Tietoja suojauspäivityksestä 2009-005

Tässä dokumentissa kuvataan suojauspäivitystä 2009-005.

Apple haluaa suojella asiakkaitaan, eikä siksi paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustossa.

Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.

CVE-tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.

Suojauspäivitys 2009-005

• Alias Manager

  CVE-ID: CVE-2009-2800

  Saatavuus: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Vaikutus: Haitallisen alias-tiedoston toistaminen saattoi johtaa apin odottamattomaan sulkeutumiseen tai mahdollistaa mielivaltaisen koodin suorittamisen.

  Kuvaus: Alias-tiedostojen käsittelyssä oli puskurin ylivuoto. Haitallisen alias-tiedoston avaaminen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa ongelman parantamalla rajojen tarkistusta. Tämä ongelma ei koske Mac OS X v10.6 -järjestelmiä. Kiitokset: Apple.

• CarbonCore

  CVE-ID: CVE-2009-2803

  Saatavuus: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Vaikutus: Haitallisen resurssihaaran sisältävän tiedoston avaaminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mahdollistaa mielivaltaisen koodin suorittamisen.

  Kuvaus: Resurssienhallinnan tavassa käsitellä resurssihaaroja oli muistinvioittumisongelma. Haitallisen resurssihaaran sisältävän tiedoston asentaminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mahdollistaa mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa ongelman parantamalla resurssihaarojen validointia. Tämä ongelma ei koske Mac OS X v10.6 -järjestelmiä. Kiitokset: Apple.

• ClamAV

  CVE-ID: CVE-2009-1241, CVE-2009-1270, CVE-2008-6680, CVE-2009-1371, CVE-2009-1372

  Saatavuus: Mac OS X Server v10.5.8

  Vaikutus: Useita haavoittuvuuksia ClamAV:n versiossa 0.94.2.

  Kuvaus: ClamAV:n versiossa 0.94.2 oli useita haavoittuvuuksia, joista vakavin saattoi johtaa mielivaltaiseen koodin suorittamiseen. Tämä päivitys korjaa ongelmat päivittämällä ClamAV:n versioon 0.95.2. ClamAV jaellaan vain Mac OS X Server -järjestelmien mukana. Lisätietoja on saatavissa ClamAV:n sivustolla osoitteessa http://www.clamav.net/ Nämä ongelmat eivät vaikuta Mac OS X v10.6 -järjestelmiin.

• CoreGraphics

  CVE-ID: CVE-2009-2804

  Saatavuus: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Vaikutus: Upotetun ColorSync-profiilin sisältävän haitallisen kuvan katsominen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

  Kuvaus: Upotetun ColorSync-profiilin sisältävien kuvien käsittelyssä oli kokonaisluvun ylivuoto, joka saattoi aiheuttaa kekopuskurin ylivuodon. Upotetun ColorSync-profiilin sisältävän kuvan avaaminen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa ongelman suorittamalla lisää ColorSync-profiileiden validointia. Tämä ongelma ei koske Mac OS X v10.6 -järjestelmiä. Kiitokset: Apple.

• CoreGraphics

  CVE-ID: CVE-2009-2805

  Saatavuus: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Vaikutus: Haitallisen PDF-tiedoston avaaminen saattoi johtaa apin odottamattomaan sulkeutumiseen tai mahdollistaa mielivaltaisen koodin suorittamisen.

  Kuvaus: CoreGraphicsin PDF-tiedostojen käsittelyssä oleva kokonaisluvun ylivuoto saattoi aiheuttaa kekopuskurin ylivuodon. Haitallisen JBIG2-striimin sisältävän PDF-tiedoston avaaminen saattoi johtaa apin odottamattomaan sulkeutumiseen tai mahdollistaa mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa ongelman parantamalla rajojen tarkistusta. Kiitokset Will Dormannille (CERT/CC) tämän ongelman ilmoittamisesta. Tämä ongelma ei koske Mac OS X v10.6 -järjestelmiä.

• CoreGraphics

  CVE-ID: CVE-2009-2468

  Saatavuus: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Vaikutus: Haitallisessa verkkosivustossa vieraileminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mahdollistaa mielivaltaisen koodin suorittamisen.

  Kuvaus: Pitkien tekstimerkkijonojen piirtämisessä oli kekopuskurin ylivuoto. Haitallisessa verkkosivustossa käyminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa ongelman parantamalla rajojen tarkistusta. Tämä ongelma ei koske Mac OS X v10.6 -järjestelmiä. Kiitos Will Drewrylle (Google Inc.) tämän ongelman ilmoittamisesta.

• CUPS

  CVE-ID: CVE-2009-0949

  Saatavuus: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Vaikutus: Etähyökkääjä saattoi pystyä estämään pääsyn tulostimenjakopalvelun.

  Kuvaus: CUPSissa oli nollaosoittimen epäviittaus. Lähettämällä toistuvasti haitallisia ajoituspyyntöjä etähyökkääjä saattoi pystyä estämään pääsyn tulostimenjakopalveluun. Tämä päivitys korjaa ongelman parantamalla ajoituspyyntöjen validointia. Tämä ongelma ei koske Mac OS X v10.6 -järjestelmiä. Kiitokset Anibal Saccolle (CORE IMPACT Exploit Writing Team (EWT), Core Security Technologies) tämän ongelman ilmoittamisesta.

• CUPS

  CVE-ID: CVE-2009-2807

  Saatavuus: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Vaikutus: Paikallinen käyttöoikeudeton käyttäjä saattoi saada järjestelmän oikeudet.

  Kuvaus: CUPS USB backendissa oli kekopuskurin ylivuoto. Tämä saattoi mahdollistaa sen, että paikallinen käyttäjä sai järjestelmän oikeudet. Tämä päivitys korjaa ongelman parantamalla rajojen tarkistusta. Tämä ongelma ei esiinny Mac OS X v10.5:tä tai Mac OS X v10.6:ta edeltävissä järjestelmissä.

• Flash Player -liitännäinen

  CVE-ID: CVE-2009-1862, CVE-2009-1863, CVE-2009-1864, CVE-2009-1865, CVE-2009-1866, CVE-2009-1867, CVE-2009-1868, CVE-2009-1869, CVE-2009-1870

  Saatavuus: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Vaikutus: Useita haavoittuvuuksia Adobe Flash Player -liitännäisessä.

  Kuvaus: Adobe Flash Player -liitännäisessä oli useita haavoittuvuuksia, joista vakavin saattoi johtaa mielivaltaiseen koodin suorittamiseen haitallista verkkosivustoa tarkasteltaessa. Ongelmat on ratkaistu päivittämällä Flash Player -liitännäinen Mac OS v10.5.8 -järjestelmissä versioon 10.0.32.18, ja versioon 9.0.246.0 Mac OS X v10.4.11 -järjestelmissä. Mac OS X v10.6 -järjestelmien kohdalla nämä ongelmat on ratkaistu versiossa Mac OS X v10.6.1. Lisätietoja on Adoben sivustolla osoitteessa http://www.adobe.com/support/security/bulletins/apsb09-10.html

• ImageIO

  CVE-ID: CVE-2009-2809

  Saatavuus: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Vaikutus: Haitallisen Microsoft PixarFilm-koodatun TIFF-kuvan tarkasteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mahdollistaa mielivaltaisen koodin suorittamisen.

  Kuvaus: ImageIOn tavassa käsitellä PixarFilm-koodattuja TIFF-kuvia oli useita muistinvioittumisongelmia. Haitallisen Microsoft PixarFilm-koodatun TIFF-kuvan tarkasteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mahdollistaa mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa ongelman PixarFilm-koodattujen TIFF-kuvien lisävalidoinnin avulla. Tämä ongelma ei koske Mac OS X v10.6 -järjestelmiä. Kiitokset: Apple.

• Launch Services

  CVE-ID: CVE-2009-2811

  Saatavuus: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  IVaikutus: vaarallisen ladatun sisällön käynnistyksen yrittäminen ei aiheuttanut varoitusta.

  Description: Tämä päivitys lisää .fileloc-tiedoston järjestelmän luetteloon sisältötyypeistä, jotka on merkitty mahdollisesti vaarallisiksi tietyissä tilanteissa, kuten sähköpostista ladattuina. Vaikka näitä sisältötyyppejä ei käynnistetä automaattisesti, manuaalisesti avattuina ne voivat kuitenkin johtaa haitallisen tietosisällön suorittamiseen. Päivitys parantaa järjestelmän kykyä ilmoittaa käyttäjille ennen .fileloc-tiedostojen avaamista. Tämä ongelma ei koske Mac OS X v10.6 -järjestelmiä. Kiitokset: Apple.

• Launch Services

  CVE-ID: CVE-2009-2812

  Saatavuus: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Vaikutus: Haitallisella verkkosivustolla käynti saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

  Kuvaus: Kun appi ladataan, Launch Services analysoi sen vietyjä dokumenttityyppejä. Suunnitteluongelma vietyjen dokumenttityyppien käsittelyssä saattoi aiheuttaa sen, että Launch Services yhdisty turvallisen tiedostopäätteen vaaralliseen Uniform Type Identifier (UTI) -tunnisteeseen. Haitallisella sivustolla käynti saattoi aiheuttaa vaarallisen tiedostotyypin avaamisen automaattisesti. Tämä päivitys korjaa ongelman parantamalla ei-luotetuista apeista vietyjen dokumenttityyppien käsittelyä. Tämä ongelma ei esiinny Mac OS X v10.5:tä tai Mac OS X v10.6:ta edeltävissä järjestelmissä. Kiitokset: Apple.

• MySQL

  CVE-ID: CVE-2008-2079

  Saatavuus: Mac OS X Server v10.5.8

  Vaikutus: MySQL on päivitetty versioon 5.0.82

  Kuvaus: MySQL on päivitetty versioon 5.0.82. Tämä päivitys korjaa käyttöönotto-ongelman, joka mahdollisti paikalliselle käyttäjälle laajennettujen käyttöoikeuksien saamisen. Tämä ongelma koskee ainoastaan Mac OS X Server -järjestelmiä. Tämä ongelma ei koske Mac OS X v10.6 -järjestelmiä. Lisätietoja on MySQL:n sivustolla osoitteessa http://dev.mysql.com/doc/refman/5.0/en/news-5-0-82.html

• PHP

  CVE-ID: CVE-2009-1271, CVE-2009-1272, CVE-2008-5498

  Saatavuus: Mac OS X v10.5, Mac OS X Server v10.5.8

  Vaikutus: Useita haavoittuvuuksia PHP 5.2.8:ssa.

  Kuvaus: PHP:n päivittäminen versioon 5.2.10 korjaa useita haavoittuvuuksia, joista vakavin saattoi mahdollistaa mielivaltaisen koodin suorittamisen. Lisätietoja on saatavissa PHP:n sivustolla osoitteessa http://www.php.net/ These issues do not affect Mac OS X v10.6 systems.

• SMB

  CVE-ID: CVE-2009-2813

  Saatavuus: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Vaikutus: Windowsin tiedostojaon käyttöönotto saattaa jakaa kansioita odottamatta.

  Kuvaus: Sambassa on tarkistamaton virhetila. Käyttäjä, jolla ei ole määritettyä kotihakemistoa ja joka muodostaa yhteyden Windowsin tiedostonjakoon, pääsee käyttämään tiedostojärjestelmän sisältöä paikallisten järjestelmän käyttöoikeuksien mukaisesti. Tämä päivitys korjaa ongelman parantamalla polkuratkaisuvirheitä. Tämä ongelma ei esiinny Mac OS X v10.5:tä tai Mac OS X v10.6:ta edeltävissä järjestelmissä. Kiitokset J. David Hesterille (LCG Systems National Institutes of Health) tämän ongelman ilmoittamisesta.

• Wiki Server

  CVE-ID: CVE-2009-2814

  Saatavuus: Mac OS X Server v10.5.8

  Vaikutus: etähyökkääjä saattoi saada pääsyn Wiki Serverin käyttäjätileihin.

  Kuvaus: Wiki Serverin tavassa käsitellä muuta kuin UTF-8-koodattua dataa sisältäviä hakupyyntöjä oli sivustojen välisiin komentosarjoihin liittyvä ongelma. Tämä saattoi mahdollistaa sen, että etähyökkääjä sai pääsyn Wiki Serveriin hakua tekevän Wiki Serverin käyttäjän kirjautumistiedoilla. Tämä päivitys korjaa ongelman asettamalla UTF-8:n oletusmerkistöksi HTTP-vastauksissa. Tämä ongelma ei esiinny Mac OS X v10.5:tä tai Mac OS X v10.6:ta edeltävissä järjestelmissä. Kiitokset: Apple.