Päivityksen voi ladata ja asentaa Ohjelmiston päivityksen avulla tai Applen tukisivustolta.
Apple haluaa suojella asiakkaitaan, eikä siksi paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustossa.
Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.
CVE ID -tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.
Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.
Huomautus: OS X Mavericks 10.9.4:ssä on Safari 7.0.5:n turvallisuussisältö.
OS X Mavericks 10.9.4 ja suojauspäivitys 2014-003
Varmenteiden luottamuskäytäntö
Saatavuus: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.
Vaikutus: Varmenteiden luottamuskäytäntö on päivitetty.
Kuvaus: Varmenteiden luottamuskäytäntö on päivitetty. Täydellinen luettelo varmenteista on osoitteessa https://support.apple.com/fi-fi/HT202858.
copyfile
Saatavuus: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.
Vaikutus: Haitallisen zip-tiedoston avaaminen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: zip-arkistoissa olevien AppleDouble-tiedostojen käsittelyssä oli rajojen ulkopuolisen muistin tavunvaihto-ongelma. Ongelma ratkaistiin parantamalla rajojen tarkistusta.
CVE-ID
CVE-2014-1370: iDefense VCP:n parissa työskentelevä Chaitanya (SegFault)
curl
Saatavuus: OS X Mavericks 10.9–10.9.3.
Vaikutus: Etähyökkääjä saattoi päästä toisen käyttäjän istuntoon.
Kuvaus: cURL käytti NTLM-yhteyksiä uudelleen useamman kuin yhden todennusmenetelmän ollessa käytössä, jolloin hyökkääjä pääsi toisen käyttäjän istuntoon.
CVE-ID
CVE-2014-0015
Dock
Saatavuus: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.
Vaikutus: Eristetty ohjelma saattoi pystyä kiertämään eristysrajoitukset.
Kuvaus: Dockin tavassa käsitellä ohjelmien viestejä oli vahvistamaton järjestelmän indeksointiongelma. Haitallinen viesti saattoi aiheuttaa virheellisen toiminto-osoittimen viittauksen poiston, mikä saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
CVE-ID
CVE-2014-1371: HP:n Zero Day Initiativen parissa työskentelevä nimetön tutkija
Grafiikkaohjain
Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.
Vaikutus: Paikallinen käyttäjä pystyi lukemaan kernel-muistin, jota voitiin käyttää ohittamaan kernel-osoitetilan asettelun satunnaistaminen.
Kuvaus: Järjestelmäkutsun käsittelyssä oli rajojen ulkopuolisen muistin lukuongelma. Ongelma ratkaistiin parantamalla rajojen tarkistusta.
CVE-ID
CVE-2014-1372: Ian Beer (Google Project Zero)
iBooks Commerce
Saatavuus: OS X Mavericks 10.9–10.9.3.
Vaikutus: Hyökkääjä, jolla oli pääsy järjestelmään, saattoi saada haltuunsa Apple ID -tunnistetietoja.
Kuvaus: iBooks-lokien käsittelyssä oli ongelma. iBooks-prosessi saattoi kirjata Apple ID -tunnistetietoja iBooks-lokiin, josta järjestelmän muut käyttäjät pystyivät lukemaan ne. Ongelma on ratkaistu estämällä tunnistetietojen kirjaaminen lokiin.
CVE-ID
CVE-2014-1317: Steve Dunham
Intelin grafiikkaohjain
Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.
Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: OpenGL:n API-kutsun käsittelyssä oli tarkistusongelma. Ongelma ratkaistiin parantamalla rajojen tarkistusta.
CVE-ID
CVE-2014-1373: Ian Beer (Google Project Zero)
Intelin grafiikkaohjain
Saatavuus: OS X Mavericks 10.9–10.9.3.
Vaikutus: Paikallinen käyttäjä pystyi lukemaan kernel-osoittimen, jota voitiin käyttää ohittamaan kernel-osoitetilan asettelun satunnaistaminen.
Kuvaus: IOKit-objektiin tallennettu kernel-osoitin pystyttiin hakemaan käyttäjätilasta. Ongelma on ratkaistu poistamalla osoitin objektista.
CVE-ID
CVE-2014-1375
Intel Compute
Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.
Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: OpenCL:n API-kutsun käsittelyssä oli tarkistusongelma. Ongelma ratkaistiin parantamalla rajojen tarkistusta.
CVE-ID
CVE-2014-1376: Ian Beer (Google Project Zero)
IOAcceleratorFamily
Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.
Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: IOAcceleratorFamilyssa oli järjestelmän indeksointiongelma. Ongelma ratkaistiin parantamalla rajojen tarkistusta.
CVE-ID
CVE-2014-1377: Ian Beer (Google Project Zero)
IOGraphicsFamily
Saatavuus: OS X Mavericks 10.9–10.9.3.
Vaikutus: Paikallinen käyttäjä pystyi lukemaan kernel-osoittimen, jota voitiin käyttää ohittamaan kernel-osoitetilan asettelun satunnaistaminen.
Kuvaus: IOKit-objektiin tallennettu kernel-osoitin pystyttiin hakemaan käyttäjätilasta. Ongelma on ratkaistu käyttämällä yksilöllistä tunnistetta osoittimen sijaan.
CVE-ID
CVE-2014-1378
IOReporting
Saatavuus: OS X Mavericks 10.9–10.9.3.
Vaikutus: Paikallinen käyttäjä pystyi aiheuttamaan järjestelmän odottamattoman uudelleenkäynnistyksen.
Kuvaus: IOKit API-argumenttien käsittelyssä oli nollaosoittimen epäviittausongelma. Ongelma on ratkaistu IOKit API-argumenttien lisätarkistuksella.
CVE-ID
CVE-2014-1355: Venustech Adlabin cunzhang
launchd
Saatavuus: OS X Mavericks 10.9–10.9.3.
Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: launchd:ssä oli kokonaisluvun alivuoto. Ongelma ratkaistiin parantamalla rajojen tarkistusta.
CVE-ID
CVE-2014-1359: Google Project Zeron Ian Beer
launchd
Saatavuus: OS X Mavericks 10.9–10.9.3.
Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: launchd:n tavassa käsitellä IPC-viestejä oli kekopuskurin ylivuoto. Ongelma ratkaistiin parantamalla rajojen tarkistusta.
CVE-ID
CVE-2014-1356: Google Project Zeron Ian Beer
launchd
Saatavuus: OS X Mavericks 10.9–10.9.3.
Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: launchd:n tavassa käsitellä lokiviestejä oli kekopuskurin ylivuoto. Ongelma ratkaistiin parantamalla rajojen tarkistusta.
CVE-ID
CVE-2014-1357: Google Project Zeron Ian Beer
launchd
Saatavuus: OS X Mavericks 10.9–10.9.3.
Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: launchd:ssä oli kokonaisluvun ylivuoto. Ongelma ratkaistiin parantamalla rajojen tarkistusta.
CVE-ID
CVE-2014-1358: Google Project Zeron Ian Beer
Näytönohjaimen ajurit
Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.
Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Kernel-näytönohjaimissa oli useita tyhjän epäviittauksen ongelmia. Haitallinen 32-bittinen suoritettava tiedosto saattoi pystyä saamaan laajemmat käyttöoikeudet.
CVE-ID
CVE-2014-1379: Ian Beer (Google Project Zero)
Suojaus – Avainnippu
Saatavuus: OS X Mavericks 10.9–10.9.3.
Vaikutus: Hyökkääjä saattoi pystyä kirjoittamaan ikkunoihin näytön ollessa lukittuna.
Kuvaus: Joissakin harvinaisissa tapauksissa näytön lukitus ei saanut haltuunsa näppäinpainalluksia. Tällöin hyökkääjä pystyi kirjoittamaan ikkunoihin näytön ollessa lukittuna. Ongelma on ratkaistu parantamalla näppäinpainallusten tarkkailun hallintaa.
CVE-ID
CVE-2014-1380: Ben Langfeld (Mojo Lingo LLC)
Suojaus – Secure Transport
Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.
Vaikutus: Kaksi tavua muistia saattoi paljastua etähyökkääjälle.
Kuvaus: DTLS-viestien käsittelyssä TLS-yhteydessä oli alustamattoman muistin käyttöongelma. Ongelma on ratkaistu hyväksymällä DTLS-yhteydessä ainoastaan DTLS-viestejä.
CVE-ID
CVE-2014-1361: The Adium Projectin Thijs Alkemade
Thunderbolt
Saatavuus: OS X Mavericks 10.9–10.9.3.
Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: IOThunderBoltControllerin API-kutsujen käsittelyssä oli rajojen ulkopuolisen muistin käyttöongelma. Ongelma ratkaistiin parantamalla rajojen tarkistusta.
CVE-ID
CVE-2014-1381: Sarah (alias winocm)
Kohta päivitetty 3.2.2020