À propos de la mise à jour de sécurité 2008-005

Ce document décrit la mise à jour de sécurité 2008-005, qui peut être téléchargée et installée via les préférences de Mise à jour logicielle ou à partir de la page Téléchargements du site d’assistance Apple.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des renseignements supplémentaires sur la sécurité produit d’Apple, consultez le site Web Sécurité produit d’Apple .

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’articleComment utiliser la clé PGP du groupe de sécurité produit d’Apple.

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des renseignements supplémentaires.

Pour en savoir plus sur les autres mises à jour de sécurité, consultez l’article Versions de sécurité d’Apple.

Mise à jour de sécurité 2008-005

• Open Scripting Architecture

  Référence CVE : CVE-2008-2830

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Conséquence : un utilisateur local peut exécuter des commandes avec des privilèges élevés

  Description : il existe un problème de conception dans les bibliothèques Open Scripting Architecture lorsqu’il s’agit de déterminer si des modules externes de script supplémentaires doivent être chargés vers les applications exécutées avec des privilèges élevés. L’envoi de commandes de script supplémentaires vers une application privilégiée peut permettre l’exécution de code arbitraire avec ces privilèges. Cette mise à jour résout le problème en ne chargeant pas les modules externes de script supplémentaires vers les applications fonctionnant avec les privilèges système. Les problèmes relatifs à ARDAgent et SecurityAgent signalés récemment sont résolus grâce à cette mise à jour. Nous remercions Charles Srstka d’avoir signalé ce problème.

• BIND

  Référence CVE : CVE-2008-1447

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Conséquence : BIND est susceptible de permettre un empoisonnement de la mémoire cache DNS et de renvoyer des informations falsifiées

  Description : le serveur BIND (Berkeley Internet Name Domain) est fourni avec Mac OS X et n’est pas activé par défaut. Lorsqu’il est activé, le serveur BIND fournit la traduction entre les noms d’hôte et les adresses IP. Une faille dans le protocole DNS peut permettre à un attaquant distant d’effectuer des attaques d’empoisonnement de la mémoire cache DNS. En conséquence, les systèmes qui utilisent le serveur BIND pour le protocole DNS peuvent recevoir des informations falsifiées. Cette mise à jour résout le problème en mettant en œuvre la randomisation du port source pour améliorer la protection contre les attaques d’empoisonnement de la mémoire cache. Sur les systèmes Mac OS X 10.4.11, BIND est mis à jour vers la version 9.3.5-P1. Sur les systèmes Mac OS X 10.5.4, BIND est mis à jour vers la version 9.4.2-P1. Nous remercions Dan Kaminsky, d’IOActive, d’avoir signalé ce problème.

• CarbonCore

  Référence CVE : CVE-2008-7259

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Conséquence : le traitement des noms de fichier longs peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire

  Description : il existe une vulnérabilité de dépassement de mémoire tampon basée sur la pile dans le traitement des noms de fichier longs. Le traitement de noms de fichier longs peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Nous remercions Thomas Raffetseder, de l’International Secure Systems Lab, et Sergio « shadown » Alvarez, de n.runs AG, d’avoir signalé ce problème.

• CoreGraphics

  Référence CVE : CVE-2008-2321

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Conséquence : la consultation·d’un site web malveillant peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire

  Description : CoreGraphics comprend des problèmes de corruption de la mémoire dans le traitement des arguments. La transmission d’entrées non fiables à CoreGraphics via une application, telle qu’un navigateur web, peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Nous remercions Michal Zalewski, de Google, d’avoir signalé ce problème.

• CoreGraphics

  Référence CVE : CVE-2008-2322

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Conséquence : l’affichage d’un fichier PDF malveillant peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire

  Description : un dépassement d’entier dans le traitement des fichiers PDF peut provoquer un dépassement de mémoire tampon basée sur le tas. L’affichage d’un fichier PDV malveillant peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème grâce à une validation supplémentaire des fichiers PDF. Nous remercions Pariente Kobi, travaillant pour iDefense VCP, d’avoir signalé ce problème.

