Applen tietoturvapäivitykset (3.10.2003–11.1.2005)

Tämä dokumentti sisältää tietoja 3.10.2003–11.1.2005 välisenä aikana julkaistujen Apple-tuotteiden tietoturvapäivityksistä.

Tärkeää: Lisätietoja uudemmista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.

Lisätietoja aiemmista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset: elokuu 2003 ja sitä aiemmat.

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Apple, Inc:n Product Security Incident Response -sivustossa.

Applen tuoteturvallisuuden PGP-avain

Lisätietoja on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.

Suojauspäivitykset

Suojauspäivitykset on lueteltu alla sen ohjelmistoversion mukaan, jossa ne ilmestyivät ensimmäisen kerran. CVE-tunnuksia käytetään mahdollisuuksien mukaan viittaamaan haavoittuvuuksien lisätietoihin.

iTunes 4.7.1

Saatavuus: Mac OS X, Microsoft Windows XP, Microsoft Windows 2000

CVE-ID: CAN-2005-0043

Vaikutus: Haitalliset soittolistat voivat aiheuttaa iTunesin kaatumisen ja mielivaltaisen koodin suorittamisen.

Kuvaus: iTunes tukee useita yleisiä soittolistamuotoja. ITunes 4.7.1 korjaa puskurin ylivuodon m3u- ja pls-soittolistatiedostojen jäsentämisen yhteydessä. Puskurin ylivuoto saattoi sallia iTunesin aiempien versioiden kaatumisen ja mielivaltaisen koodin suorittamisen. Kiitokset Sean de Reggelle (seanderegge@hotmail.com) tämän ongelman löytämisestä ja iDEFENSE Labsille ongelman ilmoittamisesta.

Suojauspäivitys 2004-12-02

Apache

Saatavuus: Mac OS X 10.3.6, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1082

Vaikutus: Apachen mod_digest_apple-todennus on herkkä uusintahyökkäyksille.

Kuvaus: Mac OS X Serverille erityinen mod_digest_apple perustuu Apachen mod_digestiin. Mod_digestissä esiintyvään toisto-ongelmaan tehtiin useita korjauksia Apachen versioissa 1.3.31 ja 1.3.32 (CAN-2003-0987). Tämä päivitys korjaa mod_digest_apple-todennuksen toisto-ongelman Apache 1.3.32:een tehtyjen muutosten avulla.

Apache

Saatavuus: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2003-0020, CAN-2003-0987, CAN-2004-0174, CAN-2004-0488, CAN-2004-0492, CAN-2004-0885, CAN-2004-0940

Vaikutus: Apachessa ja mod_ssl:ssä on useita haavoittuvuuksia, kuten paikallisten käyttöoikeuksien eskalaatio, etäpalvelun esto ja joissakin muokatuissa kokoonpanoissa mielivaltaisen koodin suorittaminen.

Kuvaus: Apache Group korjasi useita haavoittuvuuksia versioiden 1.3.29 ja 1.3.33 välillä. Apache Group Security -sivu Apache-versiolle 1.3:lle on osoitteessa http://www.apacheweek.com/features/security-13. Aiemmin asennettu Apache-versio oli 1.3.29. Apachen oletusasennus ei ota mod_ssl:ää käyttöön. Tämä päivitys korjaa kaikki soveltuvat ongelmat päivittämällä Apachen versioon 1.3.33 ja companion mod_ssl:n versioon 2.8.22.

Apache

Saatavuus: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1083

Vaikutus: Apache-määritykset eivät estäneet .DS_Store-tiedostojen tai .ht-alkuisten tiedostojen käyttöä täysin.

Kuvaus: Apache-oletuskokoonpano estää .ht-alkuisten tiedostojen käytön tavalla, jossa isoilla ja pienillä kirjaimilla on väliä. Apple HFS+ -tiedostojärjestelmä toteuttaa tiedostojen käytön tavalla, jossa kirjainten koolla ei ole väliä. Finder voi myös luoda .DS_Store-tiedostoja, jotka sisältävät tiedostojen nimet sijainneissa, joista niitä käytetään verkkosivuilla. Tämä päivitys muokkaa Apache-määrityksiä ja rajoittaa pääsyä kaikkiin tiedostoihin, joiden alussa on .ht tai .DS_S kirjainkoosta riippumatta. Lisätietoja…

Apache

Saatavuus: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1084

Vaikutus: Tiedostotiedot ja resurssihaarasisältö voidaan hakea HTTP-protokollan kautta ohittamalla tavalliset Apachen tiedostojen käsittelijät.

Kuvaus: Apple HFS+ -tiedostojärjestelmä sallii tiedostojen käyttää useita tietovirtoja. Näitä tietovirtoja voidaan käyttää suoraan erityisten tiedostonimien avulla. Erityisesti muotoiltu HTTP-pyyntö voi ohittaa Apachen tiedoston käsittelijän ja käyttää tiedostotietoja tai resurssihaarasisältöä suoraan. Tämä päivitys muokkaa Apache-määrityksiä niin, että ne kieltävät tiedostotietojen tai resurssihaarasisällön pyynnöt, jotka käyttävät niiden erityisiä tiedostonimiä. Lisätietoja on tässä asiakirjassa. Kiitokset NetSecille tämän ongelman ilmoittamisesta.

Apache 2

Saatavuus: Mac OS X 10.3.6, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0747, CAN-2004-0786, CAN-2004-0751, CAN-2004-0748

Vaikutus: Muokatut Apache 2 -kokoonpanot saattoivat sallia käyttöoikeuksien eskalaation paikallisille käyttäjille sekä etäpalvelun eston.

Kuvaus: Asiakkaan muokkaama Apache 2 -määritys, jossa AllowOverride oli otettu käyttöön, saattoi sallia paikallisen käyttäjän suorittaa mielivaltaista koodia Apache (www) -käyttäjänä. Muokkaamattomassa määrityksessä tätä ongelmaa ei esiinny. Tämä päivitys korjaa myös Apachessa olevia virheitä, jotka saattavat sallia sen, että tietynlaiset pyynnöt kaatavat palvelimen. Apache on päivitetty versioon 2.0.52. Apache 2 toimitetaan vain Mac OS X Serverin mukana, ja se on oletusarvoisesti poissa käytöstä.

Appkit

Saatavuus: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1081

Vaikutus: Muut samassa ikkunaistunnossa olevat ohjelmat voivat lukea suojattuun tekstikenttään syötettyjä merkkejä.

Kuvaus: Joissakin tapauksissa suojattu tekstinsyöttökenttä ei ota suojattua syötettä oikein käyttöön. Tämän myötä muut samassa ikkunaistunnossa olevat ohjelmat voivat nähdä joitakin syöttömerkkejä ja näppäimistötapahtumia. Syötteet tekstikenttien suojaamiseen on nyt otettu käyttöön tavalla, joka estää näppäinpainallusten tietojen vuotamisen.

Appkit

Saatavuus: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0803, CAN-2004-0804, CAN-2004-0886

Vaikutus: Kokonaislukujen ylivuodot ja tiff-käsittelyn heikko alueen tarkistus saattavat sallia mielivaltaisen koodin suorittamisen tai palveluneston.

Kuvaus: tiff-kuvien dekoodauksen virheet voivat korvata muistin, aiheuttaa laskuvirheitä, jotka johtavat kaatumiseen, tai sallia mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa tiff-kuvien käsittelyongelmat.

Cyrus IMAP

Saatavuus: Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1089

Vaikutus: Todennettu käyttäjä saattoi päästä luvattomasti muihin saman järjestelmän postilaatikoihin, kun Kerberos-todennusta käytetään Cyrus IMAP:ssä.

Kuvaus: Kun käyttäjä käyttää Kerberos-todennusmekanismia Cyrus IMAP -palvelimessa, hän voi vaihtaa postilaatikkoa todentamisen jälkeen ja päästä käyttämään muita saman järjestelmän postilaatikoita. Tämä päivitys yhdistää postilaatikon todennettuun käyttäjään. Tämä palvelinkohtainen ongelma ei esiinny Mac OS X Server 10.2.8:ssa. Kiitokset käyttäjälle johan.gradvall@gothia.se tämän ongelman ilmoittamisesta.

HIToolbox

Saatavuus: Mac OS X 10.3.6, Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1085

Vaikutus: Käyttäjät voivat lopettaa ohjelmat kioskitilassa.

Kuvaus: Erityinen näppäinyhdistelmä antoi käyttäjille mahdollisuuden avata Pakota lopettamaan -ikkunan myös kioskitilassa. Tämä päivitys estää kaikkien lopettamaan pakottavien näppäinyhdistelmien toiminnan kioskitilassa. Tämä ongelma ei esiinny Mac OS X 10.2.8:ssa tai Mac OS X Server 10.2.8:ssa. Kiitokset Glenn Blauveltille (University of Colorado at Boulder) tämän ongelman ilmoittamisesta.

