Tietoja suojauspäivityksestä 2008-007
Tässä asiakirjassa kerrotaan Ohjelmiston päivitys -asetuksista tai Applen lataussivustosta ladattavasta ja asennettavasta suojauspäivityksestä 2008-007.
Apple haluaa suojella asiakkaitaan, eikä siksi paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustossa.
Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.
CVE-tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.
Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.
Suojauspäivitys 2008-007
Apache
CVE-ID: CVE-2007-6420, CVE-2008-1678, CVE-2008-2364
Saatavuus: Mac OS X 10.5.5, Mac OS X Server 10.5.5
Vaikutus: useita haavoittuvuuksia Apache 2.2.8:ssa.
Kuvaus: Apache on päivitetty versioon 2.2.9 useiden haavoittuvuuksien korjaamiseksi, joista vakavin saattaa johtaa sivustojen välisen pyynnön väärentämiseen. Apache-versio 2 ei ole osa Mac OS X -asiakaslaitteita ennen versiota 10.5. Apache-versio 2 on osa Mac OS X Server 10.4.x -järjestelmiä, mutta se ei ole oletusarvoisesti aktiivinen. Lisätietoja on Apachen verkkosivustolla osoitteessa http://httpd.apache.org/
Certificates
Saatavuus: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Vaikutus: juurivarmenteet on päivitetty.
Kuvaus: useita luotettuja varmenteita on lisätty järjestelmän juurivarmenteiden luetteloon. Useat olemassa olevat varmenteet päivitettiin uusimpiin versioihin. Järjestelmän tunnistamien juurivarmenteiden täydellistä luetteloa voidaan tarkastella Avainnippu-apin kautta.
ClamAV
CVE-ID: CVE-2008-1389, CVE-2008-3912, CVE-2008-3913, CVE-2008-3914
Saatavuus: Mac OS X Server 10.4.11, Mac OS X Server 10.5.5
Vaikutus: useita haavoittuvuuksia ClamAV 0.93.3:ssa.
Kuvaus: ClamAV 0.93.3:ssa oli useita haavoittuvuuksia, joista vakavin saattoi aiheuttaa mielivaltaisen koodin suorittamisen. Tämä päivitys ratkaisee ongelmat päivittämällä ClamAV-versioon 0.94. ClamAV ei ole osa Mac OS X -asiakaslaitteita. Lisätietoja on saatavilla ClamAV:n verkkosivustolla osoitteessa http://www.clamav.net/
ColorSync
CVE-ID: CVE-2008-3642
Saatavuus: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Vaikutus: haitallisen kuvan tarkastelu saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: kuvien, joissa on upotettu ICC-profiili, käsittelyssä oli puskurin ylivuoto. Upotetun ICC-profiilin sisältävän haitallisen kuvan avaaminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen. Tämä päivitys ratkaisee ongelman suorittamalla kuvien ICC-profiilien lisätarkistuksen. Kiitokset: Apple.
CUPS
CVE-ID: CVE-2008-3641
Saatavuus: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Vaikutus: etähyökkääjä saattaa pystyä aiheuttamaan mielivaltaisen koodin suorittamisen lp-käyttäjän käyttöoikeuksilla.
Kuvaus: Hewlett-Packard Graphics Language (HPGL) -suodattimessa on etäisyyden tarkistusongelma, joka voi aiheuttaa mielivaltaisen muistin korvaamisen hallituilla tiedoilla. Jos tulostinjako on käytössä, etähyökkääjä saattaa pystyä aiheuttamaan mielivaltaisen koodin suorittamisen lp-käyttäjän käyttöoikeuksilla. Jos tulostinjako ei ole käytössä, paikallinen käyttäjä saattaa pystyä saamaan laajennetut käyttöoikeudet. Tämä päivitys ratkaisee ongelman suorittamalla ylimääräisiä rajojen tarkistuksia. Kiitos TippingPointin Zero Day Initiative -ohjelman parissa työskentelevälle regenrechtille ongelman ilmoittamisesta.
Finder
CVE-ID: CVE-2008-3643
Saatavuus: Mac OS X 10.5.5, Mac OS X Server 10.5.5
Vaikutus: työpöydällä oleva tiedosto voi johtaa palvelunestoon.
Kuvaus: Finderissa on virheen palautusongelma. Työpöydällä sijaitseva haitallinen tiedosto voi aiheuttaa Finderin odottamattoman sulkeutumisen, koska tiedoston kuvakkeen luominen aiheuttaa Finderin jatkuvan sulkeutumisen ja uudelleenkäynnistymisen. Käyttäjätili ei ole käytettävissä Finderin käyttöliittymän kautta, kunnes tiedosto on poistettu. Tämä päivitys ratkaisee ongelman luomalla kuvakkeet osana erillistä prosessia. Tämä ongelma ei vaikuta Mac OS X 10.5:tä edeltäviin järjestelmiin. Kiitos Sergio 'shadown' Alvarezille (n.runs AG) ongelman ilmoittamisesta.
launchd
Vaikutus: apit eivät välttämättä pääse pyydettäessä hiekkalaatikkoon.