• Data Detectors Engine

  Référence CVE : CVE-2008-2323

  Disponible pour : Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Conséquence : l’affichage de messages malveillants en utilisant les détecteurs de données peut provoquer la fermeture inopinée de l’app

  Description : les détecteurs de données permettent d’extraire des informations de référence de contenus textuel ou d’archives. Il existe un problème de consommation des ressources au niveau du traitement des contenus textuels par les détecteurs de données. L’affichage de contenus malveillants dans une application qui utilise les détecteurs de données peut entraîner un déni de service, mais pas l’exécution de code arbitraire. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X v10.5.

• Disk Utility

  Référence CVE : CVE-2008-2324

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11

  Conséquence : un utilisateur local peut obtenir des privilèges système

  Description : l’outil « Réparer les autorisations » de l’utilitaire de disque définit /usr/bin/emacs en setuid. Une fois l’outil Réparer les autorisations exécuté, un utilisateur local peut utiliser emacs pour exécuter des commandes avec des privilèges système. Cette mise à jour résout le problème en corrigeant les autorisations appliquées à emacs dans l’outil Réparer les autorisations. Ce problème ne concerne pas les systèmes exécutant Mac OS X 10.5 ou une version ultérieure. Nous remercions Anton Rang et Brian Timares d’avoir signalé ce problème.

• OpenLDAP

  Référence CVE : CVE-2008-2952

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Conséquence : un attaquant distant peut provoquer la fermeture inopinée d’une application

  Description : il existe un problème au niveau décodage BER ASN.1 d’OpenLDAP. Le traitement d’un message LDAP malveillant peut déclencher une assertion et entraîner la fermeture inopinée de l’application démon OpenLDAP, slapd. Cette mise à jour résout le problème en effectuant une validation supplémentaire des messages LDAP.

• OpenSSL

  Référence CVE : CVE-2007-5135

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Conséquence : un attaquant distant peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire

  Description : il existe un problème de vérification de plage dans la fonction d’utilitaire SSL_get_shared_ciphers() dans OpenSSL. Dans une application utilisant cette fonction, le traitement de paquets malveillants peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème grâce à une vérification améliorée des limites.

• PHP

  Référence CVE : CVE-2008-2051, CVE-2008-2050, CVE-2007-4850, CVE-2008-0599, CVE-2008-0674

  Disponible pour : Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Conséquence : plusieurs vulnérabilités dans PHP 5.2.5

  Description : PHP est mis à jour vers la version 5.2.6 pour corriger plusieurs vulnérabilités, la plus grave pouvant conduire à l’exécution de code arbitraire. Pour en savoir plus, consultez le site de PHP à l’adresse http://www.php.net/ PHP 5.2.x n’est fourni qu’avec les systèmes Mac OS X 10.5.

• QuickLook

  Référence CVE : CVE-2008-2325

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Conséquence : le téléchargement d’un fichier Microsoft Office malveillant peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire

  Description : il existe plusieurs problèmes de corruption de la mémoire dans le traitement des fichiers Microsoft Office par QuickLook. Le téléchargement d’un fichier Microsoft Office malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X v10.5.

• rsync

  Référence CVE : CVE-2007-6199, CVE-2007-6200

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Conséquence : les fichiers hors du répertoire racine du module sont accessibles ou écrasables à distance

  Description : il existe des problèmes de validation des chemins dans le traitement des liens symboliques par rsync lors de l’exécution en mode démon. Le placement de liens symboliques dans un module rsync peut permettre d’accéder à des fichiers hors du répertoire racine du module ou de les écraser. Cette mise à jour résout le problème en améliorant le traitement des liens symboliques. Pour en savoir plus sur les correctifs appliqués, consultez le site de rsync à l’adresse http://rsync.samba.org/