Kerberos

Saatavuus: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0642, CAN-2004-0643, CAN-2004-0644, CAN-2004-0772

Vaikutus: Altistuminen mahdolliselle palvelunestolle Kerberos-todennuksen käytön yhteydessä.

Kuvaus: MIT on julkaissut uuden Kerberos-version, joka korjaa palveluneston ja kolme double free -virhettä. Mac OS X sisältää suojauksen double free -virheitä vastaan. Tämä päivitys korjaa palvelunesto-ongelman. Turvatoimenpiteenä mukaan on sisällytetty myös double free -virheiden korjaukset. Kiitokset MIT:n Kerberos-kehitystiimille tämän ongelman ilmoittamisesta ja korjausten toimittamisesta.

Postfix

Saatavuus: Mac OS X 10.3.6, Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1088

Vaikutus: Postfix, joka käyttää CRAM-MD5:ä, saattaa sallia sen, että etäkäyttäjä voi lähettää sähköpostia ilman asianmukaista todennusta.

Kuvaus: CRAM-MD5:tä käyttävät Postfix-palvelimet olivat alttiita uusintahyökkäykselle. Joissakin tapauksissa käyttäjän todentamisessa käytettyjä tunnistetietoja voidaan käyttää uudelleen jonkin aikaa. Käyttäjien todentamisessa käytetty CRAM-MD5-algoritmi on päivitetty niin, että toistoikkunaa ei ole. Tämä ongelma ei esiinny Mac OS X 10.2.8:ssa tai Mac OS X Server 10.2.8:ssa. Kiitokset Victor Duchovnille (Morgan Stanley) tämän ongelman ilmoittamisesta.

PSNormalizer

Saatavuus: Mac OS X 10.3.6, Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1086

Vaikutus: Puskurin ylivuoto PostScript-muodon muunnossa PDF-muotoon saattoi mahdollistaa mielivaltaisen koodin suorittamisen.

Kuvaus: Puskurin ylivuoto PostScript–PDF-muunnoksen käsittelyssä saattoi mahdollistaa mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa PostScript–PDF-muunnoskoodin, jolloin puskurin ylivuotoa ei esiinny. Tämä ongelma ei esiinny Mac OS X 10.2.8:ssa tai Mac OS X Server 10.2.8:ssa.

QuickTime Streaming Server

Saatavuus: Mac OS X 10.3.6, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1123

Vaikutus: Tietyllä tavalla muotoillut pyynnöt voivat aiheuttaa palveluneston.

Kuvaus: QuickTime Streaming Server oli haavoittuva palvelunestohyökkäykselle DESCRIBE-pyyntöjen käsittelyn yhteydessä. Tämä päivitys korjaa tavan, jolla nämä pyynnöt käsitellään. Kiitokset iDEFENSE:lle tämän ongelman ilmoittamisesta.

Safari

Saatavuus: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1121

Vaikutus: Tietyllä tavalla muotoiltu HTML voi näyttää harhaanjohtavan URI:n Safarin tilapalkissa.

Kuvaus: Safari voitiin huijata näyttämään tilapalkissa URI, joka ei ollut sama kuin linkin kohde. Tämä päivitys korjaa Safarin niin, että siinä näkyy nyt URI, joka aktivoidaan, kun se valitaan.

Safari

Saatavuus: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1122

Vaikutus: Safari-käyttäjiä voitiin johtaa harhaan siitä, mikä ikkuna on aktivoinut ponnahdusikkunan, kun selaimessa oli auki useita aktiivisia ikkunoita.

Kuvaus: Kun Safari-ikkunoita on auki useita, huolellisesti ajastettu ponnahdusikkuna voi johtaa käyttäjää harhaan ja näyttää siltä, että se on toisen sivuston aktivoima. Tämän päivityksen myötä Safari asettaa nyt ponnahdusikkunan aktivoivan ikkunan kaikkien muiden selainikkunoiden eteen. Kiitokset Secunia Researchille tämän ongelman ilmoittamisesta.

Terminal

Saatavuus: Mac OS X 10.3.6 ja Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1087

Vaikutus: Pääte saattaa osoittaa, että Suojattu näppäimistösyöte on aktiivinen, vaikka se ei ole käytössä.

Kuvaus: Suojattu näppäimistösyöte -valikkoasetusta ei palautettu oikein, kun Terminal.app käynnistetään. Valintamerkki näkyi Suojattu näppäimistösyöte -merkinnän vieressä, vaikka se ei ollut käytössä. Tämä päivitys korjaa Suojattu näppäimistösyöte -merkinnän toiminnan. Tämä ongelma ei esiinny Mac OS X 10.2.8:ssa tai Mac OS X Server 10.2.8:ssa. Kiitokset Jonathan ”Wolf” Rentzschille (Red Shed Software) tämän ongelman ilmoittamisesta.

iCal 1.5.4

CVE-ID: CAN-2004-1021

Vaikutus: Uudet iCal-kalenterit voivat lisätä hälytyksiä ilman hyväksyntää.

Kuvaus: iCal-kalenterit voivat lisätä tapahtumailmoituksia hälytysten kautta. Nämä hälytykset voivat avata ohjelmia ja lähettää sähköpostia. iCal on päivitetty näyttämään hälytysikkuna, kun hälytyksiä sisältäviä kalentereita tuodaan tai avataan. iCal 1.5.4 on saatavilla Mac OS X 10.2.3:een tai uudempaan. Kiitokset käyttäjälle aaron@vtty.com tämän ongelman ilmoittamisesta.

Suojauspäivitys 2004-10-27

Apple Remote Desktop

Saatavuus: Apple Remote Desktop Client 1.2.4, jossa on Mac OS X 10.3.x

CVE-ID: CAN-2004-0962

Vaikutus: Sovellus voidaan käynnistää loginwindow’n taustalla ja se toimii juurena.

Kuvaus: Järjestelmässä, joka täyttää seuraavat ehdot:

• Apple Remote Desktop -asiakasohjelma on asennettu

• Asiakasohjelmajärjestelmän käyttäjä on saanut ohjelmien avaamis- ja lopetusoikeudet

• ARD-käyttäjän käyttäjätunnus ja salasana ovat tiedossa

• Nopea käyttäjän vaihto on otettu käyttöön

• Käyttäjä on kirjautunut sisään, ja loginwindow on aktiivinen nopean käyttäjän vaihdon myötä

Jos toisen järjestelmän Apple Remote Desktop Administrator -ohjelmaa käytetään graafisen käyttöliittymän ohjelman käynnistämiseen asiakasohjelmassa, graafisen käyttöliittymän ohjelma toimii juurena loginwindow’n taustalla. Tämä päivitys estää Apple Remote Desktopia käynnistämästä ohjelmia, kun loginwindow on aktiivinen. Tämä suojausparannus on käytössä myös Apple Remote Desktop v2.1:ssa. Tämä ongelma ei esiinny Mac OS X 10.3:a edeltävissä järjestelmissä. Kiitokset Andrew Nakhlalle ja Secunia Researchille tämän ongelman ilmoittamisesta.

QuickTime 6.5.2

CVE ID: CAN-2004-0988

Saatavuus: Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME ja Microsoft Windows 98

Vaikutus: Kokonaisluvun ylivuoto, joka saattaa olla hyödynnettävissä HTML-ympäristössä.

Kuvaus: Pienen kokonaisluvun ylivuodon merkkilaajennus voi aiheuttaa hyvin suuren luvun siirtymisen muistin siirron toimintoon. Korjaus estää pienen kokonaisluvun ylivuodon. Tätä ongelmaa ei esiinny QuickTime for Mac OS X -järjestelmissä. Kiitokset John Heasmanille (Next Generation Security Software Ltd.) tämän ongelman ilmoittamisesta.

CVE-ID: CAN-2004-0926

Saatavuus: Mac OS X 10.3.x, Mac OS X Server 10.3.x, Mac OS X 10.2.8, Mac OS X Server 10.2.8, Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME ja Microsoft Windows 98

Vaikutus: Kekopuskurin ylivuoto saattoi antaa hyökkääjille mahdollisuuden mielivaltaisen koodin suorittamiseen.

Kuvaus: BMP-kuvatyypin dekoodauksen virheet voivat korvata kekomuistia ja mahdollisesti sallia kuvaan kätketyn mielivaltaisen koodin suorittamisen. Tämä on sama suojausparannus, joka on ollut saatavilla suojauspäivityksestä 2004-09-30 alkaen, ja se voidaan ottaa käyttöön tämän QuickTime-päivityksen kattamissa muissa järjestelmäkokoonpanoissa.

Suojauspäivitys 2004-09-30 (julkaistu 4.10.2004)

AFP Server

Saatavuus: Mac OS X 10.3.5 ja Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0921

Vaikutus: Palvelunesto, jonka avulla vieras voi katkaista AFP-taltioiden yhteyden.

Kuvaus: Vieraan asentamaa AFP-taltiota voitiin käyttää todennettujen käyttäjien asennusten päättämiseen samalta palvelimelta muokkaamalla SessionDestroy-paketteja. Tämä ongelma ei esiinny Mac OS X 10.3:a tai Mac OS X Server 10.3:a edeltävissä järjestelmissä.

AFP Server

Saatavuus: Mac OS X 10.3.5 ja Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0922

Vaikutus: Kirjoitussuojattu AFP-pudotuslaatikko voidaan asettaa luku- ja kirjoitusmuotoon.

Kuvaus: AFP-taltion vain kirjoitus -pudotuslaatikko, jonka vieras on lisännyt, saattoi joskus olla luku- ja kirjoitusmuodossa vierasryhmän tunnuksen virheellisen asetuksen vuoksi. Tämä ongelma ei esiinny Mac OS X 10.3:a tai Mac OS X Server 10.3:a edeltävissä järjestelmissä.

CUPS

Saatavuus: Mac OS X 10.3.5, Mac OS X Server 10.3.5, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0558

Vaikutus: Palvelunesto, joka aiheuttaa tulostusjärjestelmän jumiutumisen.

Kuvaus: IPP:n (Internet Printing Protocol) käyttöönotto CUPS:ssa voi keskeytyä, kun tietty UDP-paketti lähetetään IPP-porttiin.

CUPS

Saatavuus: Mac OS X 10.3.5, Mac OS X Server 10.3.5, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0923

Vaikutus: Käyttäjäsalasanojen paikallinen paljastuminen.

Kuvaus: Tiettyjen todennettujen etätulostustapojen avulla käyttäjän salasanoja voidaan paljastaa tulostusjärjestelmän lokitiedostoissa. Kiitokset Gary Smithille (Glasgow Caledonian University, IT-palvelut) tämän ongelman ilmoittamisesta.

NetInfo Manager

Saatavuus: Mac OS X 10.3.5 ja Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0924

Vaikutus: Virheellinen tilin tilan ilmoitus.

Kuvaus: NetInfo Manager -työkalu voi ottaa root-tilin käyttöön, mutta yhden root-kirjautumisen jälkeen tiliä ei voi enää poistaa käytöstä NetInfo Manager -työkalulla ja se näyttää olevan poistettu käytöstä vaikka se on edelleen käytössä. Tämä ongelma ei esiinny Mac OS X 10.3:a tai Mac OS X Server 10.3:a edeltävissä järjestelmissä.

postfix

Saatavuus: Mac OS X 10.3.5 ja Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0925

Vaikutus: Palvelunesto, kun SMTPD AUTH on otettu käyttöön.

Kuvaus: Kun SMTPD AUTH on otettu käyttöön postfixissa, käyttäjätunnusta sisältävää puskuria ei poisteta oikein todennusyritysten välillä. Vain pisimpiä käyttäjätunnuksia käyttävät käyttäjät voivat suorittaa todennuksen. Tämä ongelma ei esiinny Mac OS X 10.3:a tai Mac OS X Server 10.3:a edeltävissä järjestelmissä. Kiitokset Michael Rondinellille (EyeSee360) tämän ongelman ilmoittamisesta.

QuickTime

Saatavuus: Mac OS X 10.3.5, Mac OS X Server 10.3.5, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0926

Vaikutus: Kekopuskurin ylivuoto saattoi antaa hyökkääjille mahdollisuuden mielivaltaisen koodin suorittamiseen.

Kuvaus: BMP-kuvatyypin dekoodauksen virheet voivat korvata kekomuistia ja mahdollisesti sallia kuvaan kätketyn mielivaltaisen koodin suorittamisen.

ServerAdmin

Saatavuus: Mac OS X Server 10.3.5 ja Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0927

Vaikutus: Asiakasohjelman ja palvelimen välinen ServerAdmin-viestintä voidaan lukea dekoodaamalla tallennettuja istuntoja.

Kuvaus: Asiakasohjelman ja palvelimen välinen ServerAdmin-viestintä käyttää SSL-protokollaa. Kaikissa järjestelmissä on sama esimerkki itse allekirjoitetusta varmenteesta. Jos kyseistä varmennetta ei ole vaihdettu, ServerAdmin-viestintä voidaan purkaa. Korjaus korvaa olemassa olevan itse allekirjoitetun varmenteen paikallisesti ja yksilöllisesti luodulla varmenteella. Kiitokset Michael Bartoshille (4am Media, Inc.) tämän ongelman ilmoittamisesta.

Suojauspäivitys 2004-09-16

iChat

CVE-ID: CAN-2004-0873

Vaikutus: iChat-etäosallistujat voivat lähettää ”linkkejä”, joiden klikkaaminen voi käynnistää paikallisia ohjelmia.

Kuvaus: iChat-etäosallistuja voi lähettää ”linkin”, joka viittaa paikallisen järjestelmän ohjelmaan. Jos linkki aktivoidaan klikkaamalla sitä ja linkki viittaa paikalliseen ohjelmaan, ohjelma suoritetaan. iChatia on muokattu siten, että tämäntyyppiset linkit avaavat Finder-ikkunan, jossa ohjelma näytetään sen sijaan, että ohjelma suoritettaisiin automaattisesti. Kiitokset käyttäjälle aaron@vtty.com tämän ongelman ilmoittamisesta.

Saatavuus: Tämä päivitys on saatavilla seuraaville iChat-versioille:

- iChat AV 2.1 (Mac OS X 10.3.5 tai uudempi)

- iChat AV 2.0 (Mac OS X 10.2.8)

- iChat 1.0.1 (Mac OS X 10.2.8)

Suojauspäivitys 2004-09-07

Tämä suojauspäivitys on saatavilla seuraaville järjestelmäversioille:

- Mac OS X 10.3.4

- Mac OS X 10.3.5

- Mac OS X Server 10.3.4

- Mac OS X Server 10.3.5

- Mac OS X 10.2.8

- Mac OS X Server 10.2.8

Vinkki: Lisätietoja CVE-ID:istä, joihin viitataan alla, on kohdassa (http://www.cve.mitre.org/).

Komponentti: Apache 2

CVE-ID: CAN-2004-0493, CAN-2004-0488

Saatavuus: Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Vaikutus: Altistuminen mahdolliselle palvelunestohyökkäykselle.

Kuvaus: Apache Organization on julkaissut Apache-version 2.0.50. Tämä versio korjaa useita palvelunestoon liittyviä haavoittuvuuksia. Olemme päivittäneet Apache-versioon 2.0.50, joka toimitetaan vain Mac OS X Serverin mukana. Se on oletusarvoisesti poissa käytöstä.

Komponentti: CoreFoundation

CVE-ID: CAN-2004-0821

Saatavuus: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Vaikutus: CoreFoundationia käyttäviä etuoikeutettuja ohjelmia voidaan hyödyntää käyttäjän toimittaman kirjaston lataamisessa.

Kuvaus: CoreFoundationin CFPlugIn-tiloja käyttävät paketit voivat sisältää ohjeita liitännäisten suoritettavien tiedostojen automaattiseen lataamiseen. Tietyllä tavalla muotoiltujen pakettien tapauksessa tämä voi toimia myös etuoikeutettujen ohjelmien kohdalla, mikä mahdollistaa paikallisten käyttöoikeuksien eskalaation. CoreFoundation estää nyt automaattisesti suoritettavien tiedostojen lataamisen paketeille, joissa on jo ladattu suoritettava tiedosto. Kiitokset Kikuchi Masashille (kik@ms.u-tokyo.ac.jp) tämän ongelman ilmoittamisesta.

Komponentti: CoreFoundation

CVE-ID: CAN-2004-0822

Saatavuus: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Vaikutus: Ympäristömuuttujaa voidaan manipuloida niin, että se aiheuttaa puskurin ylivuodon, mikä voi johtaa käyttöoikeuksien eskalaatioon.

Kuvaus: Ympäristömuuttujaa manipuloimalla paikallinen hyökkääjä voi saada ohjelman mahdollisesti suorittamaan mielivaltaista koodia. Tätä voidaan hyödyntää vain paikallisen tilin avulla. Tälle ympäristömuuttujalle tehdään nyt tiukemmat voimassaolotarkastukset. Kiitokset käyttäjälle aaron@vtty.com tämän ongelman ilmoittamisesta.

Komponentti: IPSec

CVE-ID: CAN-2004-0607

Saatavuus: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Vaikutus: Varmenteita käytettäessä tunnistamattomat isännät voivat ehkä pystyä neuvottelemaan IPSec-yhteyden.

Kuvaus: Kun etäisännät on määritetty käyttämään todentamiseen X.509-varmenteita, varmenteen vahvistusvirhe ei keskeytä avainten vaihtoa. Mac OS X ei käytä IPSec-varmenteita oletusarvoisesti, joten tämä ongelma vaikuttaa vain manuaalisesti toteutettuihin määrityksiin. IPSec tarkistaa nyt avainten vaihdon ja keskeyttää sen, jos varmenteiden vahvistuksessa tapahtuu virhe.

Komponentti: Kerberos

CVE-ID: CAN-2004-0523

Saatavuus: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Vaikutus: Useat puskurin ylitykset krb5_aname_to_localname MIT Kerberos 5 (krb5) 1.3.3:ssä ja sitä vanhemmissa saattoivat sallia etähyökkääjien suorittaa mielivaltaista koodia.

Kuvaus: Puskurin ylivuotoa voidaan hyödyntää vain, jos auth_to_local_names- tai auth_to_local-tuki on määritetty myös edu.mit.Kerberos-tiedostossa. Apple ei ota tätä oletusarvoisesti käyttöön. Suojauskorjaus on vaihdettu aiempaan versioon ja otettu käyttöön Kerberoksen Mac OS X -versioissa. Kerberoksen Mac OS X- ja Mac OS X Server -versiot eivät ole alttiita äskettäiselle double free -haavoittuvuudelle, josta on ilmoitettu CERT-haavoittuvuustiedotteessa VU#350792 (CAN-2004-0772). Kiitokset MIT:n Kerberos-kehitystiimille tämän ongelman ilmoittamisesta.

Komponentti: lukemftpd

CVE-ID: CAN-2004-0794

Saatavuus: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Vaikutus: Kilpailutilanne, jonka avulla todennettu etähyökkääjä voi aiheuttaa palveluneston tai suorittaa mielivaltaisen koodin.

Kuvaus: Jos FTP-palvelu on otettu käyttöön ja etähyökkääjä pystyy todentamaan itsensä oikein, kilpailutilanteen myötä hän voi lopettaa FTP-palvelun tai suorittaa mielivaltaista koodia. Korjaus korvaa lukemftpd FTP -palvelun tnftpd:llä. lukemftp on asennettu, mutta sitä ei ole aktivoitu xftp:tä käyttävässä Mac OS X Serverissä. Kiitokset Luke Mewburnille (NetBSD Foundation) tämän ongelman ilmoittamisesta.

Komponentti: OpenLDAP

CVE-ID: CAN-2004-0823

Saatavuus: Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Vaikutus: Salattua salasanaa voidaan käyttää tekstisalasanan tavoin.

Kuvaus: Takautuva yhteensopivuus vanhojen LDAP-toteutusten kanssa mahdollistaa salatun salasanan tallentamisen userPassword-attribuuttiin. Jotkin todennuksen validointitavat voivat käyttää tätä arvoa tekstisalasanan tavoin. Korjaus poistaa epäselvyyden ja käyttää tämäntyyppistä kenttää aina salattuna salasanana. Tämä ongelma ei esiinny Mac OS X 10.2.8:ssa. Kiitos Steve Revilakille (Kayak Software Corporation) tämän ongelman ilmoittamisesta.

Komponentti: OpenSSH

CVE-ID: CAN-2004-0175

Saatavuus: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Vaikutus: Haitallinen ssh/scp-palvelin voi korvata paikallisia tiedostoja.

Kuvaus: scp-ohjelman hakemiston siirtymishaavoittuvuus sallii haitallisen etäpalvelimen korvata paikallisia tiedostoja. Suojauskorjaus on vaihdettu aiempaan versioon ja otettu käyttöön OpenSSH:n Mac OS X -versioissa.

Komponentti: PPPDialer

CVE-ID: CAN-2004-0824

Saatavuus: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Vaikutus: Haitallinen käyttäjä voi korvata järjestelmätiedostoja, mikä aiheuttaa paikallisen käyttöoikeuksien eskalaation.

Kuvaus: PPP-komponentit käyttivät suojaamattomia käyttöoikeuksia yleisesti kirjoitettavissa olevaan sijaintiin tallennetun tiedoston käytön yhteydessä. Korjaus siirtää lokitiedostot muuhun kuin yleisesti kirjoitettavissa olevaan sijaintiin.

Komponentti: QuickTime Streaming Server

Saatavuus: Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0825

Vaikutus: Palvelunesto, joka edellyttää QuickTime Streaming Serverin uudelleenkäynnistystä.

Kuvaus: Tietty asiakasohjelmatoimintojen sarja voi aiheuttaa QuickTime Streaming Serverin jumiutumisen. Korjaus päivittää koodin, jotta tämä lukkiutumistilanne ei pääse tapahtumaan.

Komponentti: rsync

CVE-ID: CAN-2004-0426

Saatavuus: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Vaikutus: Kun rsync suoritetaan daemon-tilassa, etähyökkääjä voi kirjoittaa moduulin polun ulkopuolelle, ellei chroot-asetusta ole määritetty.

Kuvaus: Versiota 2.6.1 edeltävä rsync ei tyhjennä polkuja oikein, kun luku-/kirjoitusdaemon suoritetaan ja chroot-asetus on poistettu käytöstä. Korjaus päivittää rsyncin versioon 2.6.2.

Komponentti: Safari

CVE-ID: CAN-2004-0361

Saatavuus: Mac OS X 10.2.8, Mac OS X Server 10.2.8

Vaikutus: Kooltaan negatiivinen JavaScript-joukko voi aiheuttaa sen, että Safari voi käyttää rajojen ulkopuolista muistia, mikä voi aiheuttaa ohjelman kaatumisen.

Kuvaus: Kohteiden tallentaminen kooltaan negatiiviseen JavaScript-tauluun voi korvata muistia. Safari lopettaa nyt JavaScript-ohjelmien käsittelyn, jos taulun varaus epäonnistuu. Tämä suojausparannus tuli saataville Safari 1.0.3:ssa, ja sitä sovelletaan Mac OS X 10.2.8 -käyttöjärjestelmässä lisäsuojana asiakkaille, jotka eivät ole asentaneet kyseistä Safari-versiota. Tämä on erityisesti Mac OS X 10.2.8 -käyttöjärjestelmää koskeva korjaus, eikä ongelma esiinny Mac OS X 10.3:ssä tai uudemmissa järjestelmissä.

Komponentti: Safari

CVE-ID: CAN-2004-0720

Saatavuus: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Vaikutus: Epäluotettava verkkosivusto voi lisätä sisältöä kehykseen, joka on tarkoitettu toisen domainin käyttöön.

Kuvaus: Useita kehyksiä käyttävän verkkosivuston jotkut kehykset voidaan korvata haitallisen sivuston sisällöllä, jos haitallisella sivustolla käydään. Korjaus määrää joukon edeltäjän/jälkeläisen sääntöjä, jotka estävät hyökkäyksen.

Komponentti: SquirrelMail

CVE-ID: CAN-2004-0521

Saatavuus: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Vaikutus: SquirrelMail ennen versiota 1.4.3 RC1 sallii etähyökkääjien suorittaa luvattomia SQL-lausekkeita.

Kuvaus: SquirrelMail ennen versiota 1.4.3 RC1 on haavoittuva SQL-injektiolle, joka sallii luvattomien SQL-lausekkeiden suorittamisen. Korjaus päivittää SquirrelMailin versioon 1.4.3a.

Komponentti: tcpdump

CVE-ID: CAN-2004-0183, CAN-2004-0184

Saatavuus: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Vaikutus: Virheellisesti muodostetut paketit voivat aiheuttaa käynnissä olevan tcpdumpin kaatumisen.

Kuvaus: ISAKMP-pakettien yksityiskohtaiset tulostustoiminnot eivät suorita oikeita rajojen tarkistuksia ja aiheuttavat rajojen ulkopuolisen lukemisen, mikä aiheuttaa kaatumisen. Korjaus päivittää tcpdumpin versioon 3.8.3.

Mac OS X 10.3.5

Vinkki: Lisätietoja CVE-ID:istä, joihin viitataan alla, on kohdassa (http://www.cve.mitre.org/).

libpng (Portable Network Graphics)

CVE-ID: CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599

Vaikutus: Haitalliset PNG-kuvat voivat aiheuttaa ohjelman kaatumisen ja suorittaa mielivaltaista koodia.

Kuvaus: PNG-kuvien lukemiseen ja kirjoittamiseen tarkoitetusta referenssikirjastosta on löydetty useita puskurin ylivuotoja, nollaosoittimen aliviittauksia ja kokonaislukujen ylivuotoja. Nämä haavoittuvuudet on korjattu libpng-komponentissa, jota Mac OS X:n CoreGraphics- ja AppKit-kehykset käyttävät. Kun tämä päivitys on asennettu, PNG-kuvamuotoa näiden kehysten kautta käyttävät ohjelmat ovat suojassa näiltä vioilta.

Safari:

CVE-ID: CAN-2004-0743

Vaikutus: Tietyssä tilanteessa navigointi eteen- ja taaksepäin-painikkeilla voi lähettää lomaketiedot takaisin GET-URL-osoitteeseen.

Kuvaus: Tämä koskee tilannetta, jossa verkkolomake lähetetään palvelimelle POST-menetelmän avulla, joka antaa puolestaan HTTP-uudelleenohjauksen GET-menetelmää käyttävään URL-osoitteeseen. Eteen- ja taaksepäin-painikkeiden avulla Safari voi käyttää POST-menetelmää uudelleen lomaketietoihin GET-URL-osoitteen saamiseksi. Safaria on muokattu siten, että tässä tilanteessa eteen- tai taaksepäin siirtyminen johtaa vain GET-menetelmään. Kiitokset Rick Osterbergille (Harvard University FAS Computer Services) tämän ongelman ilmoittamisesta.

TCP/IP-verkko:

CVE-ID: CAN-2004-0744

Vaikutus: Haitalliset IP-fragmentit voivat käyttää liian paljon järjestelmäresursseja, mikä voi estää verkon normaalin toiminnan.

Kuvaus: ”Rose Attack” kuvaa erityisesti suunniteltua IP-fragmenttien sarjaa, joka on suunniteltu käyttämään järjestelmäresursseja. TCP/IP-toteutusta on muutettu niin, että kulutettuja resursseja rajoitetaan ja palvelunestohyökkäys voidaan estää. Kiitokset Ken Hollisille (gandalf@digital.net) ja Chuck McAuleylle (pock@lemure.net) ”Rose Attack” -keskustelusta.

Suojauspäivitys 2004-08-09 (Mac OS X 10.3.4 ja 10.2.8)

Vinkki: Lisätietoja CVE-ID:istä, joihin viitataan alla, on kohdassa (http://www.cve.mitre.org/).

libpng (Portable Network Graphics)

CVE-ID: CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599

Vaikutus: Haitalliset PNG-kuvat voivat aiheuttaa ohjelman kaatumisen ja suorittaa mielivaltaista koodia.

Kuvaus: PNG-kuvien lukemiseen ja kirjoittamiseen tarkoitetusta referenssikirjastosta on löydetty useita puskurin ylivuotoja, nollaosoittimen aliviittauksia ja kokonaislukujen ylivuotoja. Nämä haavoittuvuudet on korjattu libpng-komponentissa, jota Mac OS X:n CoreGraphics- ja AppKit-kehykset käyttävät. Kun tämä päivitys on asennettu, PNG-kuvamuotoa näiden kehysten kautta käyttävät ohjelmat ovat suojassa näiltä vioilta.

Suojauspäivitys 2004-06-07 (Mac OS X 10.3.4 ja 10.2.8)

Suojauspäivitys 2004-06-07 tarjoaa useita suojausparannuksia, ja sitä suositellaan kaikille Macintosh-käyttäjille. Tämän päivityksen tarkoituksena on parantaa tietoturvaa ilmoittamalla aina, kun avaat ohjelman ensimmäistä kertaa dokumenttien kuvauksen tai verkko-osoitteen (URL) kautta. Lisätietoja on tässä artikkelissa, mukaan lukien uuden varoitusikkunan kuvaus. Suojauspäivitys 2004-06-07 on saatavilla seuraaville järjestelmäversioille:

- Mac OS X 10.3.4 ”Panther”

- Mac OS X Server 10.3.4 ”Panther”

- Mac OS X 10.2.8 ”Jaguar”

- Mac OS X Server 10.2.8 ”Jaguar”

LaunchServices

CVE-ID: CAN-2004-0538

Vaikutus: LaunchServices rekisteröi automaattisesti ohjelmia, minkä avulla järjestelmä voitiin saada suorittamaan odottamattomia ohjelmia.

Keskustelu: LaunchServices on järjestelmäkomponentti, joka etsii ja avaa ohjelmia. Tämä järjestelmäkomponentti on muokattu avaamaan vain sellaisia ohjelmia, jotka on aiemmin nimenomaisesti suoritettu järjestelmässä. Jos ohjelma, jota ei ole aiemmin nimenomaisesti suoritettu, yritetään avata, käyttäjä saa siitä ilmoituksen. Lisätietoja on tässä artikkelissa.

Komponentti: DiskImageMounter

CVE-ID: CVE ID:tä ei ole varattu, koska tämä on vain lisäestomenetelmä.

Vaikutus: disk://-URL-tyyppi asentaa nimettömän etätiedostojärjestelmän käyttämällä http-protokollaa.

Keskustelu: disk://-URL-tyypin rekisteröinti on poistettu järjestelmästä ennaltaehkäisevänä toimenpiteenä, jotta etälevykuvatiedostojärjestelmiä ei voida ottaa automaattisesti käyttöön.

Safari

CVE-ID: CAN-2004-0539

Vaikutus: Näytä Finderissa -painike avasi tiettyjä ladattuja tiedostoja, ja joissakin tapauksissa suoritti ladattuja ohjelmia.

Keskustelu: Näytä Finderissa -painike näyttää nyt tiedostot Finder-ikkunassa eikä enää yritä avata niitä. Tämä muutos on käytettävissä vain Mac OS X 10.3.4 ”Panther”- ja Mac OS X Server 10.3.4 ”Panther” -järjestelmissä, koska ongelma ei esiinny Mac OS X 10.2.8 ”Jaguar”- tai Mac OS X Server 10.2.8 ”Jaguar” -järjestelmissä.

Terminal

CVE-ID: Ei sovellettavissa

Vaikutus: Vaihtoehtoista porttinumeroa käyttävien telnet://-URL-osoitteiden käyttöyritykset epäonnistuvat.

Keskustelu: Muokkaus sallii vaihtoehtoisen porttinumeron määrittämisen telnet://-URL-osoitteessa. Tämä palauttaa toiminnallisuuden, jotka poistettiin äskettäisessä CAN-2004-0485-korjauksessa.

Mac OS X 10.3.4

• NFS: Korjaa CAN-2004-0513:n parantamalla lokiin kirjaamista jäljitysjärjestelmän puhelun yhteydessä. Kiitokset David Brownille (dave@spoonguard.org) tämän ongelman ilmoittamisesta.

• LoginWindow: Korjaa CAN-2004-0514:n parantamalla hakemistopalveluiden etsimisen käsittelyä.

• LoginWindow: Korjaa CAN-2004-0515:n parantamalla konsolin lokitiedostojen käsittelyä. Kiitokset käyttäjälle aaron@vtty.com tämän ongelman ilmoittamisesta.

• Packaging: Korjaa CAN-2004-0516:n parantamalla pakettien asennuskomentoskriptejä. Kiitokset käyttäjälle aaron@vtty.com tämän ongelman ilmoittamisesta.

• Packaging: Korjaa CAN-2004-0517:n parantamalla prosessitunnusten käsittelyä paketin asennuksen aikana. Kiitokset käyttäjälle aaron@vtty.com tämän ongelman ilmoittamisesta.

• TCP/IP: Korjaa CAN-2004-0171:n parantamalla muiden kuin järjestyksessä olevien TCP-pakettien käsittelyä.

• AppleFileServer: Korjaa CAN-2004-0518:n parantamalla SSH:n käyttöä ja virheiden raportointia.

• Terminal: Korjaa CAN-2004-0485:n parantamalla URL-osoitteiden käsittelyä. Kiitokset RenÌ© Pulsille (rpuls@gmx.net) tämän ongelman ilmoittamisesta.

Huomautus: Mac OS X 10.3.4 sisältää suojauspäivityksen 2004-04-05 ja suojauspäivityksen 2004-05-03.

Suojauspäivitys 2004-05-24, Mac OS X 10.3.3 ”Panther” ja Mac OS X 10.3.3 Server

• HelpViewer: Korjaa CAN-2004-0486:n varmistamalla, että HelpViewer käsittelee vain sen käynnistämiä skriptejä. Kiitokset lixlpixelille Huomautus: Tämä päivitys voidaan asentaa myös Mac OS X 10.3.4:een ja Mac OS X 10.3.4 Serveriin

Suojauspäivitys 2004-05-24, Mac OS X 10.2.8 ”Jaguar” ja Mac OS X 10.2.8 Server

• HelpViewer: Korjaa CAN-2004-0486:n varmistamalla, että HelpViewer käsittelee vain sen käynnistämiä skriptejä. Kiitokset lixlpixelille

• Terminal: Korjaa CAN-2004-0485:n parantamalla URL-osoitteiden käsittelyä Terminalissa. Kiitokset RenÌ© Pulsille

Suojauspäivitys 2004-05-03, Mac OS X 10.3.3 ”Panther” ja Mac OS X 10.3.3 Server

• AppleFileServer: Korjaa CAN-2004-0430:n parantamalla pitkien salasanojen käsittelyä. Kiitokset Dave G:lle (@stake) tämän ongelman ilmoittamisesta.

• Apache 2: Korjaa CAN-2003-0020:n, CAN-2004-0113:n ja CAN-2004-0174:n päivittämällä Apache 2:n versioon 2.0.49.

• CoreFoundation: Korjaa CAN-2004-0428:n parantamalla ympäristömuuttujan käsittelyä. Kiitokset käyttäjälle aaron@vtty.com tämän ongelman ilmoittamisesta.

• IPSec: Korjaa CAN-2004-0155:n ja CAN-2004-0403:n parantamalla VPN-tunnelien turvallisuutta. Mac OS X:n IPSec ei sisällä CAN-2004-0392:n haavoittuvuutta.

Tietoturvapäivitys 2004-04-05 sisältyy tähän tietoturvapäivitykseen.

Suojauspäivitys 2004-05-03, Mac OS X 10.2.8 ”Jaguar” ja Mac OS X 10.2.8 Server

• AppleFileServer: Korjaa CAN-2004-0430:n parantamalla pitkien salasanojen käsittelyä. Kiitokset Dave G.:lle (@stake) tämän ongelman ilmoittamisesta.

• Apache 2: Korjaa CAN-2003-0020:n, CAN-2004-0113:n ja CAN-2004-0174:n päivittämällä Apache 2:n versioon 2.0.49.

• CoreFoundation: Korjaa CAN-2004-0428:n parantamalla ympäristömuuttujan käsittelyä. Kiitokset käyttäjälle aaron@vtty.com tämän ongelman ilmoittamisesta.

• IPSec: Korjaa CAN-2004-0155:n ja CAN-2004-0403:n parantamalla VPN-tunnelien turvallisuutta. Mac OS X:n IPSec ei sisällä CAN-2004-0392:n haavoittuvuutta.

• Server Settings daemon: Korjaa CAN-2004-0429:n parantamalla suurten pyyntöjen käsittelyä.

Tietoturvapäivitys 2004-04-05 sisältyy tähän tietoturvapäivitykseen.

QuickTime 6.5.1

• Korjaa CAN-2004-0431:n, jossa väärin muotoillun .mov-elokuvatiedoston toistaminen saattoi aiheuttaa QuickTimen sulkeutumisen.

Suojauspäivitys 2004-04-05, Mac OS X 10.3.3 ”Panther” ja Mac OS X 10.3.3 Server

• CUPS Printing: Korjaa CAN-2004-0382:n parantamalla tulostusjärjestelmän turvallisuutta. Tämä on määritystiedoston muutos, joka ei vaikuta taustalla olevaan tulostusjärjestelmään. Kiitokset käyttäjälle aaron@vtty.com tämän ongelman ilmoittamisesta.

• libxml2: Korjaa CAN-2004-0110:n parantamalla resurssien tasalaatuisten paikannuslaitteiden käsittelyä.

• Mail: Korjaa CAN-2004-0383:n parantamalla HTML-muotoisen sähköpostin käsittelyä. Kiitokset käyttäjälle aaron@vtty.com tämän ongelman ilmoittamisesta.

• OpenSSL: Korjaa CAN-2004-0079:n ja CAN-2004-0112:n parantamalla salausvalintojen käsittelyä.

Suojauspäivitys 2004-04-05, Mac OS X 10.2.8 ”Jaguar” ja Mac OS X 10.2.8 Server

• CUPS Printing: Korjaa CAN-2004-0382:n parantamalla tulostusjärjestelmän turvallisuutta. Kiitokset käyttäjälle aaron@vtty.com tämän ongelman ilmoittamisesta.

Tietoturvapäivitys 2004-01-26 sisältyy tähän tietoturvapäivitykseen. Tietoturvapäivityksen 2004-04-05 Pantheria koskevat lisäsuojausparannukset eivät vaikuta 10.2-alustaan.

Suojauspäivitys 2004-02-23, Mac OS X 10.3.2 ”Panther” ja Mac OS X 10.3.2 Server

• CoreFoundation: Korjaa CAN-2004-0168:n parantamalla ilmoitusten kirjaamista. Kiitokset käyttäjälle aaron@vtty.com tämän ongelman ilmoittamisesta.

• DiskArbitration: Korjaa CAN-2004-0167:n, jotta kirjoittavan siirrettävän tallennusvälineen alustus voidaan toteuttaa turvallisemmin. Kiitokset käyttäjälle aaron@vtty.com tämän ongelman ilmoittamisesta.

• IPSec: Korjaa CAN-2004-0164:n parantamalla avaimen vaihdon tarkistuksia.

• Point-to-Point-Protocol: Korjaa CAN-2004-0165:n parantamalla virheilmoitusten käsittelyä. Kiitokset Dave G:lle (@stake) ja Justin Tibbsille (Secure Network Operations, SRT) tämän ongelman ilmoittamisesta.

• tcpdump: Korjaa CAN-2003-0989:n, CAN-2004-0055:n ja CAN-2004-0057:n päivittämällä tcpdump-versioon 3.8.1 ja libpcap-versioon 0.8.1.

• QuickTime Streaming Server: Korjaa CAN-2004-0169:n parantamalla pyyntötietojen tarkistusta. Kiitokset iDEFENSE Labsille tämän ongelman ilmoittamisesta. Muiden alustojen suoratoistopalvelinten päivitysten on saatavilla osoitteesta http://developer.apple.com/darwin/.

Suojauspäivitys 2004-02-23, Mac OS X 10.2.8 ”Jaguar” ja Mac OS X 10.2.8 Server

• DiskArbitration: Korjaa CAN-2004-0167:n, jotta kirjoittavan siirrettävän tallennusvälineen alustus voidaan toteuttaa turvallisemmin. Kiitokset käyttäjälle aaron@vtty.comfor tämän ongelman ilmoittamisesta.

• IPSec: Korjaa CAN-2004-0164:n parantamalla avaimen vaihdon tarkistuksia.

• Point-to-Point-Protocol: Korjaa CAN-2004-0165:n parantamalla virheilmoitusten käsittelyä. Kiitokset Dave G.:lle (@stake) ja Justin Tibbsille (Secure Network Operations, SRT) tämän ongelman ilmoittamisesta.

• Safari: Korjaa CAN-2004-0166:n parantamalla URL-osoitteiden näyttöä valikkorivillä.

• QuickTime Streaming Server: Korjaa CAN-2004-0169:n parantamalla pyyntötietojen tarkistusta. Kiitokset iDEFENSE Labsille tämän ongelman ilmoittamisesta. Muiden alustojen suoratoistopalvelinten päivitysten on saatavilla osoitteesta http://developer.apple.com/darwin/.

Tietoturvapäivitys 2004-01-26 Mac OS X 10.2.8 Serverille sisältyy tähän tietoturvapäivitykseen.

Suojauspäivitys 2004-01-26, Mac OS X 10.1.5 ”Puma” ja Mac OS X 10.1.5 Server

• Mail: Korjaa CAN-2004-0085:n toimittamalla suojausparannuksia Applen sähköpostiohjelmaan.

Suojauspäivitys 2004-01-26, Mac OS X 10.2.8 ”Jaguar” ja Mac OS X 10.2.8 Server

• AFP Server: Parantaa AFP:tä 2003-12-19-tietoturvapäivityksen jälkeen.

• Apache 1.3: Korjaa CAN-2003-0542:n puskurin ylivuodon Apache-verkkopalvelimen mod_alias- ja mod_rewrite-moduuleissa.

• Apache 2 (asennettu vain Serverille): Korjaa CAN-2003-0542:n ja CAN-2003-0789:n päivittämällä Apache 2.0.47:n versioon 2.0.48. Lisätietoja päivityksestä on osoitteessa http://www.apache.org/dist/httpd/Announcement2.html

• Classic: Korjaa CAN-2004-0089:n parantamalla ympäristömuuttujien käsittelyä. Kiitokset Dave G:lle (@stake) tämän ongelman ilmoittamisesta.

• Mail: Korjaa CAN-2004-0085:n toimittamalla suojausparannuksia Applen sähköpostiohjelmaan.

• Safari: Korjaa CAN-2004-0092:n toimittamalla tietoturvaparannuksia Safari-verkkoselaimeen.

• System Configuration: Korjaa CAN-2004-0087:n ja CAN-2004-0088:n, kun SystemConfiguration-alijärjestelmä salli muiden etäkäyttäjien kuin ylläpitäjien muuttaa verkkoasetuksia ja tehdä kokoonpanomuutoksia configd-tietoihin. Kiitokset Dave G:lle (@stake) näiden ongelmien ilmoittamisesta.

Tietoturvapäivitys 2003-12-19 sisältyy tähän tietoturvapäivitykseen. Muut suojausparannukset, jotka sisältyvät Mac OS X 10.3.2 Pantherin suojauspäivitykseen 2004-01-26, eivät sisälly tähän Jaguarin päivitykseen, koska nämä ongelmat eivät koske Jaguaria.

Suojauspäivitys 2004-01-26, Mac OS X 10.3.2 ”Panther” ja Mac OS X Server 10.3.2

• Apache 1.3: Korjaa CAN-2003-0542:n puskurin ylivuodon Apache-verkkopalvelimen mod_alias- ja mod_rewrite-moduuleissa.

• Apache 2 (asennettu vain Serverille): Korjaa CAN-2003-0542:n ja CAN-2003-0789:n päivittämällä Apache 2.0.47:n versioon 2.0.48. Lisätietoja päivityksestä on osoitteessa http://www.apache.org/dist/httpd/Announcement2.html.

• Classic: Korjaa CAN-2004-0089:n parantamalla ympäristömuuttujien käsittelyä. Kiitokset Dave G.:lle (@stake) tämän ongelman ilmoittamisesta.

