À propos des correctifs de sécurité de la mise à jour 2 de Java pour Mac OS X 10.5

Ce document décrit les correctifs de sécurité de la mise à jour 2 de Java pour Mac OS X 10.5.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des renseignements supplémentaires sur la sécurité produit d’Apple, consultez le site Web Sécurité produit d’Apple .

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article Comment utiliser la clé PGP du groupe de sécurité produit d’Apple.

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des renseignements supplémentaires.

Pour en savoir plus sur les autres mises à jour de sécurité, consultez l’article Versions de sécurité d’Apple.

Mise à jour 2 de Java pour Mac OS X 10.5

• Java

  Référence CVE : CVE-2008-3638

  Disponible pour : Mac OS X 10.5.4 et versions ultérieures, Mac OS X Server 10.5.4 et versions ultérieures

  Conséquence : la consultation d’un site web malveillant peut entraîner l’exécution de code arbitraire.

  Description : le module d’extension Java ne bloque pas le lancement des URL de type file:// par les applets. La consultation d’un site web contenant un applet Java malveillant peut permettre à un attaquant distant de lancer des fichiers locaux, ce qui peut conduire à l’exécution de code arbitraire. Cette mise à jour résout le problème en améliorant le traitement des URL. Il s’agit d’un problème propre à Apple. Nous remercions Nitesh Dhanjani et Billy Rios d’avoir signalé ce problème.

• Java

  Référence CVE : CVE-2008-3637

  Disponible pour : Mac OS X 10.5.4 et versions ultérieures, Mac OS X Server 10.5.4 et versions ultérieures

  Conséquence : la consultation d’un site web malveillant peut entraîner l’exécution de code arbitraire.

  Description : il existe un problème de vérification d’erreur entraînant l’utilisation d’une variable non initialisée au niveau du fournisseur HMAC (Hash-based Message Authentication Code) utilisé pour la génération de hachages MD5 et SHA-1. La consultation d’un site web contenant un applet Java malveillant peut entraîner l’exécution de code arbitraire. Cette mise à jour résout le problème grâce à une meilleure gestion des erreurs. Il s’agit d’un problème propre à Apple. Nous remercions Radim Marek d’avoir signalé ce problème.

• Java

  Référence CVE : CVE-2008-1185, CVE-2008-1186, CVE-2008-1187, CVE-2008-1188, CVE-2008-1189, CVE-2008-1190, CVE-2008-1191, CVE-2008-1192, CVE-2008-1195, CVE-2008-1196, CVE-2008-3104, CVE-2008-3107, CVE-2008-3108, CVE-2008-3111, CVE-2008-3112, CVE-2008-3113, CVE-2008-3114

  Disponible pour : Mac OS X 10.5.4 et versions ultérieures, Mac OS X Server 10.5.4 et versions ultérieures

  Conséquence : plusieurs vulnérabilités dans Java 4.1.2_16.

  Description : il existe plusieurs vulnérabilités dans Java 4.1.2_16, la plus grave permettant à des applets Java non fiables d’obtenir des privilèges élevés. La consultation d’une page web contenant un applet Java malveillant peut entraîner l’exécution de code arbitraire. Ces problèmes sont résolus par la mise à jour de Java 1.4 vers la version 1.4.2_18. Des renseignements supplémentaires sont disponibles sur le site web de Sun Java à l’adresse http://java.sun.com/j2se/1.4.2/ReleaseNotes.html

• Java

  Référence CVE : CVE-2008-1185, CVE-2008-1186, CVE-2008-1187, CVE-2008-1188, CVE-2008-1189, CVE-2008-1190, CVE-2008-1191, CVE-2008-1192, CVE-2008-1193, CVE-2008-1194, CVE-2008-1195, CVE-2008-1196, CVE-2008-3103, CVE-2008-3104, CVE-2008-3107, CVE-2008-3111, CVE-2008-3112, CVE-2008-3113, CVE-2008-3114, CVE-2008-3115

  Disponible pour : Mac OS X 10.5.4 et versions ultérieures, Mac OS X Server 10.5.4 et versions ultérieures

  Conséquence : il existe plusieurs vulnérabilités dans Java 1.5.0_13.

  Description : il existe plusieurs vulnérabilités dans Java 1.5.0_13, la plus grave permettant à des applets Java non fiables d’obtenir des privilèges élevés. La consultation d’une page web contenant un applet Java malveillant peut entraîner l’exécution de code arbitraire. Ces problèmes sont résolus par la mise à jour de Java 1.5 vers la version 1.5.0_16. Des renseignements supplémentaires sont disponibles sur le site Web de Sun Java à l’adresse http://java.sun.com/j2se/1.5.0/ReleaseNotes.html

• Java

  Référence CVE : CVE-2008-3103, CVE-2008-3104, CVE-2008-3105, CVE-2008-3106, CVE-2008-3107, CVE-2008-3109, CVE-2008-3110, CVE-2008-3111, CVE-2008-3112, CVE-2008-3113, CVE-2008-3114, CVE-2008-3115

  Disponible pour : Mac OS X 10.5.4 ou version ultérieure, Mac OS X Server 10.5.4 ou version ultérieure

  Conséquence : plusieurs vulnérabilités dans Java 1.6.0_05.

  Description : plusieurs vulnérabilités existent dans Java 1.6.0_05, la plus grave permettant à des applets Java non fiables d’obtenir des privilèges élevés. La consultation d’une page web contenant un applet Java malveillant peut entraîner l’exécution de code arbitraire. Ces problèmes sont résolus par la mise à jour de Java 1.6 vers la version 1.6.0_07. Des renseignements supplémentaires sont disponibles sur le site web de Sun Java à l’adresse http://java.sun.com/javase/6/webnotes/ReleaseNotes.html

• Java

  Disponible pour : Mac OS X 10.5.4 et versions ultérieures, Mac OS X Server 10.5.4 et versions ultérieures

  Conséquence : capacité limitée des applications à utiliser des clés cryptographiques plus sécurisées.

  Description : la politique de sécurité par défaut de Java 1.5 sur Mac OS X 10.5 limite à 128 bits la longueur maximale des clés cryptographiques prises en charge par JCE (Java Cryptography Extension). Cette mise à jour corrige le problème en ne limitant pas la longueur maximale des clés cryptographiques. Nous remercions Bruno Harbulot de l’Université de Manchester d’avoir signalé ce problème.