À propos de la mise à jour de sécurité 2014-002

Ce document décrit les correctifs de sécurité de la mise à jour de sécurité 2014-002.

La mise à jour correspondante peut être téléchargée et installée via l’outil Mise à jour de logiciels ou à partir de la page Téléchargements du site d’Apple.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des informations supplémentaires sur la sécurité produit d’Apple, consultez le site web Sécurité produit d’Apple.

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article « Comment utiliser la clé PGP du groupe de sécurité produit d’Apple ».

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.

Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article « Mises à jour de sécurité Apple ».

• CFNetwork HTTPProtocol

  Disponible pour : OX Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 et OS X Mavericks 10.9.2

  Conséquence : un attaquant occupant une position privilégiée sur le réseau peut obtenir les informations d’identification d’un site web.

  Description : les en-têtes HTTP Set-Cookie étaient traités même si la connexion était interrompue avant que la ligne d’en-tête ne soit complète. Un attaquant pouvait supprimer les paramètres de sécurité du cookie en forçant la fermeture de la connexion avant que les paramètres de sécurité ne soient envoyés, puis obtenir la valeur du cookie non protégé. Ce problème a été résolu en ignorant les lignes d’en-tête HTTP incomplètes.

  Référence CVE

  CVE-2014-1296 : Antoine Delignat-Lavaud de Prosecco à Inria Paris

• CoreServicesUIAgent

  Disponible pour : OS X Mavericks 10.9.2

  Conséquence : la consultation d’une URL ou d’un site web malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code

  Description : un problème de chaîne de format existait dans la gestion des URL. Il a été résolu par une validation supplémentaire des URL. Ce problème ne concerne pas les systèmes antérieurs à OS X Mavericks.

  Référence CVE

  CVE-2014-1315 : Lukasz Pilorz de runic.pl, Erik Kooistra

• FontParser

  Disponible pour : OS X Mountain Lion 10.8.5

  Conséquence : l’ouverture d’un fichier PDF malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code

  Description : il existait un dépassement de mémoire tampon dans la gestion des polices dans les fichiers PDF. Ce problème a été résolu par une vérification supplémentaire des limites. Ce problème ne concerne pas les systèmes OS X Mavericks.

  Référence CVE

  CVE-2013-5170 : Will Dormann de CERT/CC

• Heimdal Kerberos

  Disponible pour : OS X Mavericks 10.9.2

  Conséquence : un attaquant distant peut provoquer un déni de service

  Description : il existait un problème de type « reachable abort » dans la gestion des données ASN.1 Il a été résolu par une validation supplémentaire des données ASN.1.

  Référence CVE

  CVE-2014-1316 : Joonas Kuorilehto de Codenomicon

• ImageIO

  Disponible pour : OS X Mavericks 10.9.2

  Conséquence : l’affichage d’une image JPEG malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code

  Description : il existait un dépassement de mémoire tampon dans la gestion par ImageIO des images JPEG. Ce problème a été résolu par une meilleure vérification des limites. Ce problème ne concerne pas les systèmes antérieurs à OS X Mavericks.

  Référence CVE

  CVE-2014-1319 : Cristian Draghici de Modulo Consulting, Karl Smith de NCC Group

• Intel Graphics Driver

  Disponible pour : OS X Mountain Lion 10.8.5 et OS X Mavericks 10.9.2

  Conséquence : une application malveillante peut prendre le contrôle du système

  Description : un problème de validation existait dans la gestion d’un pointeur provenant de l’espace utilisateur. Il a été résolu par une validation supplémentaire des pointeurs.

  Référence CVE

  CVE-2014-1318 : Ian Beer de Google Project Zero, en collaboration avec le programme Zero Day Initiative de HP

• IOKit Kernel

  Disponible pour : OS X Mavericks 10.9.2

  Conséquence : un utilisateur local peut lire les pointeurs de noyau, ce qui peut permettre de contourner la distribution aléatoire de l’espace d’adressage des noyaux

  Description : un ensemble de pointeurs de noyaux stocké dans un objet IOKit pouvait être récupéré à partir de l’espace utilisateur. Ce problème a été résolu par le retrait des pointeurs de cet objet.

  Référence CVE

  CVE-2014-1320 : Ian Beer de Google Project Zero, en collaboration avec le programme Zero Day Initiative de HP

• Kernel

  Disponible pour : OS X Mavericks 10.9.2

  Conséquence : un utilisateur local peut lire un pointeur du noyau, ce qui peut permettre de contourner la distribution aléatoire de l’espace d’adressage du noyau

  Description : un pointeur du noyau stocké dans un objet XNU pouvait être récupéré à partir de l’espace utilisateur. Ce problème a été résolu par le retrait du pointeur de cet objet.

  Référence CVE

  CVE-2014-1322 : Ian Beer de Google Project Zero

• Power Management

  Disponible pour : OS X Mavericks 10.9.2

  Conséquence : l’écran peut ne pas se verrouiller

  Description : en cas d’appui sur une touche ou de contact avec le trackpad juste après la fermeture du couvercle, le système peut avoir tenté de se réactiver pendant la mise en veille, ce qui aurait entraîné le déverrouillage de l’écran. Ce problème a été résolu en ignorant l’appui sur les touches pendant la mise en veille. Ce problème ne concerne pas les systèmes antérieurs à OS X Mavericks.

  Référence CVE

  CVE-2014-1321 : Paul Kleeberg de Stratis Health Bloomington MN, Julian Sincu chez the Baden-Wuerttemberg Cooperative State University (DHBW Stuttgart), Gerben Wierda de R&A, Daniel Luz

• Ruby

  Disponible pour : OS X Mavericks 10.9.2

  Conséquence : l’exécution d’un script Ruby qui gère des balises YAML non fiables peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code

  Description : il existait un dépassement d’entier dans la gestion par LibYAML des balises YAML. Ce problème a été résolu par une validation supplémentaire des balises YAML. Ce problème ne concerne pas les systèmes antérieurs à OS X Mavericks.

  Référence CVE

  CVE-2013-6393

• Ruby

  Disponible pour : OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 et OS X Mavericks 10.9.2

  Conséquence : l’exécution d’un script Ruby qui utilise des données non fiables pour créer un objet Float peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code

  Description : un problème de dépassement de tas existait dans Ruby lors de la conversion d’une chaîne en valeur à virgule flottante. Il a été résolu par une validation supplémentaire des valeurs à virgule flottante.

  Référence CVE

  CVE-2013-4164

• Sécurité - Secure Transport

  Disponible pour : OS X Mountain Lion 10.8.5 et OS X Mavericks 10.9.2

  Conséquence : un attaquant disposant d’une position privilégiée sur le réseau peut capturer des données ou modifier les opérations effectuées dans les sessions protégées par SSL

  Description : dans le cadre d’une attaque par « triple poignée de main », il était possible pour un attaquant d’établir deux connexions avec les mêmes clés de chiffrement et la même poignée de main, d’insérer ses données dans une connexion et de renégocier pour que les connexions puissent être transmises l’une à l’autre. Pour empêcher les attaques basées sur ce scénario, Secure Transport a été modifié de sorte que, par défaut, une renégociation doit présenter le même certificat de serveur que celui présenté lors de la connexion initiale. Ce problème ne concerne pas les systèmes Mac OS X 10.7 et versions ultérieures.

  Référence CVE

  CVE-2014-1295 : Antoine Delignat-Lavaud, Karthikeyan Bhargavan et Alfredo Pironti de Prosecco à Inria Paris

• WindowServer

  Disponible pour : OS X Mountain Lion 10.8.5 et OS X Mavericks 10.9.2

  Conséquence : des applications malveillantes peuvent exécuter du code arbitraire en dehors de la sandbox

  Description : des sessions WindowServer pouvaient être créées par des applications « sandbox ». Ce problème a été résolu en interdisant aux applications « sandbox » de créer des sessions WindowServer.

  Référence CVE

  CVE-2014-1314 : KeenTeam en collaboration avec le programme Zero Day Initiative de HP

• Remarque : la mise à jour de sécurité 2014-002 pour les systèmes OS X Mavericks inclut les correctifs de sécurité de Safari 7.0.3.