Saatavuus: Mac OS X 10.5.5, Mac OS X Server 10.5.5
Kuvaus: Päivitys koskee Mac OS X 10.5.5:n ongelmaa. Launchd:n toteutusongelma saattaa aiheuttaa sen, että apin hiekkalaatikkoon pääsemispyyntö epäonnistuu. Tämä ongelma ei vaikuta ohjelmiin, jotka käyttävät dokumentoitua kohdetta sandbox_init API. Tämä päivitys ratkaisee ongelman tarjoamalla päivitetyn launchd-version. Tämä ongelma ei vaikuta Mac OS X 10.5.5:tä edeltäviin järjestelmiin.
libxslt
CVE-ID: CVE-2008-1767
Saatavuus: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Vaikutus: XML-dokumentin käsittely saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mahdollistaa mielivaltaisen koodin suorittamisen.
Kuvaus: libxslt-kirjastossa oli kekopuskurin ylivuoto. Vaikutus: Haitallisen HTML-sivun avaaminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen. Lisätietoja ohjelmakorjauksesta on xmlsoft.orgin verkkosivustossa osoitteessa http://xmlsoft.org/XSLT/. Kiitokset Anthony de Almeida Lopesille (Outpost24 AB) ja Chris Evansille (Google Security Team) tämän ongelman ilmoittamisesta.
MySQL Server
CVE-ID: CVE-2007-2691, CVE-2007-5969, CVE-2008-0226, CVE-2008-0227, CVE-2008-2079
Saatavuus: Mac OS X Server 10.5.5
Vaikutus: useita haavoittuvuuksia MySQL 5.0.45 -versiossa.
Kuvaus: MySQL on päivitetty versioon 5.0.67 useiden haavoittuvuuksien korjaamiseksi, joita vakavin saattoi aiheuttaa mielivaltaisen koodin suorittamisen. Nämä ongelmat koskevat vain Mac OS X Server -järjestelmiä. Lisätietoja on MySQL:n sivustolla osoitteessa http://dev.mysql.com/doc/refman/5.0/en/news-5-0-67.html
Networking
CVE-ID: CVE-2008-3645
Saatavuus: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Vaikutus: Paikallinen käyttäjä voi saada järjestelmäoikeudet
Kuvaus: configd:n EAPOLController-laajennuksen paikallisessa IPC-komponentissa oli kekopuskurin ylivuoto, jonka ansiosta paikallinen käyttäjä saattoi saada järjestelmäoikeudet. Tämä päivitys korjaa ongelman parantamalla rajojen tarkistusta. Kiitokset: Apple.
PHP
CVE-ID: CVE-2007-4850, CVE-2008-0674, CVE-2008-2371
Saatavuus: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X Server 10.5.5
Vaikutus: PHP 4.4.8:ssä oli useita haavoittuvuuksia.
Kuvaus: PHP on päivitetty versioon 4.4.9 useiden haavoittuvuuksien korjaamiseksi, joista vakavin saattoi aiheuttaa mielivaltaisen koodin suorittamisen. Lisätietoja on PHP:n verkkosivustolla osoitteessa http://www.php.net/. Nämä ongelmat vaikuttavat vain järjestelmiin, joissa on käytössä Mac OS X 10.4.x, Mac OS X Server 10.4.x tai Mac OS X Server 10.5.x.
Postfix
CVE-ID: CVE-2008-3646
Saatavuus: Mac OS X 10.5.5
Vaikutus: etähyökkääjä pystyi lähettämään postia suoraan paikallisille käyttäjille.
Kuvaus: Postfix-määritystiedostoissa oli ongelma. Yhden minuutin ajan sen jälkeen, kun paikallinen komentorivityökalu lähettää postia, postfixiä voidaan käyttää verkon kautta. Tänä aikana etäkohde, joka pystyy yhdistämään SMTP-porttiin, voi lähettää postia paikallisille käyttäjille ja muutoin hyödyntää SMTP-protokollaa. Tämä ongelma ei aiheuta sitä, että järjestelmä toimisi avoimena postilähetysasemana. Tämä ongelma on ratkaistu muokkaamalla Postfix-määritystä niin, etteivät etäkoneet voi muodostaa SMTP-yhteyksiä. Tämä ongelma ei vaikuta Mac OS X 10.5:tä edeltäviin järjestelmiin eikä Mac OS X Serveriin. Kiitokset Pelle Johanssonille tämän ongelman ilmoittamisesta.
PSNormalizer
CVE-ID: CVE-2008-3647
Saatavuus: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Vaikutus: haitallisen PostScript-tiedoston tarkasteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: PSNormalizerin PostScript-tiedostojen bounding-laatikon kommentin käsittelyssä oli puskurin ylivuoto. Haitallisen PostScript-tiedoston katsominen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa ongelman suorittamalla PostScript-tiedostojen lisävahvistuksen.
Kiitokset: Apple.
QuickLook
CVE-ID: CVE-2008-4211
Saatavuus: Mac OS X 10.5.5, Mac OS X Server 10.5.5
Vaikutus: haitallisen Microsoft Excel ‑tiedoston lataaminen tai tarkastelu saattaa johtaa apin odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.
