À propos des correctifs de sécurité de la mise à jour de sécurité 2009-003 et de Mac OS X 10.5.8

Ce document décrit les correctifs de sécurité de la mise à jour de sécurité 2009-003/Mac OS X v10.5.8, qui peuvent être téléchargés et installés à l’aide des préférences de Mise à jour logicielle ou à partir des téléchargements d’Apple.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des renseignements supplémentaires sur la sécurité produit d’Apple, consultez le site Web Sécurité produit d’Apple.

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’articleComment utiliser la clé PGP du groupe de sécurité produit d’Apple.

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des renseignements supplémentaires.

Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article Versions de sécurité d’Apple.

Mise à jour de sécurité 2009-003 et Mac OS X 10.5.8

• bzip2

  Référence CVE : CVE-2008-1372

  Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : la décompression de données malveillantes peut provoquer la fermeture inopinée de l’application.

  Description : il existe un accès mémoire hors limites dans bzip2. L’ouverture d’un fichier compressé malveillant peut entraîner la fermeture inopinée de l’application. Cette mise à jour résout le problème en effectuant la mise à jour de bzip2 vers la version 1.0.5. De plus amples renseignements sont disponibles sur le site Web bzip2 à l’adresse http://bzip.org/.

• CFNetwork

  Référence CVE : CVE-2009-1723

  Disponible pour : Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : un site Web malveillant peut contrôler l’URL du site Web affiché dans un avertissement de certificat.

  Description : lorsque Safari se connecte à un site Web via une redirection 302 et qu’un avertissement de certificat s’affiche, l’avertissement contient l’URL du site Web d’origine au lieu de l’URL du site Web actuel. Cela peut permettre à un site Web malveillant qui est atteint via un redirecteur ouvert sur un site Web de confiance de l’utilisateur de contrôler l’URL du site Web affiché dans un avertissement de certificat. Ce problème a été résolu en renvoyant l’URL correcte dans la couche CFNetwork sous-jacente. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X 10.5. Nous remercions Kevin Day de Your.Org et Jason Mueller de l’Université d’Indiana d’avoir signalé ce problème.

• ColorSync

  Référence CVE : CVE-2009-1726

  Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : l’affichage d’une image malveillante avec un profil ColorSync intégré peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : il existe un dépassement de la mémoire tampon du tas dans la gestion des images avec un profil ColorSync intégré. L’ouverture d’une image malveillante avec un profil ColorSync intégré peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème en effectuant une validation supplémentaire des profils ColorSync. Nous remercions Chris Evans, de l’équipe de sécurité de Google, d’avoir signalé ce problème.

• CoreTypes

  Référence CVE : CVE-2009-1727

  Disponible pour : Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : les utilisateurs ne sont pas avertis avant d’ouvrir certains types de contenu potentiellement dangereux.

  Description : cette mise à jour étend la liste des types de contenu du système qui seront marqués comme potentiellement dangereux dans certaines circonstances, par exemple lorsqu’ils sont téléchargés à partir d’une page Web. Bien que ces types de contenu ne soient pas lancés automatiquement, s’ils sont ouverts manuellement, ils pourraient entraîner l’exécution d’une entité JavaScript malveillante. Cette mise à jour améliore la capacité du système à avertir les utilisateurs avant de traiter les types de contenu utilisés par Safari. Nous remercions Brian Mastenbrook et Clint Ruoho, de Laconic Security, d’avoir signalé ce problème.

• Dock

  Référence CVE : CVE-2009-0151

  Disponible pour : Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : une personne ayant un accès physique à un système verrouillé peut utiliser des gestes Multi-Touch à quatre doigts.

  Description : l’économiseur d’écran ne bloque pas les gestes Multi-Touch à quatre doigts, ce qui peut permettre à une personne ayant un accès physique à un système verrouillé de gérer des applications ou d’utiliser Exposé. Cette mise à jour corrige le problème en bloquant correctement les gestes Multi-Touch lorsque l’économiseur d’écran est en cours d’exécution. Ce problème affecte uniquement les systèmes dotés d’un pavé tactile Multi-Touch.

• Image RAW

  Référence CVE : CVE-2009-1728

  Disponible pour : Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : l’affichage d’une image RAW Canon malveillante peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : il existe un dépassement de la mémoire tampon de la pile dans la gestion des images RAW Canon. L’affichage d’une image RAW Canon malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Pour les systèmes Mac OS X 10.4, ce problème est déjà résolu avec la Digital Camera RAW Compatibility Update (mise à jour de compatibilité avec le format RAW des appareils photo numériques) 2.6. Nous remercions Chris Ries de Carnegie Mellon University Computing Services d’avoir signalé ce problème.

• ImageIO

  Référence CVE : CVE-2009-1722

  Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : l’affichage d’une image OpenEXR malveillante peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : il existe un dépassement de la mémoire tampon du tas dans la gestion des images OpenEXR par ImageIO. L’affichage d’une image OpenEXR malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution de code arbitraire. Cette mise à jour résout le problème en mettant à jour OpenEXR vers la version 1.6.1. Nous remercions Lurene Grenier de Sourcefire VRT et Chris Ries de Carnegie Mellon University Computing Services de nous avoir signalé ce problème.

• ImageIO

  Référence CVE : CVE-2009-1721

  Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : l’affichage d’une image OpenEXR malveillante peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : il existe un problème d’accès à la mémoire non initialisé dans la gestion des images OpenEXR par ImageIO. L’affichage d’une image OpenEXR malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution de code arbitraire. Cette mise à jour corrige le problème grâce à une initialisation adéquate de la mémoire et à une validation supplémentaire des images OpenEXR. Crédit : Apple.

• ImageIO

  Référence CVE : CVE-2009-1720

  Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : l’affichage d’une image OpenEXR malveillante peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : il existe plusieurs dépassements d’entiers dans la gestion des images OpenEXR par ImageIO. L’affichage d’une image OpenEXR malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution de code arbitraire. Cette mise à jour résout les problèmes grâce à une vérification améliorée des limites. Crédit : Apple.

• ImageIO

  Référence CVE : CVE-2009-2188

  Disponible pour : Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : l’affichage d’une image malveillante peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : il existe un dépassement de mémoire tampon dans la gestion des métadonnées EXIF par ImageIO. L’affichage d’une page malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X v10.5.

• ImageIO

  Référence CVE : CVE-2009-0040

  Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : le traitement d’une image PNG malveillante peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : il existe un problème de pointeur non initialisé dans la gestion des images PNG. Le traitement d’une image PNG malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème en effectuant une validation supplémentaire des images PNG. Nous remercions Tavis Ormandy, de l’équipe de sécurité de Google, d’avoir signalé ce problème.

• Kernel

  Référence CVE : CVE-2009-1235

  Disponible pour : Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : un utilisateur local peut obtenir des privilèges système.

  Description : un problème de mise en œuvre existe dans la gestion des appels système fcntl par le noyau. Un utilisateur local peut écraser la mémoire du noyau et exécuter un code arbitraire avec des privilèges système. Cette mise à jour résout le problème en améliorant le traitement des appels système fcntl. Nous remercions Razvan Musaloiu-E. de l’Université Johns Hopkins, HiNRG d’avoir signalé ce problème.

• launchd

  Référence CVE : CVE-2009-2190

  Disponible pour : Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : l’ouverture de nombreuses connexions à un service launchd basé sur inetd peut entraîner un déni de service.

  Description : l’ouverture de nombreuses connexions à un service launchd basé sur inetd peut entraîner l’arrêt du traitement des connexions entrantes à ce service jusqu’au prochain redémarrage du système. Cette mise à jour résout le problème grâce à une meilleure gestion des erreurs.

• Login Window

  Référence CVE : CVE-2009-2191

  Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : un problème de chaîne de format dans Login Window peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : un problème de chaîne de format dans la gestion des noms d’application par Login Window peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour corrige le problème par une gestion améliorée des noms d’applications. Nous remercions Alfredo Pesoli de 0xcafebabe.it d’avoir signalé ce problème.

• MobileMe

  Référence CVE : CVE-2009-2192

  Disponible pour : Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : la déconnexion de MobileMe ne supprime pas toutes les informations d’identification.

  Description : il existe un problème de logique dans le volet des préférences de MobileMe. La déconnexion du volet des préférences ne supprime pas toutes les informations d’identification. Une personne ayant accès au compte d’utilisateur local peut continuer à accéder à tout autre système associé au compte MobileMe qui avait déjà été connecté pour ce compte local. Cette mise à jour corrige le problème en supprimant toutes les informations d’identification lors de la déconnexion.

• Networking

  Référence CVE : CVE-2009-2193

  Disponible pour : Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : la réception d’un paquet de réponse AppleTalk malveillant peut entraîner l’exécution de code arbitraire avec des privilèges système ou un arrêt inopiné du système.

  Description : il existe un dépassement de mémoire tampon dans la gestion des paquets de réponse AppleTalk par le noyau. La réception d’un paquet de réponse AppleTalk malveillant peut entraîner une exécution de code arbitraire avec des privilèges système ou un arrêt inopiné du système. Cette mise à jour résout le problème grâce à une meilleure validation des paquets de réponse AppleTalk. Nous remercions Ilja van Sprundel d’IOActive d’avoir signalé ce problème.

• Networking

  Référence CVE : CVE-2009-2194

  Disponible pour : Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : un utilisateur local peut provoquer un arrêt inattendu du système.

  Description : il existe un problème de synchronisation dans la gestion du partage des descripteurs de fichiers sur les sockets locaux. En envoyant des messages contenant des descripteurs de fichiers à une interface sans récepteur, un utilisateur local peut provoquer un arrêt inopiné du système. Cette mise à jour résout le problème en améliorant la gestion du partage de descripteurs de fichiers. Merci à Bennet Yee de Google Inc. d’avoir signalé ce problème.

• XQuery

  Référence CVE : CVE-2008-0674

  Disponible pour : Mac OS X v10.5 à v10.5.7, Mac OS X Server v10.5 à v10.5.7

  Conséquence : le traitement de contenu XML malveillant peut conduire à l’exécution de code arbitraire.

  Description : il existe un dépassement de la mémoire tampon dans la gestion des classes de caractères dans les expressions régulières de la bibliothèque PCRE (Perl Compatible Regular Expressions) utilisée par XQuery. Cela peut permettre à un attaquant distant d’exécuter du code arbitraire via une expression régulière contenant une classe de caractères avec un grand nombre de caractères avec des points de code Unicode supérieurs à 255. Cette mise à jour résout le problème en mettant à jour PCRE vers la version 7.6.