• Mail: Korjaa CAN-2004-0086:n toimittamalla suojausparannuksia Applen sähköpostiohjelmaan. Kiitokset Jim Roepckelle tämän ongelman ilmoittamisesta.

• Safari: Korjaa CAN-2004-0092:n toimittamalla tietoturvaparannuksia Safari-verkkoselaimeen.

• System Configuration: Korjaa CAN-2004-0087:n ongelman, jossa järjestelmän kokoonpanon alijärjestelmä salli muiden etäkäyttäjien kuin ylläpitäjien muuttaa verkkoasetuksia. Kiitokset Dave G.:lle (@stake) näiden ongelmien ilmoittamisesta.

• Windows File Sharing: Korjaa CAN-2004-0090:n ongelman, jossa Windowsin tiedostonjako ei sulkeutunut asianmukaisesti.

• Tietoturvapäivitys 2003-12-19 sisältyy tähän tietoturvapäivitykseen. Muut suojausparannukset, jotka sisältyvät Mac OS X 10.2.8 Jaguarin suojauspäivitykseen 2004-01-26, eivät sisälly tähän Pantherin päivitykseen, koska nämä ongelmat eivät koske Pantheria.

Suojauspäivitys 2003-12-19, Mac OS X 10.2.8 ”Jaguar” ja Mac OS X 10.2.8 Server

• AppleFileServer: Korjaa CAN-2003-1007:n parantamalla vääristyneiden pyyntöjen käsittelyä.

• cd9660.util: Korjaa CAN-2003-1006:n, jossa oli puskurin ylivuotohaavoittuvuus filesystem-työkalussa cd9660.util. Kiitokset KF:lle (Secure Network Operations) tämän ongelman ilmoittamisesta.

• Directory Services: Korjaa CAN-2003-1009:n. Oletusasetuksia muutetaan siten, että ne estävät tahattoman yhteyden, jos tietokoneen paikallisessa aliverkossa on haitallinen DHCP-palvelin. Lisätietoja on Applen tukitietokannan artikkelissa http://docs.info.apple.com/article.html?artnum=32478. Kiitokset William A. Carrelille tämän ongelman ilmoittamisesta.

• Fetchmail: Korjaa CAN-2003-0792:n. Päivitykset fetchmailille, jotka parantavat sen vakautta tietyissä olosuhteissa.

• fs_usage: Korjaa CAN-2003-1010:n. fs_usage-työkalua on parannettu paikallisten käyttöoikeuksien eskalaatiohaavoittuvuuden estämiseksi. Tätä työkalua käytetään järjestelmän suorituskykytietojen keräämiseen, ja sen suorittaminen edellyttää ylläpitäjän oikeuksia. Kiitokset Dave G.:lle (@stake) tämän ongelman ilmoittamisesta.

• rsync: Korjaa CAN-2003-0962:n parantamalla rsyncserver-suojausta.

• System initialization: Korjaa CAN-2003-1011:n. Järjestelmän alustusprosessia on parannettu rajaamaan juurikäyttöoikeuksia järjestelmässä, jossa on käytössä USB-näppäimistö.

Huomautus: Seuraavat korjaukset, jotka näkyvät suojauspäivityksessä 2003-12-19 Pantherille, eivät sisälly suojauspäivitykseen 2003-12-19 Jaguarille, koska Mac OS X:n ja Mac OS X Serverin Jaguar-versiot eivät ole alttiita näille ongelmille:

- CAN-2003-1005: ASN.1-dekoodaus PKI:lle

- CAN-2003-1008: Näytönsäästäjän tekstileikkeet

Suojauspäivitys 2003-12-19, Mac OS X 10.3.2 ”Panther” ja Mac OS X 10.3.2 Server

• ASN.1-dekoodaus PKI:lle: Korjaa CAN-2003-1005:n, joka voi aiheuttaa palveluneston, kun vääristyneitä ASN.1-sekvenssejä vastaanotetaan. Tämä liittyy CAN-2003-0851:een, mutta on siitä erillinen.

• AppleFileServer: Korjaa CAN-2003-1007:n parantamalla vääristyneiden pyyntöjen käsittelyä.

• cd9660.util: Korjaa CAN-2003-1006:n, jossa oli puskurin ylivuotohaavoittuvuus filesystem-työkalussa cd9660.util. Kiitokset KF:lle (Secure Network Operations) tämän ongelman ilmoittamisesta.

• Directory Services: Korjaa CAN-2003-1009:n. Oletusasetuksia muutetaan siten, että ne estävät tahattoman yhteyden, jos tietokoneen paikallisessa aliverkossa on haitallinen DHCP-palvelin. Lisätietoja on Applen tukitietokannan artikkelissa http://docs.info.apple.com/article.html?artnum=32478. Kiitokset William A. Carrelille tämän ongelman ilmoittamisesta.

• Fetchmail: Korjaa CAN-2003-0792:n. Päivitykset fetchmailille, jotka parantavat sen vakautta tietyissä olosuhteissa.

• fs_usage: Korjaa CAN-2003-1010:n. fs_usage-työkalua on parannettu paikallisten käyttöoikeuksien eskalaatiohaavoittuvuuden estämiseksi. Tätä työkalua käytetään järjestelmän suorituskykytietojen keräämiseen, ja sen suorittaminen edellyttää ylläpitäjän oikeuksia. Kiitokset Dave G.:lle (@stake) tämän ongelman ilmoittamisesta.

• rsync: Korjaa CAN-2003-0962:n parantamalla rsyncserver-suojausta.

• Screen Saver: Korjaa CAN-2003-1008:n. Kun näytönsäästäjän kirjautumisikkuna on näkyvissä, tekstileikettä ei voi kirjoittaa työpöydälle tai ohjelmaan. Kiitokset Benjamin Kellylle tämän ongelman ilmoittamisesta.

• System initialization: Korjaa CAN-2003-1011:n. Järjestelmän alustusprosessia on parannettu rajaamaan juurikäyttöoikeuksia järjestelmässä, jossa on käytössä USB-näppäimistö.

Suojauspäivitys 2003-12-05

• Safari: Korjaa CAN-2003-0975:n varmistamalla, että Safari antaa käyttäjän evästetietojen käyttöoikeuden vain valtuutetuille verkkosivustoille. Päivitys on saatavilla sekä Mac OS X 10.3.1:lle että Mac OS X 10.2.8:lle.

Tietoturvapäivitys 2003-11-19 versiolle 10.2.8

Applen käytäntönä on puuttua nopeasti Mac OS X:n aiempien versioiden merkittäviin haavoittuvuuksiin mahdollisuuksien mukaan. Suojauspäivitys 2003-11-19 sisältää päivityksiä useisiin Mac OS X 10.2:n komponentteihin, jotka täyttävät nämä ehdot.

• gm4: Korjaa CAN-2001-1411:n gm4-työkalun muotomerkkijonon haavoittuvuuden. Mikään määritetty uid-juuriohjelma ei käyttänyt gm4-työkalua, ja tämä korjaus on ennalta ehkäisevä toimenpide mahdollista tulevaa hyödyntämistä vastaan.

• groff: Korjaa CVE-2001-1022:n, jossa groff-komponentti ”pic” sisälsi muotomerkkijonon haavoittuvuuden.

• Mail: Korjaa CAN-2003-0881:n, jossa Mac OS X Mail -ohjelma ei enää palaa tavallista tekstiä käyttävään sisäänkirjautumiseen, kun tili on määritetty käyttämään MD5 Challenge Response -toimintoa.

• OpenSSL: Korjaa CAN-2003-0851:n jäsentämällä tiettyjä vääristyneitä ASN.1-sekvenssejä turvallisemmalla tavalla.

• Personal File Sharing: Korjaa CAN-2003-0878:n, jossa, kun Henkilökohtainen tiedostonjako on käytössä, slpd-daemon ei voi enää luoda /tmp-hakemistoon juuritiedostoa lisäoikeuksien saamiseksi.

• QuickTime for Java: Korjaa CAN-2003-0871:n mahdollisen haavoittuvuuden, joka saattaa sallia järjestelmän luvattoman käytön.

• zlib: Korjaa CAN-2003-0107:n. Vaikka MacOS X:ssä ei ollut haavoittuvaa gzprintf()-toimintoa käyttäviä toimintoja, zlibin taustalla oleva ongelma on korjattu suojaamaan kolmansien osapuolten ohjelmia, jotka saattavat mahdollisesti käyttää tätä kirjastoa.

Tietoturvapäivitys 2003-11-19 Panther-versiolle 10.3.1

• OpenSSL: Korjaa CAN-2003-0851:n jäsentämällä tiettyjä vääristyneitä ASN.1-sekvenssejä turvallisemmalla tavalla.

• zlib: Korjaa CAN-2003-0107:n. Vaikka MacOS X:ssä ei ollut haavoittuvaa gzprintf()-toimintoa käyttämiä toimintoja, zlibin taustalla oleva ongelma on korjattu suojaamaan kolmansien osapuolten ohjelmia, jotka saattavat mahdollisesti käyttää tätä kirjastoa.

Suojauspäivitys 2003-11-04

• Terminal: Korjaa CAN-2003-0913:n Mac OS X 10.3:ssä ja Mac OS X Server 10.3:ssa olevan Terminal-ohjelman mahdollisen haavoittuvuuden, joka saattaa sallia järjestelmän luvattoman käytön. Ongelma ei koske Mac OS X -versioita, jotka ovat vanhempia kuin 10.3.

Suojauspäivitys 2003-10-28

• Korjaa CAN-2003-0871:n QuickTime Javan käyttöönotossa Mac OS X 10.3:ssa ja Mac OS X Server 10.3:ssa olevan mahdollisen haavoittuvuuden, joka saattaa sallia järjestelmän luvattoman käytön.

Mac OS X 10.3 Panther

• Finder: Korjaa CAN-2003-0876:n ongelman, jossa kansioiden käyttöoikeuksia ei ehkä säilytetä, kun kansio kopioidaan käyttöönotetusta taltiosta, kuten levykuvasta. Kiitokset Dave G:lle (@stake, Inc.) tämän ongelman löytämisestä.

• Kernel: Korjaa CAN-2003-0877:n, jossa ydintiedostoja käyttävässä järjestelmässä käyttäjä, jolla on interaktiivinen komentotulkin käyttöoikeus, voi korvata mielivaltaisia tiedostoja ja lukea juuriprosessien ydintiedostoja. Tämä voi johtaa arkaluontoisten tietojen, kuten todennuksen tunnistetietojen, vaarantumiseen. Ydintiedostojen luonti on oletusarvoisesti poissa päältä Mac OS X:ssä. Kiitokset Dave G:lle (@stake, Inc.) tämän ongelman löytämisestä.

• slpd: Korjaa CAN-2003-0878:n, jossa, kun Henkilökohtainen tiedostonjako on käytössä, slpd-daemon voi luoda /tmp-hakemistoon juuritiedoston. Tämä voi korvata olemassa olevan tiedoston ja antaa käyttäjälle mahdollisuuden laajennettujen oikeuksien saamiseen. Henkilökohtainen tiedostonjako on oletusarvoisesti poissa päältä Mac OS X:ssä. Kiitokset Dave G:lle (@stake, Inc.) tämän ongelman löytämisestä.

• Kernel: Korjaa CAN-2003-0895:n ongelman, jossa paikallinen käyttäjä saattaa pystyä aiheuttamaan Mac OS X -ytimen kaatumisen määrittämällä pitkän komentorivin argumentin. Laite käynnistyy uudelleen itsestään muutaman minuutin kuluttua. Kiitokset Dave G.:lle (@stake, Inc.) tämän ongelman löytämisestä.

• ktrace: Korjaa CVE-2002-0701:n teoreettisen hyödyntämismahdollisuuden, jossa ktrace on otettu käyttöön KTRACE-ydinvalinnalla ja paikallinen käyttäjä saattoi pystyä hankkimaan arkaluontoisia tietoja. Minkään tietyn työkalun ei tällä hetkellä tiedetä olevan haavoittuva tälle nimenomaiselle ongelmalle.

• nfs: Korjaa CVE-2002-0830:n Network File System -ongelman, jossa etäkäyttäjä saattoi pystyä lähettämään RPC-viestejä, jotka saavat järjestelmän lukittumaan.

• zlib: Korjaa CAN-2003-0107:n. Vaikka MacOS X:ssä ei ollut haavoittuvaa gzprintf()-toimintoa käyttäviä toimintoja, zlibin taustalla oleva ongelma on korjattu.

• gm4: Korjaa CAN-2001-1411:n gm4-työkalun muotomerkkijonon haavoittuvuuden. Mikään määritetty uid-juuriohjelma ei käyttänyt gm4-työkalua, ja tämä korjaus on ennalta ehkäisevä toimenpide mahdollista tulevaa hyödyntämistä vastaan.

• OpenSSH: Korjaa CAN-2003-0386:n ongelman, jossa ”from=”- ja ”user@hosts”-rajoitukset voidaan mahdollisesti väärentää käänteisen DNS:n kautta numeroin määritetyille IP-osoitteille. Mac OS X 10.3 sisältää myös OpenSSH:lle julkaistut aiemmat korjaukset, ja ”ssh -V” -komennolla saatu OpenSSH-versio on: OpenSSH_3.6.1p1+CAN-2003-0693, SSH protocols 1.5/2.0, OpenSSL 0x0090702f

• nidump: Korjaa CAN-2001-1412:n ongelman, jossa nidump-työkalu mahdollisti salattujen kirjautumisten todentamiseen käytettävien salasanojen käytön.

• Järjestelmäasetukset: Korjaa CAN-2003-0883:n ongelman, jossa järjestelmä sallii edelleen suojattujen asetuspaneelien käytön edelleen jonkin aikaa sen jälkeen, kun se on todennettu järjestelmänvalvojan salasanalla. Paikallinen käyttäjä saattoi tämän myötä käyttää asetuspaneeleita, joita hän ei tavallisesti voisi käyttää. Mac OS X 10.3:n suojausasetuksissa voi nyt valita vaihtoehdon ”Vaadi salasana jokaisen suojatun järjestelmäasetuksen avaamiseen”. Kiitokset Anthony Holderille tämän ongelman ilmoittamisesta.

• TCP-aikaleima: Korjaa CAN-2003-0882:n ongelman, jossa TCP-aikaleima alustetaan vakionumerolla. Sen avulla henkilö voi saada selville, kuinka kauan järjestelmä on ollut toiminnassa TCP-pakettien tunnuksen perusteella. Mac OS X 10.3:ssä TCP-aikaleima alustetaan nyt satunnaisella numerolla. Kiitokset Aaron Linvillelle tämän ongelman ilmoittamisesta ja korjauksen lähettämisestä avoimen lähdekoodin Darwin-ohjelman kautta.

• Mail: Korjaa CAN-2003-0881:n Mac OS X Mail -ohjelman ongelman, jossa, jos tili on määritetty käyttämään MD5 Challenge Response -toimintoa, se yrittää kirjautua sisään CRAM-MD5:llä, mutta palaa sitten ilmoittamatta takaisin pelkkään tekstiin, jos salattu kirjautuminen epäonnistuu. Kiitokset Chris Adamsille tämän ongelman ilmoittamisesta.

• Dock: Korjaa CAN-2003-0880:n ongelman, jossa, kun täysi näppäimistöhallinta on otettu käyttöön Järjestelmäasetukset-kohdan Näppäimistö-ruudussa, Dockin toimintoja voidaan käyttää sokeasti näyttötehosteiden taustalla.

Mac OS X 10.2.8

• OpenSSL: Korjaa CAN-2003-0543:n, CAN-2003-0544:n, CAN-2003-0545:n mahdolliset ongelmat tietyissä ASN.1-rakenteissa ja varmenteen vahvistuskoodissa. Jotta päivitys voitaisiin toimittaa nopeasti ja luotettavasti, koko uusimman OpenSSL-kirjaston sijaan käytettiin vain yllä mainittuja CVE ID:iden korjaustiedostoja. Täten Mac OS X 10.2.8:ssa oleva OpenSSL-versio, joka on saatu ”openssl version” -komennolla, on: OpenSSL 0.9.6i Feb 19 2003

• OpenSSH: Korjaa CAN-2003-0693:n, CAN-2003-0695:n ja CAN-2003-0682:n ongelmat korjaamalla OpenSSH:n sshd-versioiden puskurin hallintavirheet versiota 3.7.1 edeltävissä versioissa. Jotta päivitys voidaan toimittaa nopeasti ja luotettavasti, vain yllä mainittuja CVE ID:iden korjaustiedostoja käytettiin, ei kaikkia OpenSSH 3.7.1:n korjaustiedostoja. Mac OS X 10.2.8:ssa oleva OpenSSH-versio, joka saadaan ”ssh -V” -komennolla, on: OpenSSH_3.4p1+CAN-2003-0693, SSH protocols 1.5/2.0, OpenSSL 0x0090609f

• sendmail: Korjaa CAN-2003-0694:n ja CAN-2003-0681:n ongelman, jossa osoitejäsennyksessä oli puskurin ylivuoto sekä sääntöjen jäsentämisessä mahdollinen puskurin ylivuoto.

• fb_realpath(): Korjaa CAN-2003-0466:n ongelman, jossa fb_realpath()-funktiossa on kertaluonteinen virhe, jonka avulla hyökkääjät voivat suorittaa mielivaltaista koodia.

• arplookup(): Korjaa CAN-2003-0804:n. arplookup()-funktion avulla ARP-pyynnöt tallennetaan reiteille paikallisessa linkissä. Hyökkääjä voi vain paikallisessa aliverkossa lähettää riittävän määrän väärennettyjä ARP-pyyntöjä, jotka tyhjentävät ydinmuistin, mikä aiheuttaa palveluneston.

Lisätietoja aiemmista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset: elokuu 2003 ja sitä aiemmat.