Cet article a été archivé et ne sera plus mis à jour par Apple.

À propos des correctifs de sécurité de la mise à jour Mac OS X 10.4.7

Ce document décrit les correctifs de sécurité de la mise à jour Mac OS X 10.4.7, qui peut être téléchargée et installée à partir de Mise à jour de logiciels ou de la page Téléchargements Apple.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des informations supplémentaires sur la sécurité produit d’Apple, consultez le site web Sécurité produit d’Apple.

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article « Comment utiliser la clé PGP du groupe de sécurité produit d’Apple ».

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.

Pour en savoir plus sur les autres mises à jour de sécurité, consultez l’article « Mises à jour de sécurité Apple ».

Mise à jour Mac OS X version 10.4.7

  • AFP

    Référence CVE : CVE-2006-1468

    Disponible pour : Mac OS X version 10.4.6, Mac OS X Server version 10.4.6

    Conséquence : les noms de fichiers et de dossiers peuvent être divulgués à des utilisateurs non autorisés.

    Description : un problème lié au serveur AFP permet aux résultats de recherche d’inclure les noms de fichiers et de dossiers auxquels l’utilisateur qui effectue la recherche n’a pas accès. Cela peut entraîner une divulgation d’informations si les noms eux-mêmes sont des informations confidentielles. Cette mise à jour résout le problème en affichant dans les résultats de recherche uniquement les éléments auxquels l’utilisateur a accès. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.4.

  • ClamAV

    Référence CVE : CVE-2006-1989

    Disponible pour : Mac OS X Server version 10.4.6

    Conséquence : lorsque la détection des virus est configurée pour être mise à jour automatiquement, une base de données miroir malveillante peut entraîner l’exécution arbitraire de code.

    Description : un problème lié à la mise à jour automatique de la base de données de virus de ClamAV peut être à l’origine d’un dépassement de tampon de pile. Une base de données miroir ClamAV malveillante ou détournée peut entraîner l’exécution arbitraire de code avec les privilèges de ClamAV. Le service Mail, la détection des virus et les mises à jour automatiques de la base de données de virus sont désactivés par défaut. Cette mise à jour résout le problème en incorporant ClamAV 0.88.2. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X version 10.4.

  • ImageIO

    Référence CVE : CVE-2006-1469

    Disponible pour : Mac OS X version 10.4.6, Mac OS X Server version 10.4.6

    Conséquence : l’affichage d’une image TIFF malveillante peut entraîner un blocage de l’application ou l’exécution arbitraire de code.

    Description : en concevant avec soin une image TIFF corrompue, un attaquant peut déclencher un dépassement de tampon de pile pouvant entraîner un blocage de l’application ou l’exécution arbitraire de code. Cette mise à jour corrige le problème en procédant à une validation supplémentaire des images TIFF. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.4.

  • launchd

    Référence CVE : CVE-2006-1471

    Disponible pour : Mac OS X version 10.4.6, Mac OS X Server version 10.4.6

    Conséquence : les utilisateurs locaux peuvent obtenir des privilèges élevés.

    Description : une vulnérabilité de chaîne de format dans le programme setuid launchd peut permettre à un utilisateur local authentifié d’exécuter un code arbitraire avec des privilèges système. Le problème est présent dans la fonction de journalisation de launchd. Cette mise à jour résout le problème en procédant à une validation supplémentaire lors de la journalisation de messages. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X version 10.4. Nous remercions Kevin Finisterre de DigitalMunition d’avoir signalé ce problème.

  • OpenLDAP

    Référence CVE : CVE-2006-1470

    Disponible pour : Mac OS X version 10.4.6, Mac OS X Server version 10.4.6

    Conséquence : un attaquant distant peut provoquer un blocage du serveur Open Directory.

    Description : en concevant avec soin une requête LDAP non valide, un attaquant distant peut déclencher une assertion dans le serveur OpenLDAP, entraînant un déni de service. Cette mise à jour résout le problème en abandonnant la requête non valide. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X version 10.4. Nous remercions l’équipe de recherche de Mu Security d’avoir signalé ce problème.

Date de publication: