À propos des correctifs de sécurité de la mise à jour de sécurité 2009-003/Mac OS X 10.5.8

Ce document décrit les correctifs de sécurité de la mise à jour de sécurité 2009-003/Mac OS X 10.5.8, qui peut être téléchargée et installée via les préférences Mise à jour de logiciels ou depuis la page Téléchargements Apple.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des informations supplémentaires sur la sécurité produit d’Apple, consultez le site web Sécurité produit d’Apple.

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article « Comment utiliser la clé PGP du groupe de sécurité produit d’Apple ».

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.

Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article Mises à jour de sécurité Apple.

Mise à jour de sécurité 2009-003/Mac OS X 10.5.8

• bzip2

  Référence CVE : CVE-2008-1372

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : la décompression de données malveillantes peut entraîner la fermeture inopinée de l’application.

  Description : il est possible d’accéder à la mémoire hors limites dans bzip2. L’ouverture d’un fichier compressé malveillant peut entraîner la fermeture inopinée de l’application. Cette mise à jour résout le problème en mettant à jour bzip2 vers la version 1.0.5. De plus amples informations sont disponibles sur le site web de bzip2 à l’adresse : http://bzip.org/

• CFNetwork

  Référence CVE : CVE-2009-1723

  Disponible pour : Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : un site web malveillant peut contrôler l’URL affichée dans un message d’avertissement relatif à la certification du site.

  Description : lorsque Safari se rend sur un site web par le biais d’une redirection 302 et qu’un message d’avertissement relatif à la certification du site s’affiche, ce message contient l’URL du site web d’origine au lieu de l’URL du site actuel. Cela permet à un site web malveillant, vers lequel le système a été redirigé par le biais d’un dispositif ouvert installé sur un site web de confiance, de contrôler l’URL affichée dans un message d’avertissement relatif à la certification du site. Ce problème a été résolu en remettant la bonne URL dans la couche CFNetwork sous-jacente. Les systèmes antérieurs à Mac OS X 10.5 ne sont pas concernés. Merci à Kevin Day de Your.Org. et à Jason Mueller de l’Université de l’Indiana d’avoir signalé ce problème.

• ColorSync

  Référence CVE : CVE-2009-1726

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : l’affichage d’une image malveillante avec un profil ColorSync intégré peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : il existe un problème de dépassement de la mémoire tampon du tas dans la gestion des images avec un profil ColorSync intégré. L’ouverture d’une image malveillante avec un profil ColorSync intégré peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème en procédant à une validation supplémentaire des profils ColorSync. Merci à Chris Evans de l’équipe de sécurité de Google d’avoir signalé ce problème.

• CoreTypes

  Référence CVE : CVE-2009-1727

  Disponible pour : Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : aucun avertissement ne vient mettre en garde les utilisateurs lorsqu’ils ouvrent des contenus potentiellement dangereux de certains types.

  Description : cette mise à jour complète la liste des contenus du système considérés comme étant potentiellement dangereux dans certaines circonstances, par exemple lorsqu’ils sont téléchargés depuis une page web. Bien que ces types de contenu ne se lancent pas automatiquement, ils peuvent entraîner l’exécution d’une charge utile JavaScript malveillante en cas d’ouverture manuelle. Cette mise à jour améliore la capacité du système à avertir les utilisateurs avant qu’ils ne manipulent des types de contenu utilisés par Safari. Merci à Brian Mastenbrook et à Clint Ruoho de Laconic Security d’avoir signalé ce problème.

• Dock

  Référence CVE : CVE-2009-0151

  Disponible pour : Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : une personne ayant un accès physique à un système verrouillé peut utiliser les gestes Multi-Touch à quatre doigts.

  Description : l’économiseur d’écran ne bloque pas les gestes Multi-Touch à quatre doigts, ce qui permet à une personne ayant physiquement accès à un système verrouillé de gérer des applications ou d’utiliser Exposé. Cette mise à jour résout le problème en bloquant comme il se doit les gestes Multi-Touch lorsque l’économiseur d’écran est activé. Seuls les systèmes équipés d’un trackpad Multi-Touch sont concernés.

• Image RAW

  Référence CVE : CVE-2009-1728

  Disponible pour : Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : l’affichage d’une image RAW malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : il existe un problème de dépassement de la mémoire tampon de la pile dans la gestion des images RAW Canon. L’affichage d’une image RAW Canon malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Ce problème est déjà résolu sur les systèmes Mac OS X 10.4 grâce à la version 2.6 de la mise à jour de compatibilité avec le format RAW des appareils photo numériques (Digital Camera RAW Compatibility Update). Merci à Chris Ries de Carnegie Mellon University Computing Services d’avoir signalé ce problème.

• ImageIO

  Référence CVE : CVE-2009-1722

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : l’affichage d’une image OpenEXR malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : il existe un problème de dépassement de la mémoire tampon du tas dans la gestion, par ImageIO, des images OpenEXR. L’affichage d’une image OpenEXR malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème en mettant à jour OpenEXR vers la version 1.6.1. Merci à Lurene Grenier de Sourcefire VRT et à Chris Ries de Carnegie Mellon University Computing Services d’avoir signalé ce problème.

• ImageIO

  Référence CVE : CVE-2009-1721

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : l’affichage d’une image OpenEXR malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : il existe un problème d’accès à la mémoire non initialisée dans la gestion, par ImageIO, des images OpenEXR. L’affichage d’une image OpenEXR malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème en procédant à une initialisation appropriée de la mémoire et à une validation supplémentaire des images OpenEXR. Source : Apple.

• ImageIO

  Référence CVE : CVE-2009-1720

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : l’affichage d’une image OpenEXR malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : plusieurs problèmes de dépassement d’entier existent dans la gestion, par ImageIO, des images OpenEXR. L’affichage d’une image OpenEXR malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout les problèmes par une meilleure vérification des limites. Source : Apple.

• ImageIO

  Référence CVE : CVE-2009-2188

  Disponible pour : Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : l’affichage d’une image malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : il existe un problème de dépassement de la mémoire tampon dans la gestion, par ImageIO, des métadonnées EXIF. L’affichage d’une image malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X version 10.5.

• ImageIO

  Référence CVE : CVE-2009-0040

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : le traitement d’une image PNG malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : il existe un problème de pointeur non initialisé dans la gestion des images PNG. Le traitement d’une image PNG malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème en procédant à une validation supplémentaire des images PNG. Merci à Tavis Ormandy, de l’équipe de sécurité de Google, d’avoir signalé ce problème.

• Kernel

  Référence CVE : CVE-2009-1235

  Disponible pour : Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : un utilisateur local est susceptible d’obtenir les privilèges système.

  Description : un problème d’implémentation existe dans la gestion, par le noyau, des appels au système fcntl. Un utilisateur local peut écraser la mémoire du noyau et exécuter un code arbitraire à l’aide des privilèges système. Cette mise à jour résout le problème grâce à une meilleure gestion des appels système fcntl. Merci à Razvan Musaloiu-E. de l’Université Johns Hopkins, HiNRG d’avoir signalé ce problème.

• launchd

  Référence CVE : CVE-2009-2190

  Disponible pour : Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : l’ouverture de nombreuses connexions vers un service launchd inetd peut provoquer un déni de service.

  Description : l’ouverture de nombreuses connexions vers un service launchd inetd peut pousser launchd à bloquer la gestion des connexions entrantes vers ce service jusqu’à redémarrage du système. Cette mise à jour résout le problème grâce à une meilleure gestion des erreurs.

• Login Window

  Référence CVE : CVE-2009-2191

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : un problème de chaîne de format dans Login Window peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire.

  Description : un problème de chaîne de format dans la gestion, par Login Window, des noms d’application peut entraîner la fermeture inopinée de l’application ou l’exécution de code arbitraire. Cette mise à jour résout le problème en améliorant la gestion des noms d’application. Merci à Alfredo Pesoli de 0xcafebabe.it d’avoir signalé ce problème.

• MobileMe

  Référence CVE : CVE-2009-2192

  Disponible pour : Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : les identifiants de connexion à MobileMe ne s’effacent pas lors de la déconnexion.

  Description : un problème de logique existe dans la sous-fenêtre des préférences de MobileMe. La déconnexion de la sous-fenêtre des préférences n’a pas pour effet d’effacer tous les identifiants. Une personne ayant accès à un compte utilisateur local peut continuer à accéder à d’autres systèmes associés au compte MobileMe sur lequel quelqu’un d’autre s’était connecté pour ce même compte local. Cette mise à jour résout le problème en effaçant tous les identifiants au moment de la déconnexion.

• Networking

  Référence CVE : CVE-2009-2193

  Disponible pour : Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : la réception d’un paquet de réponses AppleTalk malveillant peut entraîner l’exécution de code arbitraire avec les privilèges système ou un arrêt inopiné du système.

  Description : il existe un problème de dépassement de la mémoire tampon dans la gestion, par le noyau, des paquets de réponses AppleTalk. La réception d’un paquet de réponses AppleTalk malveillant peut entraîner l’exécution de code arbitraire avec les privilèges système ou l’arrêt inopiné du système. Cette mise à jour résout le problème en améliorant la validation des paquets de réponses AppleTalk. Merci à Ilja van Sprundel de IOActive d’avoir signalé ce problème.

• Networking

  Référence CVE : CVE-2009-2194

  Disponible pour : Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : un utilisateur local peut provoquer l’arrêt inopiné du système.

  Description : il existe un problème de synchronisation dans la gestion des envois de descripteurs de fichiers sur des emplacements locaux. En envoyant des messages contenant des descripteurs de fichiers vers un emplacement qui ne dispose d’aucun récepteur, un utilisateur local peut provoquer l’arrêt inopiné du système. Cette mise à jour résout le problème en améliorant la gestion des envois de descripteurs de fichiers. Merci à Bennet Yee de Google Inc. d’avoir signalé ce problème.

• XQuery

  Référence CVE : CVE-2008-0674

  Disponible pour : Mac OS X 10.5 à 10.5.7, Mac OS X Server 10.5 à 10.5.7

  Conséquence : le traitement d’un contenu XML malveillant peut entraîner l’exécution de code arbitraire.

  Description : il existe un problème de dépassement de la mémoire tampon dans la gestion des catégories de caractères que l’on peut trouver dans les expressions régulières de la bibliothèque Perl Compatible Regular Expressions (PCRE) utilisée par XQuery. Un attaquant peut dès lors exécuter à distance un code arbitraire par le biais d’une expression régulière qui contient un plan regroupant un grand nombre de caractères dont les points de code Unicode sont supérieurs à 255. Cette mise à jour résout le problème en installant la version 7.6 de PCRE.