Tietoja suojauspäivityksestä 2014-002

Tässä asiakirjassa kerrotaan suojauspäivitys 2014-002:n turvallisuussisällöstä.

Päivityksen voi ladata ja asentaa Ohjelmiston päivityksen avulla tai Applen tukisivustolta.

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustossa.

Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.

CVE ID -tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.

  • CFNetwork HTTPProtocol

    Saatavuus: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9.2.

    Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi saada verkkosivuston kirjautumistiedot.

    Kuvaus: Set-Cookie-tyyppiset HTTP-otsakkeet käsiteltiin, vaikka yhteys suljettiin ennen otsakerivin valmistumista. Hyökkääjä saattoi poistaa evästeen suojausasetukset pakottamalla yhteyden sulkeutumaan ennen suojausasetusten lähettämistä, jonka jälkeen hyökkääjä sai haltuunsa suojaamattoman evästeen arvon. Ongelma on ratkaistu jättämättä epätäydelliset HTTP-otsakerivit huomioimatta.

    CVE-ID

    CVE-2014-1296: Proseccon (Inria Paris) Antoine Delignat-Lavaud

  • CoreServicesUIAgent

    Saatavuus: OS X Mavericks 10.9.2.

    Vaikutus: Haitallisen verkkosivuston tai URL-osoitteen avaaminen saattoi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.

    Kuvaus: URL-osoitteiden käsittelyssä oli muotoilumerkkijono-ongelma. Ongelma on ratkaistu URL-osoitteiden lisätarkistuksella. Tämä ongelma ei koske OS X Mavericksia vanhempia järjestelmiä.

    CVE-ID

    CVE-2014-1315: runic.pl:n Lukasz Pilorz ja Erik Kooistra

  • FontParser

    Saatavuus: OS X Mountain Lion 10.8.5.

    Vaikutus: Haitallisen PDF-tiedoston avaaminen saattoi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.

    Kuvaus: PDF-tiedostojen fonttien käsittelyssä oli puskurin alivuoto. Ongelma on ratkaistu rajojen lisätarkistuksella. Tämä ongelma ei koske OS X Mavericks -järjestelmiä.

    CVE-ID

    CVE-2013-5170: CERT/CC:n Will Dormann

  • Heimdal Kerberos

    Saatavuus: OS X Mavericks 10.9.2.

    Vaikutus: Etähyökkääjä saattaa pystyä aiheuttamaan palvelun eston.

    Kuvaus: ASN.1-tietojen käsittelyssä oli saavutettavissa oleva keskeytys. Ongelma on ratkaistu ASN.1-tietojen lisätarkistuksella.

    CVE-ID

    CVE-2014-1316: Codenomiconin Joonas Kuorilehto

  • ImageIO

    Saatavuus: OS X Mavericks 10.9.2.

    Vaikutus: Haitallisen JPEG-kuvan katsominen saattoi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.

    Kuvaus: ImageIO:n tavassa käsitellä JPEG-kuvia oli puskurin ylivuoto. Ongelma on ratkaistu parantamalla rajojen tarkistusta. Tämä ongelma ei koske OS X Mavericksia vanhempia järjestelmiä.

    CVE-ID

    CVE-2014-1319: Modulo Consultingin Cristian Draghici ja NCC Groupin Karl Smith

  • Intelin grafiikkaohjain

    Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9.2.

    Vaikutus: Haittaohjelma saattoi saada järjestelmän hallintaansa.

    Kuvaus: Käyttäjätilasta peräisin olevan osoittimen käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu osoittimien lisätarkistuksella.

    CVE-ID

    CVE-2014-1318: HP:n Zero Day Initiativen parissa työskentelevä Google Project Zeron Ian Beer

  • IOKit Kernel

    Saatavuus: OS X Mavericks 10.9.2.

    Vaikutus: Paikallinen käyttäjä pystyi lukemaan kernel-osoittimet, joita voitiin käyttää ohittamaan kernel-osoitetilan asettelun satunnaistaminen.

    Kuvaus: IOKit-objektiin tallennettujen kernel-osoittimien joukko pystyttiin hakemaan käyttäjätilasta. Ongelma on ratkaistu poistamalla osoittimet objektista.

    CVE-ID

    CVE-2014-1320: HP:n Zero Day Initiativen parissa työskentelevä Google Project Zeron Ian Beer

  • Kernel

    Saatavuus: OS X Mavericks 10.9.2.

    Vaikutus: Paikallinen käyttäjä pystyi lukemaan kernel-osoittimen, jota voitiin käyttää ohittamaan kernel-osoitetilan asettelun satunnaistaminen.

    Kuvaus: XNU-objektiin tallennettu kernel-osoitin pystyttiin hakemaan käyttäjätilasta. Ongelma on ratkaistu poistamalla osoitin objektista.

    CVE-ID

    CVE-2014-1322: Google Project Zeron Ian Beer

  • Virranhallinta

    Saatavuus: OS X Mavericks 10.9.2.

    Vaikutus: Näyttö ei lukittunut.

    Kuvaus: Jos näppäintä painettiin tai ohjauslevyä kosketettiin juuri kannen sulkemisen jälkeen, järjestelmä saattoi yrittää herätä mennessään nukkumaan, jolloin näytön lukitus avautui. Ongelma on ratkaistu jättämällä näppäinten painallukset huomioimatta mentäessä nukkumaan. Tämä ongelma ei koske OS X Mavericksia vanhempia järjestelmiä.

    CVE-ID

    CVE-2014-1321: Stratis Health Bloomington MN:n Paul Kleeberg, Duale Hochschule Baden-Württembergin (DHBW Stuttgart) Julian Sincu, R&A:n Gerben Wierda sekä Daniel Luz

  • Ruby

    Saatavuus: OS X Mavericks 10.9.2.

    Vaikutus: Ei-luotettuja YAML-tunnisteita käsittelevän Ruby-komentosarjan suorittaminen saattoi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.

    Kuvaus: LibYAML:n tavassa käsitellä YAML-tunnisteita oli kokonaisluvun ylivuoto. Ongelma on ratkaistu YAML-tunnisteiden lisätarkistuksella. Tämä ongelma ei koske OS X Mavericksia vanhempia järjestelmiä.

    CVE-ID

    CVE-2013-6393

  • Ruby

    Saatavuus: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9.2.

    Vaikutus: Sellaisen Ruby-komentosarjan suorittaminen, joka käyttää ei-luotettua syötettä Float-objektin luomiseen, saattoi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.

    Kuvaus: Rubyssa oli kekopuskurin ylivuotoon liittyvä ongelma muunnettaessa merkkijonoa liukulukuarvoksi. Ongelma on ratkaistu liukulukuarvojen lisätarkistuksella.

    CVE-ID

    CVE-2013-4164

  • Suojaus – Secure Transport

    Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9.2.

    Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi siepata tietoja tai muuttaa SSL:llä suojatuissa istunnoissa suoritettuja toimenpiteitä.

    Kuvaus: Triple handshake -hyökkäyksessä hyökkääjä pystyi luomaan kaksi yhteyttä, joilla oli samat salausavaimet ja kättely. Hyökkääjä saattoi lisätä toiseen yhteyteen tietonsa ja edelleensiirtää yhteydet toisilleen. Jotta tähän skenaarioon perustuvat hyökkäykset vältettäisiin, Secure Transportia muutettiin siten, että edelleensiirron täytyy oletusarvoisesti esittää sama palvelinvarmenne kuin alkuperäisessä yhteydessä. Tämä ongelma ei koske Mac OS X 10.7:ää tai sitä aiempia järjestelmiä.

    CVE-ID

    CVE-2014-1295: Proseccon (Inria Paris) Antoine Delignat-Lavaud, Karthikeyan Bhargavan ja Alfredo Pironti

  • WindowServer

    Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9.2.

    Vaikutus: Haitalliset ohjelmat saattoivat suorittaa mielivaltaista koodia eristyksen ulkopuolella.

    Kuvaus: Eristetyt ohjelmat saattoivat luoda WindowServer-istuntoja. Ongelma on ratkaistu estämällä eristettyjä ohjelmia luomasta WindowServer-istuntoja.

    CVE-ID

    CVE-2014-1314: HP:n Zero Day Initiativen parissa työskentelevä KeenTeam

Muita kuin Applen valmistamia tuotteita sekä itsenäisiä verkkosivustoja (joita Apple ei hallitse tai joita se ei ole testannut) koskevat tiedot on tarkoitettu vain tiedoksi. Apple ei suosittele tai tue niitä. Apple ei vastaa muun valmistajan verkkosivustojen tai tuotteiden valikoimasta, suorituskyvystä tai käytöstä. Apple ei vastaa muun valmistajan verkkosivuston oikeellisuudesta tai luotettavuudesta. Internetin käyttöön liittyy riskejä. Pyydä lisätietoja valmistajalta. Muut yritysten ja tuotteiden nimet saattavat olla omistajiensa tavaramerkkejä.

Julkaisupäivämäärä: