À propos des correctifs de sécurité de la mise à jour de sécurité 2009-001

Ce document décrit la Mise à jour de sécurité 2009-001, qui peut être téléchargée et installée à l’aide des préférences de Mise à jour logicielle ou à partir de la page Téléchargements d’Apple.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des renseignements supplémentaires sur la sécurité produit d’Apple, consultez le site Web Sécurité produit d’Apple .

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’articleComment utiliser la clé PGP du groupe de sécurité produit d’Apple.

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des renseignements supplémentaires.

Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article Versions de sécurité d’Apple.

Mise à jour de sécurité 2009-001

• AFP Server

  Référence CVE : CVE-2009-0142

  Disponible pour : Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : un utilisateur ayant la possibilité de se connecter à AFP Server peut être en mesure de déclencher un déni de service.

  Description : une condition de course dans AFP Server peut conduire à une boucle infinie. L’énumération de fichiers sur un serveur AFP peut entraîner un déni de service. Cette mise à jour résout le problème grâce à une meilleure logique d’énumération des fichiers. Ce problème affecte uniquement les systèmes exécutant Mac OS X 10.5.6.

• Apple Pixlet Video

  Référence CVE : CVE-2009-0009

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : l’ouverture d’un fichier vidéo malveillant peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code.

  Description : il existe un problème de corruption de la mémoire dans le traitement des fichiers vidéo utilisant le codec Pixlet. L’ouverture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Crédit : Apple.

• CarbonCore

  Référence CVE : CVE-2009-0020

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : l’ouverture d’un fichier avec une fourchette de ressources malveillante peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code.

  Description : un problème de corruption de mémoire existe dans la gestion des fourchettes de ressources par le Gestionnaire de ressources. L’ouverture d’un fichier ayant une fourchette de ressources malveillante peut entraîner la fermeture inopinée de l’application ou une exécution arbitraire de code. Cette mise à jour résout le problème grâce à une meilleure validation des fourchettes de ressources. Crédit : Apple.

• CFNetwork

  Disponible pour : Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : restaure le bon fonctionnement des cookies avec des délais d’expiration nuls.

  Description : cette mise à jour corrige une régression non liée à la sécurité introduite dans Mac OS X 10.5.6. Les cookies peuvent ne pas être correctement définis si un site web tente de définir un cookie de session en fournissant une valeur nulle dans le champ « expiration », plutôt que d’omettre le champ. Cette mise à jour résout le problème en ignorant le champ « expiration » s’il a une valeur nulle.

• CFNetwork

  Disponible pour : Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : restaure le bon fonctionnement des cookies de session entre les applications.

  Description : cette mise à jour corrige une régression non liée à la sécurité introduite dans Mac OS X 10.5.6. CFNetwork peut ne pas enregistrer les cookies sur le disque si plusieurs applications ouvertes tentent de définir des cookies de session. Cette mise à jour résout le problème en s’assurant que chaque application stocke ses cookies de session séparément.

• Certificate Assistant

  Référence CVE : CVE-2009-0011

  Disponible pour : Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : un utilisateur local peut manipuler des fichiers avec les privilèges d’un autre utilisateur exécutant l’Assistant de certification.

  Description : une opération sur un fichier non sécurisé existe dans la gestion des fichiers temporaires par l’Assistant de certification. Cela pourrait permettre à un utilisateur local d’écraser des fichiers avec les privilèges d’un autre utilisateur qui exécute l’Assistant de certification. Cette mise à jour résout le problème en améliorant le traitement des fichiers temporaires. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.5. Crédit : Apple.

• ClamAV

  Référence CVE : CVE-2008-5050, CVE-2008-5314

  Disponible pour : Mac OS X Server 10.4.11, Mac OS X Server 10.5.6

  Conséquence : plusieurs vulnérabilités dans ClamAV 0.94.

  Description : plusieurs vulnérabilités existent dans ClamAV 0.94, la plus grave pouvant entraîner une exécution arbitraire de code. Cette mise à jour résout les problèmes en mettant à jour ClamAV vers la version 0.94.2. ClamAV n’est distribué que sur les systèmes exécutant Mac OS X Server. Des renseignements supplémentaires sont disponibles sur le site web de ClamAV à l’adresse http://www.clamav.net/

• CoreText

  Référence CVE : CVE-2009-0012

  Disponible pour : Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : l’affichage de contenu Unicode malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

  Description : un dépassement de tampon de tas peut se produire lors du traitement des chaînes Unicode dans CoreText. L’utilisation de CoreText pour gérer des chaînes Unicode malveillantes, par exemple lors de l’affichage d’une page web malveillante, peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.5. Nous remercions Rosyna d’Unsanity d’avoir signalé ce problème.

• CUPS

  Référence CVE : CVE-2008-5183

  Disponible pour : Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : la consultation d’un site web malveillant peut entraîner la fermeture inopinée de l’application.

  Description : le dépassement du nombre maximal d’abonnements RSS entraîne un déréférencement de pointeurs « null » dans l’interface web de CUPS. Cela peut entraîner la fermeture inopinée de l’application lors de la consultation d’un site web malveillant. Pour déclencher ce problème, les informations d’identification valides de l’utilisateur doivent être connues de l’attaquant ou mises en cache dans le navigateur web de l’utilisateur. CUPS sera automatiquement redémarré après le déclenchement de ce problème. Cette mise à jour résout le problème en traitant correctement le nombre d’abonnements RSS. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X v10.5.

• DS Tools

  Référence CVE : CVE-2009-0013

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : les mots de passe fournis à dscl sont exposés à d’autres utilisateurs locaux.

  Description : l’outil de ligne de commande dscl exigeait que les mots de passe lui soient transmis dans ses arguments, exposant potentiellement les mots de passe à d’autres utilisateurs locaux. Les mots de passe exposés incluent ceux des utilisateurs et des administrateurs. Cette mise à jour rend le paramètre de mot de passe facultatif, et dscl demandera le mot de passe si nécessaire. Crédit : Apple.

• fetchmail

  Référence CVE : CVE-2007-4565, CVE-2008-2711

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : plusieurs vulnérabilités existent dans fetchmail 6.3.8.

  Description : plusieurs vulnérabilités existent dans fetchmail 6.3.8, la plus grave pouvant entraîner un déni de service. Cette mise à jour résout les problèmes en effectuant la mise à jour vers la version 6.3.9. Des renseignements supplémentaires sont disponibles sur le site web de fetchmail à l’adresse http://fetchmail.berlios.de/

• Folder Manager

  Référence CVE : CVE-2009-0014

  Disponible pour : Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : d’autres utilisateurs locaux peuvent accéder au dossier Téléchargements.

  Description : un problème d’autorisations par défaut existe dans le Gestionnaire de dossiers. Lorsqu’un utilisateur supprime son dossier Téléchargements et que le Gestionnaire de dossiers le recrée, le dossier est créé avec des autorisations d’accès en lecture pour tout le monde. Cette mise à jour résout le problème en faisant en sorte que le Gestionnaire de dossiers limite les autorisations afin que le dossier ne soit accessible que par l’utilisateur. Ce problème affecte uniquement les applications utilisant le Gestionnaire de dossiers. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X 10.5. Nous remercions Graham Perrin de CENTRIM, Université de Brighton, d’avoir signalé ce problème.

• FSEvents

  Référence CVE : CVE-2009-0015

  Disponible pour : Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : en utilisant le cadre FSEvents, un utilisateur local peut être en mesure de voir l’activité du système de fichiers qui ne serait pas disponible autrement.

  Description : un problème de gestion des informations d’identification existe dans fseventsd. En utilisant le cadre FSEvents, un utilisateur local peut être en mesure de voir l’activité du système de fichiers qui ne serait pas disponible autrement. Cela inclut le nom d’un répertoire que l’utilisateur ne pourrait autrement pas voir et la détection d’une activité dans le répertoire à un moment donné. Cette mise à jour résout le problème grâce à une meilleure validation des informations d’identification dans fseventsd. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X 10.5. Nous remercions Mark Dalrymple d’avoir signalé ce problème.

• Network Time

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : la configuration du service Horloge de réseau a été mise à jour.

  Description : par mesure de sécurité proactive, cette mise à jour modifie la configuration par défaut du service Horloge de réseau. Les renseignements relatifs à l’heure et à la version du système ne seront plus disponibles dans la configuration ntpd par défaut. Sur les systèmes Mac OS X 10.4.11, la nouvelle configuration prend effet après un redémarrage du système lorsque le service Horloge de réseau est activé.

• perl

  Référence CVE : CVE-2008-1927

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : l’utilisation d’expressions régulières contenant des caractères UTF-8 peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code.

  Description : il existe un problème de corruption de la mémoire dans la gestion de certains caractères UTF-8 dans les expressions régulières. L’analyse d’expressions régulières malveillantes peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code. Cette mise à jour résout le problème en effectuant une validation supplémentaire des expressions régulières.

• Printing

  Référence CVE : CVE-2009-0017

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : un utilisateur local peut obtenir des privilèges système.

  Description : un problème de traitement d’erreur existe dans csregprinter, ce qui peut entraîner un dépassement de tampon de tas. Cela peut permettre à un utilisateur local d’obtenir des privilèges système. Cette mise à jour résout le problème grâce à une meilleure gestion des erreurs. Nous remercions Lars Haulin d’avoir signalé ce problème.

• python

  Référence CVE : CVE-2008-1679, CVE-2008-1721, CVE-2008-1887, CVE-2008-2315, CVE-2008-2316, CVE-2008-3142, CVE-2008-3144, CVE-2008-4864, CVE-2007-4965, CVE-2008-5031

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : plusieurs vulnérabilités dans python.

  Description : plusieurs vulnérabilités existent dans python, la plus grave pouvant entraîner l’exécution arbitraire de code. Cette mise à jour résout les problèmes en appliquant les correctifs du projet python.

• Remote Apple Events

  Référence CVE : CVE-2009-0018

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : l’envoi d’événements Apple distants peut entraîner la divulgation de renseignements confidentiels.

  Description : un problème de tampon non initialisé existe dans le serveur Événements Apple distants, ce qui peut entraîner la divulgation du contenu de la mémoire aux clients du réseau. Cette mise à jour résout le problème grâce à une initialisation correcte de la mémoire. Crédit : Apple.

• Remote Apple Events

  Référence CVE : CVE-2009-0019

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : l’activation des Événements Apple distants peut provoquer la fermeture inopinée de l’application ou la divulgation de renseignements confidentiels.

  Description : il existe un accès mémoire hors limites dans les Événements Apple distants. L’activation des Événements Apple distants peut entraîner la fermeture inopinée de l’application ou la divulgation de renseignements confidentiels aux clients du réseau. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Crédit : Apple.

• Safari RSS

  Référence CVE : CVE-2009-0137

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : l’accès à une URL « feed: » malveillante peut entraîner l’exécution arbitraire de code.

  Description : plusieurs problèmes de validation d’entrée existent dans la gestion des URL feed: par Safari. Les problèmes permettent l’exécution de JavaScript arbitraire dans la zone de sécurité locale. Cette mise à jour résout les problèmes grâce à une meilleure gestion de JavaScript intégré dans les URL « feed: ». Nous remercions Clint Ruoho de Laconic Security, Billy Rios de Microsoft et Brian Mastenbrook d’avoir signalé ces problèmes.

• servermgrd

  Référence CVE : CVE-2009-0138

  Disponible pour : Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : des attaquants distants peuvent être en mesure d’accéder au Gestionnaire de serveur sans informations d’identification valides.

  Description : un problème dans la validation des informations d’authentification par le Gestionnaire de serveur pourrait permettre à un attaquant distant de modifier la configuration du système. Cette mise à jour résout le problème grâce à une validation supplémentaire des informations d’authentification. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.5. Crédit : Apple.

• SMB

  Référence CVE : CVE-2009-0139

  Disponible pour : Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : la connexion à un système de fichiers SMB malveillant peut conduire à un arrêt inopiné du système ou à l’exécution arbitraire de code avec des privilèges système.

  Description : un dépassement d’entier dans le système de fichiers SMB peut entraîner un dépassement de tampon de tas. La connexion à un système de fichiers SMB malveillant peut entraîner un arrêt inopiné du système ou une exécution arbitraire de code avec des privilèges système. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.5. Crédit : Apple.

• SMB

  Référence CVE : CVE-2009-0140

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : la connexion à un serveur de fichiers SMB malveillant peut provoquer un arrêt inopiné du système.

  Description : il existe un problème d’épuisement de la mémoire dans la gestion des noms des systèmes de fichiers par le système de fichiers SMB. La connexion à un serveur de fichiers SMB malveillant peut entraîner un arrêt inopiné du système. Cette mise à jour résout le problème en limitant la quantité de mémoire allouée par le client pour les noms de systèmes de fichiers. Crédit : Apple.

• SquirrelMail

  Référence CVE : CVE-2008-2379, CVE-2008-3663

  Disponible pour : Mac OS X Server 10.4.11, Mac OS X Server 10.5.6

  Conséquence : plusieurs vulnérabilités dans SquirrelMail.

  Description : SquirrelMail est mis à jour vers la version 1.4.17 pour corriger plusieurs vulnérabilités, la plus grave étant un problème de script intersite. Des renseignements supplémentaires sont disponibles sur le site web de SquirrelMail à l’adresse http://www.SquirrelMail.org/

• X11

  Référence CVE : CVE-2008-1377, CVE-2008-1379, CVE-2008-2360, CVE-2008-2361, CVE-2008-2362

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : plusieurs vulnérabilités dans le serveur X11.

  Description : plusieurs vulnérabilités existent dans le serveur X11. La plus grave d’entre elles peut conduire à l’exécution arbitraire de code avec les privilèges de l’utilisateur exécutant le serveur X11, si l’attaquant peut s’authentifier sur le serveur X11. Cette mise à jour résout les problèmes en appliquant les correctifs X.Org mis à jour. Des renseignements supplémentaires sont disponibles sur le site web de X.Org à l’adresse http://www.x.org/wiki/Development/Security

• X11

  Référence CVE : CVE-2006-1861, CVE-2006-3467, CVE-2007-1351, CVE-2008-1806, CVE-2008-1807, CVE-2008-1808

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11

  Conséquence : plusieurs vulnérabilités dans FreeType 2.1.4.

  Description : plusieurs vulnérabilités existent dans FreeType 2.1.4, la plus grave pouvant entraîner une exécution arbitraire de code lors du traitement d’une police malveillante. Cette mise à jour résout le problème en intégrant les correctifs de sécurité de la version 2.3.6 de FreeType. Des renseignements supplémentaires sont disponibles sur le site de FreeType à l’adresse http://www.freetype.org/. Les problèmes sont déjà résolus dans les systèmes exécutant Mac OS X 10.5.6.

• X11

  Référence CVE : CVE-2007-1351, CVE-2007-1352, CVE-2007-1667

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11

  Conséquence : plusieurs vulnérabilités dans LibX11.

  Description : plusieurs vulnérabilités existent dans LibX11, la plus grave pouvant entraîner une exécution arbitraire de code lors du traitement d’une police malveillante. Cette mise à jour résout les problèmes en appliquant les correctifs X.Org mis à jour. Des renseignements supplémentaires sont disponibles sur le site Web de X.Org à l’adresse http://www.x.org/wiki/Development/Security Ces problèmes n’affectent pas les systèmes exécutant Mac OS X 10.5 ou une version ultérieure.

• XTerm

  Référence CVE : CVE-2009-0141

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Conséquence : un utilisateur local peut envoyer des informations directement vers le Xterm d’un autre utilisateur.

  Description : un problème d’autorisations existe dans Xterm. Lorsqu’il est utilisé avec Luit, Xterm crée des appareils tty accessibles à tous. Cette mise à jour résout le problème en faisant en sorte que Xterm limite les autorisations afin que les appareils ne soient accessibles que par l’utilisateur.