Kuvaus: QuickLookin Microsoft Excel -tiedostojen sarakkeiden käsittelyn allekirjoitusongelma saattoi aiheuttaa rajojen ulkopuolisen muistin käytön. Haitallisen Microsoft Excel ‑tiedoston lataaminen tai tarkastelu saattaa johtaa apin odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen. Tämä päivitys korjaa ongelman suorittamalla Microsoft Excel -tiedostojen lisävahvistuksen. Tämä ongelma ei koske Mac OS X 10.5 -käyttöjärjestelmää vanhempia järjestelmiä. Kiitokset: Apple.
rlogin
CVE-ID: CVE-2008-4212
Saatavuus: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Vaikutus: järjestelmät, jotka on manuaalisesti määritetty käyttämään rlogin- ja host.equiv-tiedostoja, voivat yllättäen sallia juurikirjautumisen.
Kuvaus: hosts.equiv-määritystiedoston manpage osoittaa, että merkinnät eivät koske juurta. Toteutusongelma rlogind:ssä kuitenkin aiheuttaa sen, että nämä merkinnät koskevat myös juurta. Tämä päivitys ratkaisee ongelman estämällä rloginin root-käyttäjälle, jos etäjärjestelmässä on hosts.equiv. rlogin-palvelu ei ole oletusarvoisesti käytössä Mac OS X:ssä, ja se on määritettävä manuaalisesti, jotta se voidaan ottaa käyttöön. Kiitokset Ralf Meyerille tämän ongelman ilmoittamisesta.
Script Editor
CVE-ID: CVE-2008-4214
Saatavuus: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.5, Mac OS X Server 10.5.5
Kuvaus: paikallinen käyttäjä saattoi saada toisen Skriptieditoria käyttävän käyttäjän oikeudet.
Kuvaus: Skriptieditori-apissa on suojaamattomien tiedostojen käsittelyn ongelma, kun apin skriptisanakirjoja avataan. Paikallinen käyttäjä voi aiheuttaa sen, että skriptisanakirja kirjoitetaan mielivaltaiselle polulle, jota appia käyttävä käyttäjä voi käyttää. Tämä päivitys ratkaisee ongelman luomalla väliaikaisen tiedoston turvalliseen sijaintiin. Kiitokset: Apple.
Single Sign-On
Saatavuus: Mac OS X 10.5.5, Mac OS X Server 10.5.5
Vaikutus: sso_util-komento hyväksyy nyt salasanoja tiedostosta.
Kuvaus: sso_util-komento hyväksyy nyt salasanoja tiedostosta, joka on nimetty SSO_PASSWD_PATH-ympäristömuuttujassa. Tämän ansiosta automaattiset komentosarjat voivat käyttää sso_util-komentoa turvallisemmin.
Tomcat
CVE-ID: CVE-2007-6286, CVE-2008-0002, CVE-2008-1232, CVE-2008-1947, CVE-2008-2370, CVE-2008-2938, CVE-2007-5333, CVE-2007-5342, CVE-2007-5461
Saatavuus: Mac OS X Server 10.5.5
Vaikutus: Tomcat 6.0.14:ssa oli useita haavoittuvuuksia.
Kuvaus: Mac OS X 10.5 -järjestelmän Tomcat päivitetään useiden haavoittuvuuksien korjaamiseksi versioon 6.0.18. Haavoittuvuuksista vakavin saattoi aiheuttaa sivustojen välisen komentosarjahyökkäyksen. Nämä ongelmat koskevat vain Mac OS X Server -järjestelmiä. Lisätietoja on Tomcatin sivustossa osoitteessa http://tomcat.apache.org/
vim
CVE-ID: CVE-2008-2712, CVE-2008-4101, CVE-2008-2712, CVE-2008-3432, CVE-2008-3294
Saatavuus: Mac OS X 10.5.5, Mac OS X Server 10.5.5
Vaikutus: vim 7.0:ssa oli useita haavoittuvuuksia.
Kuvaus: vim 7.0:ssa oli useita haavoittuvuuksia, joista vakavin saattoi aiheuttaa mielivaltaisen koodin suorittamisen haitallisten tiedostojen kanssa työskenneltäessä. Tämä päivitys ratkaisee ongelmat päivittämällä vim-versioon 7.2.0.22. Lisätietoja on saatavilla vimin verkkosivustolla osoitteessa http://www.vim.org/
Weblog
CVE-ID: CVE-2008-4215
Saatavuus: Mac OS X Server 10.4.11
Vaikutus: verkkolokijulkaisujen käyttöoikeuksien valvontaa ei ehkä panna täytäntöön.
Kuvaus: Weblog-palvelimessa on tarkistamaton virhetila. Käyttäjän, jolla on useita lyhyitä nimiä, lisääminen käytönvalvontaluetteloon verkkolokipostauksen yhteydessä saattaa aiheuttaa sen, että Weblog-palvelin ei edellytä käyttöoikeuksien valvontaa. Ongelma on ratkaistu parantamalla tapaa, jolla käytönvalvontaluettelot tallennetaan. Tämä ongelma koskee vain Mac OS X Server 10.4 -järjestelmiä. Kiitokset: Apple.