Tietoja OS X Mavericks 10.9.4:n ja suojauspäivitys 2014-003:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan OS X Mavericks 10.9.4:n ja suojauspäivitys 2014-003:n turvallisuussisällöstä.

Päivityksen voi ladata ja asentaa Ohjelmiston päivityksen avulla tai Applen tukisivustolta.

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustossa.

Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.

CVE ID -tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.

Huomautus: OS X Mavericks 10.9.4:ssä on Safari 7.0.5:n turvallisuussisältö.

OS X Mavericks 10.9.4 ja suojauspäivitys 2014-003

  • Varmenteiden luottamuskäytäntö

    Saatavuus: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.

    Vaikutus: Varmenteiden luottamuskäytäntö on päivitetty.

    Kuvaus: Varmenteiden luottamuskäytäntö on päivitetty. Luettelo varmenteista on osoitteessa http://support.apple.com/kb/HT6005?viewlocale=fi_FI.

  • copyfile

    Saatavuus: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.

    Vaikutus: Haitallisen zip-tiedoston avaaminen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: zip-arkistoissa olevien AppleDouble-tiedostojen käsittelyssä oli muistin rajojen ulkopuolinen tavunvaihto-ongelma. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

    CVE-ID

    CVE-2014-1370: iDefense VCP:n parissa työskentelevä Chaitanya (SegFault)

  • curl

    Saatavuus: OS X Mavericks 10.9–10.9.3.

    Vaikutus: Etähyökkääjä saattoi päästä toisen käyttäjän istuntoon.

    Kuvaus: cURL käytti NTLM-yhteyksiä uudelleen useamman kuin yhden todentamismenetelmän ollessa käytössä, jolloin hyökkääjä pääsi toisen käyttäjän istuntoon.

    CVE-ID

    CVE-2014-0015

  • Dock

    Saatavuus: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.

    Vaikutus: Eristetty ohjelma saattoi pystyä kiertämään eristyksen rajoituksia.

    Kuvaus: Dockin tavassa käsitellä ohjelmien viestejä oli tarkistamattomaan taulukkoindeksiin liittyvä ongelma. Haitallinen viesti saattoi aiheuttaa virheellisen toiminto-osoittimen viittauksen poiston, mikä saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    CVE-ID

    CVE-2014-1371: HP:n Zero Day Initiativen parissa työskentelevä nimetön tutkija

  • Grafiikkaohjain

    Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.

    Vaikutus: Paikallinen käyttäjä pystyi lukemaan kernel-muistin, jota voitiin käyttää ohittamaan kernel-osoitetilan asettelun satunnaistaminen.

    Kuvaus: Järjestelmäkutsun käsittelyssä oli rajojen ulkopuolisen muistin lukuongelma. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

    CVE-ID

    CVE-2014-1372: Google Project Zeron Ian Beer

  • iBooks Commerce

    Saatavuus: OS X Mavericks 10.9–10.9.3.

    Vaikutus: Hyökkääjä, jolla oli pääsy järjestelmään, saattoi saada haltuunsa Apple ID -kirjautumistietoja.

    Kuvaus: iBooks-lokien käsittelyssä oli ongelma. iBooks-prosessi saattoi kirjata Apple ID -kirjautumistietoja iBooks-lokiin, josta järjestelmän muut käyttäjät pystyivät lukemaan ne. Ongelma on ratkaistu estämällä kirjautumistietojen kirjaaminen lokiin.

    CVE-ID

    CVE-2014-1317: Steve Dunham

  • Intelin grafiikkaohjain

    Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.

    Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

    Kuvaus: OpenGL API-kutsun käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

    CVE-ID

    CVE-2014-1373: Google Project Zeron Ian Beer

  • Intelin grafiikkaohjain

    Saatavuus: OS X Mavericks 10.9–10.9.3.

    Vaikutus: Paikallinen käyttäjä pystyi lukemaan kernel-osoittimen, jota voitiin käyttää ohittamaan kernel-osoitetilan asettelun satunnaistaminen.

    Kuvaus: IOKit-objektiin tallennettu kernel-osoitin pystyttiin hakemaan käyttäjätilasta. Ongelma on ratkaistu poistamalla osoitin objektista.

    CVE-ID

    CVE-2014-1375

  • Intel Compute

    Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.

    Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

    Kuvaus: OpenCL API-kutsun käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

    CVE-ID

    CVE-2014-1376: Google Project Zeron Ian Beer

  • IOAcceleratorFamily

    Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.

    Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

    Kuvaus: IOAcceleratorFamilyssa oli taulukkoindeksointiongelma. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

    CVE-ID

    CVE-2014-1377: Google Project Zeron Ian Beer

  • IOGraphicsFamily

    Saatavuus: OS X Mavericks 10.9–10.9.3.

    Vaikutus: Paikallinen käyttäjä pystyi lukemaan kernel-osoittimen, jota voitiin käyttää ohittamaan kernel-osoitetilan asettelun satunnaistaminen.

    Kuvaus: IOKit-objektiin tallennettu kernel-osoitin pystyttiin hakemaan käyttäjätilasta. Ongelma on ratkaistu käyttämällä yksilöllistä tunnistetta osoittimen sijaan.

    CVE-ID

    CVE-2014-1378

  • IOReporting

    Saatavuus: OS X Mavericks 10.9–10.9.3.

    Vaikutus: Paikallinen käyttäjä pystyi aiheuttamaan järjestelmän odottamattoman uudelleenkäynnistymisen.

    Kuvaus: IOKit API-argumenttien käsittelyssä oli nollaosoittimen epäviittausongelma. Ongelma on ratkaistu IOKit API-argumenttien lisätarkistuksella.

    CVE-ID

    CVE-2014-1355: Venustechin Adlabin cunzhang

  • launchd

    Saatavuus: OS X Mavericks 10.9–10.9.3.

    Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

    Kuvaus: launchd:ssä oli kokonaisluvun alivuoto. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

    CVE-ID

    CVE-2014-1359: Google Project Zeron Ian Beer

  • launchd

    Saatavuus: OS X Mavericks 10.9–10.9.3.

    Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

    Kuvaus: launchd:n tavassa käsitellä IPC-viestejä oli kekopuskurin ylivuoto. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

    CVE-ID

    CVE-2014-1356: Google Project Zeron Ian Beer

  • launchd

    Saatavuus: OS X Mavericks 10.9–10.9.3.

    Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

    Kuvaus: launchd:n tavassa käsitellä lokiviestejä oli kekopuskurin ylivuoto. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

    CVE-ID

    CVE-2014-1357: Google Project Zeron Ian Beer

  • launchd

    Saatavuus: OS X Mavericks 10.9–10.9.3.

    Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

    Kuvaus: launchd:ssä oli kokonaisluvun ylivuoto. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

    CVE-ID

    CVE-2014-1358: Google Project Zeron Ian Beer

  • Näytönohjaimet

    Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.

    Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

    Kuvaus: Kernel-grafiikkaohjaimissa oli useita nollaepäviittausongelmia. Haitallinen 32-bittinen suoritettava tiedosto saattoi pystyä saamaan laajemmat käyttöoikeudet.

    CVE-ID

    CVE-2014-1379: Google Project Zeron Ian Beer

  • Suojaus – Avainnippu

    Saatavuus: OS X Mavericks 10.9–10.9.3.

    Vaikutus: Hyökkääjä saattoi pystyä kirjoittamaan ikkunoihin näytön ollessa lukittuna.

    Kuvaus: Joskus harvoin näytön lukitus ei saanut haltuunsa näppäinpainalluksia. Tällöin hyökkääjä pystyi kirjoittamaan ikkunoihin näytön ollessa lukittuna. Ongelma on ratkaistu parantamalla näppäinpainallusten tarkkailun hallintaa.

    CVE-ID

    CVE-2014-1380: Mojo Lingo LLC:n Ben Langfeld

  • Suojaus – Secure Transport

    Saatavuus: OS X Mountain Lion 10.8.5 ja OS X Mavericks 10.9–10.9.3.

    Vaikutus: Kaksi tavua muistia saattoi paljastua etähyökkääjälle.

    Kuvaus: DTLS-viestien käsittelyssä TLS-yhteydessä oli alustamattoman muistin käyttöongelma. Ongelma on ratkaistu hyväksymällä DTLS-viestejä ainoastaan DTLS-yhteydessä.

    CVE-ID

    CVE-2014-1361: The Adium Projectin Thijs Alkemade

  • Thunderbolt

    Saatavuus: OS X Mavericks 10.9–10.9.3.

    Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

    Kuvaus: IOThunderBoltController API-kutsujen käsittelyssä oli muistin rajojen ylittämiseen liittyvä ongelma. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

    CVE-ID

    CVE-2014-1381: Catherine (eli winocm)

Muita kuin Applen valmistamia tuotteita sekä itsenäisiä verkkosivustoja (joita Apple ei hallitse tai joita se ei ole testannut) koskevat tiedot on tarkoitettu vain tiedoksi. Apple ei suosittele tai tue niitä. Apple ei vastaa muun valmistajan verkkosivustojen tai tuotteiden valikoimasta, suorituskyvystä tai käytöstä. Apple ei vastaa muun valmistajan verkkosivuston oikeellisuudesta tai luotettavuudesta. Internetin käyttöön liittyy riskejä. Pyydä lisätietoja valmistajalta. Muut yritysten ja tuotteiden nimet saattavat olla omistajiensa tavaramerkkejä.

Julkaisupäivämäärä: