À propos de la Mise à jour de sécurité 2009-005

Ce document décrit la Mise à jour de sécurité 2009-005.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des renseignements supplémentaires sur la sécurité produit d’Apple, consultez le site Web Sécurité produit d’Apple .

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’articleComment utiliser la clé PGP du groupe de sécurité produit d’Apple.

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des renseignements supplémentaires.

Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article Versions de sécurité d’Apple.

Mise à jour de sécurité 2009-005

• Alias Manager

  Référence CVE  : CVE-2009-2800

  Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Conséquence : l’ouverture d’un fichier d’alias malveillant peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code.

  Description : Il existe un dépassement de la mémoire tampon dans la gestion des fichiers d’alias. L’ouverture d’un fichier d’alias malveillant peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Ce problème n’affecte pas les systèmes Mac OS X v10.6. Crédit : Apple.

• CarbonCore

  Référence CVE : CVE-2009-2803

  Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Conséquence : l’ouverture d’un fichier avec une fourchette de ressources malveillante peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code.

  Description : un problème de corruption de mémoire existe dans la gestion des fourchettes de ressources par le Gestionnaire de ressources. L’ouverture d’un fichier ayant une fourchette de ressources malveillante peut entraîner la fermeture inopinée de l’application ou une exécution arbitraire de code. Cette mise à jour résout le problème grâce à une meilleure validation des fourchettes de ressources. Ce problème n’affecte pas les systèmes Mac OS X v10.6. Crédit : Apple.

• ClamAV

  Référence CVE : CVE-2009-1241, CVE-2009-1270, CVE-2008-6680, CVE-2009-1371, CVE-2009-1372

  Disponible pour : Mac OS X Server v10.5.8

  Conséquence : plusieurs vulnérabilités dans ClamAV 0.94.2.

  Description : il existe plusieurs vulnérabilités dans ClamAV 0.94.2, la plus grave pouvant entraîner une exécution arbitraire de code. Cette mise à jour résout les problèmes en mettant à jour ClamAV vers la version 0.95.2. ClamAV n’est distribué que sur les systèmes exécutant Mac OS X Server. Des renseignements supplémentaires sont disponibles sur le site web de ClamAV à l’adresse http://www.clamav.net/ Ces problèmes ne concernent pas les systèmes Mac OS X v10.6.

• ColorSync

  Référence CVE : CVE-2009-2804

  Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Conséquence : l’affichage d’une image malveillante avec un profil ColorSync intégré peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : il existe un dépassement d’entier dans le traitement d’images avec un profil ColorSync intégré, ce qui peut provoquer un dépassement de la mémoire tampon. L’ouverture d’une image malveillante avec un profil ColorSync intégré peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème en effectuant une validation supplémentaire des profils ColorSync. Ce problème n’affecte pas les systèmes Mac OS X v10.6. Crédit : Apple.

• CoreGraphics

  Référence CVE : CVE-2009-2805

  Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Conséquence : l’ouverture d’un fichier PDF malveillant peut provoquer la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : un dépassement d’entier dans le traitement des fichiers PDF par CoreGraphics peut provoquer un dépassement de la mémoire tampon. L’ouverture d’un fichier PDF contenant un flux JBIG2 malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Nous remercions Will Dormann du CERT/CC d’avoir signalé ce problème. Ce problème n’affecte pas les systèmes Mac OS X v10.6.

• CoreGraphics

  Référence CVE : CVE-2009-2468

  Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Conséquence : la visite d’un site Web malveillant peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code.

  Description : il existe un dépassement de la mémoire tampon dans le dessin de longues chaînes de texte. La consultation d’un site Web malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Ce problème n’affecte pas les systèmes Mac OS X v10.6. Merci à Will Drewry de Google Inc. d’avoir signalé ce problème.

• CUPS

  Référence CVE : CVE-2009-0949

  Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Conséquence : un attaquant distant peut être en mesure de refuser l’accès au service de partage d’imprimante.

  Description : une déréférencement de pointeurs « null » existe dans CUPS. En envoyant à plusieurs reprises des demandes malveillantes du programmateur, un attaquant distant peut être en mesure de refuser l’accès au service de partage d’imprimante. Cette mise à jour résout le problème grâce à une validation améliorée des demandes du programmateur. Ce problème n’affecte pas les systèmes Mac OS X v10.6. Nous remercions Anibal Sacco de l’équipe de rédaction CORE IMPACT Exploit (EWT) de Core Security Technologies d’avoir signalé ce problème.

• CUPS

  Référence CVE : CVE-2009-2807

  Disponible pour : Mac OS X 10.5.8, Mac OS X Server 10.5.8

  Conséquence : un utilisateur local non privilégié peut être en mesure d’obtenir des privilèges système.

  Description : il existe un dépassement de la mémoire tampon dans le système dorsal USB CUPS. Cela peut permettre à un utilisateur local d’obtenir des privilèges système. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X v10.5 ou à Mac OS X Server v10.6.

• Flash Player plug-in

  Référence CVE : CVE-2009-1862, CVE-2009-1863, CVE-2009-1864, CVE-2009-1865, CVE-2009-1866, CVE-2009-1867, CVE-2009-1868, CVE-2009-1869, CVE-2009-1870

  Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Conséquence : plusieurs vulnérabilités dans le module d’extension Adobe Flash Player.

  Description : il existe plusieurs problèmes dans le module d’extension Adobe Flash Player, dont le plus grave peut entraîner l’exécution arbitraire de code lors de l’affichage d’un site Web malveillant. Les problèmes sont résolus en effectuant la mise à jour du module d’extension Flash Player sur les systèmes Mac OS 10.5.8 vers la version 10.0.32.18 et vers la version 9.0.246.0 sur les systèmes Mac OS X v10.4.11. Pour les systèmes Mac OS X v10.6, ces problèmes sont dans Mac OS X v10.6.1. De plus amples renseignements sont disponibles sur le site Web Adobe à l’adresse http://www.adobe.com/support/security/bulletins/apsb09-10.html

• ImageIO

  Référence CVE : CVE-2009-2809

  Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Conséquence : l’affichage d’une image TIFF malveillante encodée PixarFilm peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : il existe plusieurs problèmes de corruption de la mémoire dans le traitement des images TIFF encodées PixarFilm par ImageIO. L’affichage d’une image TIFF malveillante encodée PixarFilm peut entraîner la fermeture inopinée d’une application ou l’exécution d’un code arbitraire. Cette mise à jour résout le problème grâce à une validation supplémentaire des images TIFF encodées PixarFilm. Ce problème n’affecte pas les systèmes Mac OS X v10.6. Crédit : Apple.

• Launch Services

  Référence CVE : CVE-2009-2811

  Disponible pour : Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Conséquence : la tentative d’ouverture de contenu téléchargé non sécurisé peut ne pas entraîner d’avertissement.

  Description : cette mise à jour ajoute « .fileloc » à la liste des types de contenu du système qui seront marqués comme potentiellement dangereux dans certaines circonstances, par exemple lorsqu’ils sont téléchargés à partir d’un courriel. Bien que ces types de contenu ne soient pas ouverts automatiquement, s’ils étaient ouverts manuellement, ils pourraient conduire à l’exécution d’une charge utile malveillante. Cette mise à jour améliore la capacité du système à avertir les utilisateurs avant de gérer les fichiers « .fileloc ». Ce problème n’affecte pas les systèmes Mac OS X v10.6. Crédit : Apple.

• Launch Services

  Référence CVE : CVE-2009-2812

  Disponible pour : Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Conséquence : la visite d’un site Web malveillant peut entraîner l’exécution arbitraire de code.

  Description : lorsqu’une application est téléchargée, Launch Services analyse ses types de documents exportés. Un défaut de conception dans la gestion des types de documents exportés peut amener Launch Services à associer une extension de fichier sécurisée à un identificateur de type uniforme (UTI) non sécurisé. La consultation d’un site Web malveillant peut entraîner l’ouverture automatique d’un type de fichier dangereux. Cette mise à jour résout le problème en améliorant le traitement des types de document exportés à partir d’applications non fiables. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X v10.5 ou à Mac OS X Server v10.6. Crédit : Apple.

• MySQL

  Référence CVE : CVE-2008-2079

  Disponible pour : Mac OS X Server v10.5.8

  Conséquence : MySQL est mis à jour vers la version 5.0.82.

  Description : MySQL est mis à jour vers la version 5.0.82 pour résoudre un problème de mise en œuvre qui permet à un utilisateur local d’obtenir des privilèges élevés. Ce problème affecte uniquement les systèmes Mac OS X Server. Ce problème n’affecte pas les systèmes Mac OS X v10.6. Des renseignements supplémentaires sont disponibles sur le site Web de MySQL à l’adresse http://dev.mysql.com/doc/refman/5.0/en/news-5-0-82.html

• PHP

  Référence CVE : CVE-2009-1271, CVE-2009-1272, CVE-2008-5498

  Disponible pour : Mac OS X v10.5, Mac OS X Server v10.5.8

  Conséquence : plusieurs vulnérabilités dans PHP 5.2.8.

  Description : PHP est mis à jour vers la version 5.2.10 pour corriger plusieurs vulnérabilités, la plus grave pouvant entraîner l’exécution arbitraire de code. Des renseignements supplémentaires sont disponibles sur le site Web de PHP à l’adresse http://www.php.net/ Ces problèmes ne concernent pas les systèmes Mac OS X v10.6.

• SMB

  Référence CVE : CVE-2009-2813

  Disponible pour : Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Conséquence : l’activation du partage de fichiers Windows peut partager des dossiers de façon inattendue.

  Description : il existe une condition d’erreur non vérifiée dans Samba. Un utilisateur qui n’a pas de répertoire de départ configuré et qui se connecte au service de partage de fichiers Windows pourra accéder au contenu du système de fichiers, sous réserve des permissions du système de fichiers local. Cette mise à jour résout le problème en améliorant la gestion des erreurs de résolution de parcours. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X v10.5 ou à Mac OS X Server v10.6. Nous remercions J. David Hester de LCG Systems National Institutes of Health d’avoir signalé ce problème.

• Wiki Server

  Référence CVE : CVE-2009-2814

  Disponible pour : Mac OS X Server v10.5.8

  Conséquence : un attaquant distant peut accéder aux comptes d’utilisateurs de Wiki Server.

  Description : il existe un problème de script intersites dans la gestion par Wiki Server des demandes de recherche contenant des données encodées autres que UTF-8. Cela peut permettre à un attaquant distant d’accéder à un serveur Wiki avec les données de connexion de l’utilisateur de Wiki Server effectuant la recherche. Cette mise à jour corrige le problème en définissant UTF-8 comme jeu de caractères par défaut dans les réponses HTTP. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X v10.5 ou à Mac OS X Server v10.6. Crédit : Apple.