattoi mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: Internet-sijaintikohteet ovat yksinkertaisia URL-säilöjä, jotka voivat viitata http://-, ftp://-, ja file://-osoitteisiin sekä eräisiin muihin URL-skeemoihin. Erilaiset Internet-sijaintikohteet ovat visuaalisesti erilaisia, ja niiden on tarkoitus olla turvallisesti avattavia. Internet-sijaintikohteen URL-skeema voi kuitenkin poiketa Internet-sijaintikohteen tyypistä. Tämän vuoksi hyökkääjä saattoi houkutella käyttäjän avaamaan näennäisesti turvallisen kohteen, kuten http://-verkkosijainnin, joka käyttää todellisuudessa jotain muuta URL-skeemaa. Tämä saattoi tietyissä olosuhteissa mahdollistaa mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa ongelmat rajoittamalla URL-skeeman Internet-sijaintityypin mukaiseksi.
FTPServer
CVE-ID: CVE-2006-1445
Saatavuus: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Todennettujen FTP-käyttäjien FTP-toiminnot saattoivat mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: Useat FTP-palvelinpolkujen nimien käsittelyyn liittyvät ongelmat saattoivat aiheuttaa puskuriylivuodon. Todennettu käyttäjä saattoi tämän avulla käynnistää työnkulun, joka voi mahdollistaa mielivaltaisen koodin suorittamisen FTP-palvelimen käyttöoikeuksilla. Tämä päivitys korjaa ongelman käsittelemällä rajaehdot asianmukaisesti.
Flash Player
CVE-ID: CVE-2005-2628, CVE-2006-0024
Saatavuus: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Flash-sisällön toistaminen saattoi mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: Adobe Flash Playerissä on kriittisiä haavoittuvuuksia, jotka voivat mahdollistaa mielivaltaisen koodin suorittamisen erityisestä tätä varten laadittuja tiedostoja ladattaessa. Lisätietoja on saatavissa Adoben verkkosivustossa osoitteessa http://www.adobe.com/devnet/security/security_zone/apsb06-03.html. Tämä päivitys korjaa ongelman päivittämällä Flash Playerin versioon 8.0.24.0.
ImageIO
CVE-ID: CVE-2006-1552
Saatavuus: Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Haitallisen JPEG-kuvan avaaminen saattoi mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: JPEG-metatietojen käsittelyssä ollut kokonaisluvun ylivuoto saattoi aiheuttaa pinopuskurin ylivuodon. Hyökkääjä saattoi virheellisesti muotoiltuja JPEG-metatietoja sisältävän kuvatiedoston avulla suorittaa mielivaltaista koodia kuvatiedostoa avattaessa. Päivitys ratkaisee ongelman suorittamalla kuvien lisätarkistuksen. Tämä ongelma ei vaikuta Mac OS X 10.4:ää edeltäviin järjestelmiin. Kiitokset NewsGator Technologies, Inc:n Brent Simmonsille ongelman ilmoittamisesta.
Keychain
CVE-ID: CVE-2006-1446
Saatavuus: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Appi saattoi pystyä käyttämään avainnipun kohteita avainnipun ollessa lukittuna.
Kuvaus: Apit eivät pysty käyttämään avainnipun kohteita avainnipun ollessa lukittuna pyytämättä avainnipun lukituksen poistamista. Appi, joka on saanut avainnippuviittauksen ennen avainnipun lukitsemista, saattoi kuitenkin joissakin olosuhteissa pystyä jatkamaan avainnipun kohteen käyttöä riippumatta siitä, onko avainnippu lukittu. Tämä päivitys korjaa ongelman hylkäämällä avainnipun kohteiden käyttöpyynnöt avainnipun ollessa lukittuna. Kiitokset HU Berlinin Tobias Hahnille ongelman ilmoittamisesta.
LaunchServices
CVE-ID: CVE-2006-1447
Saatavuus: Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Haitallisessa verkkosivustossa käyminen saattoi mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: Pitkät tiedostopäätteet saattoivat estää latauksen tarkistustoimintoa määrittämästä oikein appia, jolla kohde voidaan avata. Tämä vuoksi hyökkääjä saattoi pystyä ohittamaan latauksen tarkistuksen ja saada Safarin avaamaan vaarallista sisältöä automaattisesti, jos Avaa turvalliset tiedostot lataamisen jälkeen -valinta oli valittuna ja tiettyjä appeja ei oltu asennettu järjestelmään. Tämä päivitys korjaa ongelman parantamalla tiedostopäätteen tarkistamista. Tämä ongelma ei vaikuta Mac OS X 10.4:ää edeltäviin järjestelmiin.
libcurl
CVE-ID: CVE-2005-4077
Saatavuus: Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: URL-osoitteiden käsittely libcurlilla saattoi mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: Avoimen lähdekoodin HTTP-kirjaston (libcurl) URL-osoitteiden käsittelyssä on puskuriylivuotoja. Ongelma voi aktivoitua apeissa, joissa käytetään curlia URL-osoitteiden käsittelyyn, ja mahdollistaa mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa ongelman päivittämällä libcurlin versioon 7.15.1. Ongelma ei vaikuta Mac OS X 10.4:ää edeltäviin järjestelmiin.
Mail
CVE-ID: CVE-2006-1449
Saatavuus: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Haitallisen sähköpostiviestin avaaminen saattoi mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: Hyökkääjä saattoi aiheuttaa kokonaisluvun ylivuodon laatimalla erityisen kapseloituja MacMIME-liitteitä sisältävän sähköpostiviestin. Tämä saattoi aiheuttaa mielivaltaisen koodin suorittamisen Mail-appia käyttävän käyttäjän käyttöoikeuksilla. Tämä päivitys korjaa ongelman suorittamalla viesteille lisätarkistuksen.
Mail
CVE-ID: CVE-2006-1450
Saatavuus: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Haitallisen sähköpostiviestin avaaminen saattoi mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: Laajennettua tekstiä sisältävässä sähköpostiviestissä olevan virheellisen väritiedon käsittely saattoi mahdollistaa mielivaltaisten luokkien varaamisen ja alustamisen. Tämä saattoi aiheuttaa mielivaltaisen koodin suorittamisen Mail-appia käyttävän käyttäjän käyttöoikeuksilla. Tämä päivitys korjaa ongelman käsittelemällä laajennetun tekstin tiedot oikein.
MySQL Manager
CVE-ID: CVE-2006-1451
Saatavuus: Mac OS X Server 10.4.6
Vaikutus: MySQL tietokantaa saattoi pystyä käyttämään tyhjällä salasanalla.
Kuvaus: Ottaessa uutta MySQL-tietokantaa käyttöön MySQL Managerilla voidaan määrittää uusi MySQL-pääsalasana. Salasanaa ei kuitenkaan määritetty voimaan. Tämän vuoksi MySQL-pääsalasana jäi tyhjäksi. Paikallinen käyttäjä pystyy tällöin käyttämään MySQL-tietokantaa täysillä käyttöoikeuksilla. Tämä päivitys korjaa ongelman varmistamalla, että annettu salasana tallennetaan. Tämä ongelma ei vaikuta Mac OS X Server 10.4:ää edeltäviin järjestelmiin. Kiitokset University of New South Walesin Ben Low'lle ongelman ilmoittamisesta.
Preview
CVE-ID: CVE-2006-1452
Saatavuus: Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Haitalliseksi laaditun hakemistorakenteen käyttäminen saattoi mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: Erittäin syvien hakemistorakenteiden käyttäminen Esikatselu-apissa saattoi aiheuttaa puskuriylivuodon. Hyökkääjä saattoi suorittaa mielivaltaista koodia laatimalla määrätynlaisen hakemistorakenteen, jos hakemistorakenteeseen kuuluvia hakemistoja avattiin Esikatselu-apilla. Tämä ongelma ei vaikuta Mac OS X 10.4:ää edeltäviin järjestelmiin.
QuickDraw
CVE-ID: CVE-2006-1453, CVE-2006-1454
Saatavuus: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Haitallisen PICT-kuvatiedoston avaaminen saattoi mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: QuickDrawssa on kaksi PICT-kuvien käsittelyyn liittyvää ongelmaa. Virheellisesti muotoiltu fonttitieto saattoi aiheuttaa puskuriylivuodon, minkä lisäksi virheellisesti muotoiltu kuvadata saattoi aiheuttaa pinopuskurin ylivuodon. Hyökkääjä saattoi pystyä suorittamaan mielivaltaista koodia laatimalla määrätynlaisen PICT-kuvatiedoston, jos kuvatiedosto avattiin. Tämä päivitys korjaa ongelman suorittamalla PICT-kuvien lisätarkistuksen. Kiitos McAfee AVERT Labsin Mike Pricelle tämän ongelman ilmoittamisesta.
QuickTime Streaming Server
CVE-ID: CVE-2006-1455
Saatavuus: Mac OS X Server 10.3.9, Mac OS X Server 10.4.6
Vaikutus: Virheellisesti muotoiltu QuickTime-video saattoi aiheuttaa QuickTime Streaming Server -palvelimen kaatumisen.
Kuvaus: QuickTime-video, josta puuttuu raita, saattoi aiheuttaa tyhjän osoittimen epäviittauksen ja saada palvelinprosessin kaatumaan. Tämä aiheuttaa kaikkien aktiivisten asiakasyhteyksien katkeamisen. Palvelin kuitenkin käynnistyy uudelleen automaattisesti. Tämä päivitys korjaa ongelman tuottamalla virheilmoituksen virheellisesti muotoiltuja videotiedostoja havaittaessa.
QuickTime Streaming Server
CVE-ID: CVE-2006-1456
Saatavuus: Mac OS X Server 10.3.9, Mac OS X Server 10.4.6
Vaikutus: Haitalliset RTSP-pyynnöt saattoivat aiheuttaa kaatumisen tai mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: Hyökkääjä saattoi aiheuttaa puskuriylivuodon viestin lokikirjauksen yhteydessä laatimalla määrätynlaisen RTSP-pyynnön. Tämä saattoi mahdollistaa mielivaltaisen koodin suorittamisen QuickTime Streaming Server -palvelimen käyttöoikeuksilla. Tämä päivitys korjaa ongelman käsittelemällä rajaehdot asianmukaisesti. Kiitokset Mu Security -tutkijaryhmälle ongelman ilmoittamisesta.
Ruby
CVE-ID: CVE-2005-2337
Saatavuus: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Rubyn suojaustasomekanismit pystyttiin ohittamaan.
Kuvaus: Ruby-komentosarjankieleen kuuluu suojaustasoiksi kutsuttu mekanismi, jolla rajoitetaan tiettyjen toimintojen käyttöä. Mekanismia käytetään tavallisimmin laajennettuja käyttöoikeuksia käyttäviä Ruby-appeja tai Ruby-verkkoappeja käytettäessä. Hyökkääjä saattoi tietyissä olosuhteissa ohittaa rajoitukset apeissa. Ongelma ei vaikuta appeihin, joissa on käytetä suojaustasoja. Tämä päivitys korjaa ongelman varmistamalla, että suojaustasoja ei voi ohittaa.
Safari
CVE-ID: CVE-2006-1457
Saatavuus: Mac OS X 10.4.6, Mac OS X Server 10.4.6
Vaikutus: Haitallisissa verkkosivustoissa käyminen voi mahdollistaa tiedostojen manipuloinnin tai mielivaltaisen koodin suorittamisen.
Kuvaus: Jos Safarin Avaa turvalliset tiedostot lataamisen jälkeen -valinta on käytössä, arkistot laajennetaan automaattisesti. Jos arkisto sisältää symbolisen linkin, symbolinen kohdelinkki voidaan siirtää käyttäjän työpöydälle ja käynnistää. Tämä päivitys korjaa ongelman siten, että ladattuja symbolisia linkkejä ei enää ratkaista. Tämä ongelma ei vaikuta Mac OS X 10.4:ää edeltäviin järjestelmiin.