À propos des correctifs de sécurité de la mise à jour de sécurité 2008-008/Mac OS X 10.5.6

Ce document décrit les correctifs de sécurité de la mise à jour de sécurité 2008-008/Mac OS X 10.5.6, qui peuvent être téléchargés et installés via les préférences de Mise à jour logicielle, ou à partir de la page Téléchargements du site d’assistance d’Apple.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des renseignements supplémentaires sur la sécurité produit d’Apple, consultez le site Web Sécurité produit d’Apple .

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article Comment utiliser la clé PGP du groupe de sécurité produit d’Apple.

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des renseignements supplémentaires.

Pour en savoir plus sur les autres mises à jour de sécurité, consultez l’article Versions de sécurité d’Apple.

Mise à jour de sécurité 2008-008/Mac OS X 10.5.6

• ATS

  Référence CVE : CVE-2008-4236

  Disponible pour : Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : l’affichage ou le téléchargement d’un fichier PDF contenant une police intégrée malveillante peut entraîner un déni de service.

  Description : une boucle infinie peut se produire dans la gestion par le serveur Apple Type Services des polices intégrées dans les fichiers PDF. L’affichage ou le téléchargement d’un fichier PDF contenant une police intégrée malveillante peut entraîner un déni de service. Cette mise à jour résout le problème en effectuant une validation supplémentaire des polices intégrées. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X 10.5. Nous remercions Michael Samarin et Mikko Vihonen de Futurice Ltd. d’avoir signalé ce problème.

• BOM

  Référence CVE : CVE-2008-4217

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : le téléchargement ou l’affichage d’une archive CPIO malveillante peut entraîner l’exécution arbitraire de code ou la fermeture inopinée de l’application.

  Description : un problème de signature existe dans le traitement des en-têtes CPIO par BOM, ce qui peut entraîner un dépassement de mémoire tampon de la pile. Le téléchargement ou l’affichage d’une archive CPIO malveillante peut entraîner l’exécution arbitraire de code ou la fermeture inopinée de l’application. Cette mise à jour résout le problème en effectuant une validation supplémentaire des en-têtes CPIO. Crédit : Apple.

• CoreGraphics

  Référence CVE : CVE-2008-3623

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : l’affichage d’une image malveillante peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code.

  Description : il existe un dépassement de tampon de tas dans la gestion des espaces de couleur dans CoreGraphics. L’affichage d’une page malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Crédit : Apple.

• CoreServices

  Référence CVE : CVE-2008-3170

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : la consultation d’un site web malveillant peut entraîner la divulgation des informations d’identification de l’utilisateur.

  Description : Safari permet aux sites web de définir des cookies pour des domaines de premier niveau spécifiques à un pays, ce qui peut permettre à un attaquant à distance d’effectuer une attaque de fixation de session et de détourner les informations d’identification d’un utilisateur. Cette mise à jour résout le problème en effectuant une validation supplémentaire des noms de domaine. Nous remercions Alexander Clauss d’iCab.de d’avoir signalé ce problème.

• CoreTypes

  Référence CVE : CVE-2008-4234

  Disponible pour : Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : la tentative de lancement de contenu téléchargé non sécurisé peut ne pas entraîner d’avertissement.

  Description : Mac OS X offre la fonctionnalité de validation de téléchargement pour indiquer les fichiers potentiellement dangereux. Des applications comme Safari et d’autres utilisent la validation de téléchargement pour aider à avertir les utilisateurs avant de lancer des fichiers marqués comme potentiellement dangereux. Cette mise à jour s’ajoute à la liste des types potentiellement dangereux. Elle ajoute le type de contenu pour les fichiers qui ont des autorisations exécutables et aucune association d’application spécifique. Ces fichiers sont potentiellement dangereux car ils seront lancés dans Terminal et leur contenu sera exécuté sous forme de commandes. Bien que ces fichiers ne soient pas lancés automatiquement, s’ils sont ouverts manuellement, ils peuvent conduire à l’exécution arbitraire de code. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X v10.5.

• Plug-in Flash Player

  CVE-2007-4324, CVE-2007-6243, CVE-2008-3873, CVE-2008-4401, CVE-2008-4503, CVE-2008-4818, CVE-2008-4819, CVE-2008-4820, CVE-2008-4821, CVE-2008-4822, CVE-2008-4823, CVE-2008-4824, CVE-2008-5361, CVE-2008-5362, CVE-2008-5363

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : plusieurs vulnérabilités dans le plug-in Adobe Flash Player.

  Description : plusieurs problèmes existent dans le plug-in Adobe Flash Player, dont le plus grave peut entraîner l’exécution arbitraire de code lors de l’affichage d’un site web malveillant. Les problèmes sont résolus en effectuant la mise à jour du plug-in Flash Player vers la version 9.0.151.0. De plus amples renseignements sont disponibles sur le site web Adobe à l’adresse http://www.adobe.com/support/security/bulletins/apsb08-20.html

• Kernel

  Référence CVE : CVE-2008-4218

  Disponible pour : Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : un utilisateur local peut obtenir des privilèges système.

  Description : des problèmes de dépassement d’entier existent dans les appels système i386_set_ldt et i386_get_ldt, ce qui peut permettre à un utilisateur local d’exécuter du code arbitraire avec des privilèges système. Cette mise à jour résout les problèmes grâce à une vérification améliorée des limites. Ces problèmes ne concernent pas les systèmes PowerPC. Nous remercions Richard van Eeden d’IOActive, Inc. d’avoir signalé ces problèmes.

• Kernel

  Référence CVE : CVE-2008-4219

  Disponible pour : Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : l’exécution d’un exécutable qui relie les bibliothèques dynamiques sur un partage NFS peut entraîner un arrêt inattendu du système.

  Description : une boucle infinie peut se produire lorsqu’un programme situé sur un partage NFS reçoit une exception. Cela peut entraîner un arrêt inopiné du système. Cette mise à jour résout le problème en améliorant le traitement des exceptions. Nous remercions Ben Loer de la Princeton University d’avoir signalé ce problème.

• Libsystem

  Référence CVE : CVE-2008-4220

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : les applications qui utilisent l’API inet_net_pton peuvent être vulnérables à l’exécution de code arbitraire ou à une fermeture inopinée de l’application.

  Description : il existe un dépassement d’entier dans l’API inet_net_pton de Libsystem, ce qui peut entraîner l’exécution arbitraire de code ou la fermeture inopinée de l’application utilisant l’API. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Cette API n’est normalement pas appelée avec des données non fiables, et aucun cas exploitable de ce problème n’est connu. Cette mise à jour est fournie pour aider à atténuer les attaques potentielles contre toute app utilisant cette API.

• Libsystem

  Référence CVE : CVE-2008-4221

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : les applications qui utilisent l’API strptime peuvent être vulnérables à l’exécution arbitraire de code ou à la fermeture inopinée de l’application.

  Description : un problème de corruption de la mémoire existe dans l’API strptime de Libsystem. L’analyse d’une chaîne de date malveillante peut entraîner l’exécution arbitraire de code ou la fermeture inopinée de l’application. Cette mise à jour résout le problème grâce à une allocation améliorée de la mémoire. Crédit : Apple.

• Libsystem

  Référence CVE : CVE-2008-1391

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : les applications qui utilisent l’API strfmon peuvent être exposées à une fermeture inopinée de l’application ou à l’exécution arbitraire de code.

  Description : il existe plusieurs dépassements d’entiers dans l’implémentation strfmon de Libsystem. Une application qui appelle strfmon avec de grandes valeurs dans certains champs d’entiers dans l’argument chaîne de format peut se terminer de manière inattendue ou conduire à une exécution arbitraire de code. Cette mise à jour résout les problèmes grâce à une vérification améliorée des limites.

• Managed Client

  Référence CVE : CVE-2008-4237

  Disponible pour : Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : les réglages de l’économiseur d’écran géré ne sont pas appliqués.

  Description : la méthode par laquelle le logiciel sur un système client géré installe les informations de configuration par hôte n’identifie pas toujours correctement le système. Sur un système mal identifié, les réglages par hôte ne sont pas appliqués, y compris le verrouillage de l’économiseur d’écran. Cette mise à jour corrige le problème en demandant au client géré d’utiliser l’identification du système correct. Ce problème n’affecte pas les systèmes avec Ethernet intégré. Nous remercions John Barnes d’ESRI et Trevor Lalish-Menagh de Tamman Technologies, Inc. d’avoir signalé ce problème.

• network_cmds

  Référence CVE : CVE-2008-4222

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : un attaquant distant peut provoquer un déni de service si le partage Internet est activé.

  Description : une boucle infinie peut se produire dans la gestion des paquets TCP dans natd. En envoyant un paquet TCP malveillant, un attaquant distant peut être à l’origine d’un déni de service si le partage Internet est activé. Cette mise à jour résout le problème en effectuant une validation supplémentaire des paquets TCP. Nous remercions Alex Rosenberg d’Ohmantics et Gary Teter de Paizo Publishing d’avoir signalé ce problème.

• Podcast Producer

  Référence CVE : CVE-2008-4223

  Disponible pour : Mac OS X Server 10.5 à 10.5.5

  Conséquence : un attaquant distant peut être en mesure d’accéder aux fonctions administratives de Podcast Producer.

  Description : un problème de contournement d’authentification existe dans le serveur de Podcast Producer, ce qui peut permettre à un utilisateur non autorisé d’accéder aux fonctions administratives du serveur. Cette mise à jour résout le problème en améliorant le traitement des restrictions d’accès. Podcast Producer a été ajouté dans Mac OS X Server 10.5.

• UDF

  Référence CVE : CVE-2008-4224

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : l’ouverture d’un fichier ISO peut entraîner un arrêt inattendu du système.

  Description : il existe un problème de validation des entrées dans la gestion des volumes UDF mal formés. L’ouverture d’un fichier ISO malveillant peut entraîner un arrêt inopiné du système. Cette mise à jour résout le problème grâce à une meilleure validation des entrées. Nous remercions Mauro Notarianni de PCAX Solutions d’avoir signalé ce problème.