À propos des correctifs de sécurité de Mac OS X 10.6.7 et de la mise à jour de sécurité 2011-001

Ce document décrit les correctifs de sécurité de Mac OS X 10.6.7 et de la mise à jour de sécurité 2011-001.

Ce document décrit les correctifs de sécurité de Mac OS X 10.6.7 et de la mise à jour de sécurité 2011-001, que vous pouvez télécharger et installer via les préférences de Mise à jour logicielle ou depuis la page Téléchargements du site d’assistance Apple.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Pour obtenir des informations supplémentaires sur la sécurité produit d’Apple, consultez la page Sécurité produit d’Apple.

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article Comment utiliser la clé PGP du groupe de sécurité produit d’Apple.

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.

Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article Mises à jour de sécurité Apple.

Mac OS X 10.6.7 et mise à jour de sécurité 2011-001

  • AirPort

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : un attaquant connecté au même réseau Wi-Fi peut provoquer une réinitialisation du système.

    Description : un problème de division par zéro existait dans la gestion des trames Wi-Fi. Un attaquant, connecté au même réseau Wi-Fi, peut provoquer une réinitialisation du système. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X 10.6.

    Référence CVE

    CVE-2011-0172

  • Apache

    Disponible pour : Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : Apache 2.2.15 comporte plusieurs vulnérabilités.

    Description : la mise à jour 2.2.17 d’Apache permet de résoudre plusieurs vulnérabilités, la plus grave pouvant entraîner un refus de service. Des informations supplémentaires sont disponibles sur le site Web d’Apache, à l’adresse http://httpd.apache.org/.

    Référence CVE

    CVE-2010-1452

    CVE-2010-2068

  • AppleScript

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’exécution d’une application basée sur AppleScript Studio autorisant la transmission d’une entrée non fiable à une boîte de dialogue peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : un problème de chaîne de format existait dans les commandes génériques de boîte de dialogue d’AppleScript Studio (« afficher une boîte de dialogue » et « afficher une alerte »). L’exécution d’une application basée sur AppleScript Studio autorisant la transmission d’une entrée non fiable à une boîte de dialogue peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Référence CVE

    CVE-2011-0173 : Alexander Strange.

  • ATS

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’affichage ou le téléchargement d’un document contenant une police malveillant peut entraîner l’exécution arbitraire de code.

    Description : il existait un problème de dépassement de la mémoire tampon au niveau de la gestion des polices OpenType. L’affichage ou le téléchargement d’un document contenant une police malveillante pouvait entraîner l’exécution arbitraire de code.

    Référence CVE

    CVE-2011-0174

  • ATS

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’affichage ou le téléchargement d’un document contenant une police malveillant peut entraîner l’exécution arbitraire de code.

    Description : il existait plusieurs problèmes de dépassement de la mémoire tampon au niveau de la gestion des polices TrueType. L’affichage ou le téléchargement d’un document contenant une police malveillante pouvait entraîner l’exécution arbitraire de code.

    Référence CVE

    CVE-2011-0175 : Christoph Diehl de Mozilla, Felix Grobert de Google Security Team, Marc Schoenefeld de Red Hat Security Response Team, Tavis Ormandy et Will Drewry de Google Security Team.

  • ATS

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’affichage ou le téléchargement d’un document contenant une police malveillant peut entraîner l’exécution arbitraire de code.

    Description : il existait plusieurs problèmes de dépassement de la mémoire tampon au niveau de la gestion des polices Type 1. L’affichage ou le téléchargement d’un document contenant une police malveillante pouvait entraîner l’exécution arbitraire de code.

    Référence CVE

    CVE-2011-0176 : Felix Grobert de Google Security Team, en collaboration avec le programme Zero Day Initiative de TippingPoint.

  • ATS

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’affichage ou le téléchargement d’un document contenant une police malveillant peut entraîner l’exécution arbitraire de code.

    Description : il existait de multiples problèmes de dépassement de la mémoire tampon au niveau de la gestion des tables SFNT. L’affichage ou le téléchargement d’un document contenant une police malveillante pouvait entraîner l’exécution arbitraire de code.

    Référence CVE

    CVE-2011-0177 : Marc Schoenefeld de Red Hat Security Response Team.

  • bzip2

    Disponible pour : Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’utilisation de l’outil de ligne de commande bzip2 ou bunzip2 pour décompresser un fichier bzip2 peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : il existait un problème de dépassement d’entier au niveau de la gestion des fichiers compressés bzip2 par bzip2. L’utilisation de l’outil de ligne de commande bzip2 ou bunzip2 pour décompresser un fichier bzip2 peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Référence CVE

    CVE-2010-0405

  • CarbonCore

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : les applications utilisant FSFindFolder() avec l’indicateur kTemporaryFolderType peuvent présenter un risque de divulgation d’informations locales.

    Description : lorsqu’elle est utilisée avec l’indicateur kTemporaryFolderType, l’API FSFindFolder() renvoie un répertoire lisible par tous. Ce problème est résolu en renvoyant un répertoire qui n’est lisible que par l’utilisateur sous l’identité duquel le processus s’exécute.

    Référence CVE

    CVE-2011-0178

  • ClamAV

    Disponible pour : Mac OS X Server 10.5.8, Mac OS X Server 10.6.6.

    Conséquences : ClamAV comporte plusieurs vulnérabilités.

    Description : ClamAV présente plusieurs vulnérabilités, la plus grave pouvant entraîner l’exécution arbitraire de code. Les problèmes sont résolus par la mise à jour de ClamAV vers la version 0.96.5. ClamAV est seulement distribué avec les systèmes Mac OS X Server. Des informations supplémentaires sont disponibles sur le site Web de ClamAV, à l’adresse http://www.clamav.net.

    Référence CVE

    CVE-2010-0405

    CVE-2010-3434

    CVE-2010-4260

    CVE-2010-4261

    CVE-2010-4479

  • CoreText

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’affichage ou le téléchargement d’un document contenant une police malveillant peut entraîner l’exécution arbitraire de code.

    Description : il existait un problème de corruption de la mémoire au niveau de la gestion par CoreText des fichiers de polices. L’affichage ou le téléchargement d’un document contenant une police malveillante pouvait entraîner l’exécution arbitraire de code.

    Référence CVE

    CVE-2011-0179 : Christoph Diehl de Mozilla.

  • Mise en quarantaine de fichiers

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : définition ajoutée.

    Description : la définition OSX.OpinionSpy a été ajoutée à la vérification des logiciels malveillants effectuée par la fonction de mise en quarantaine de fichiers.

  • HFS

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : un utilisateur local peut être en mesure de lire des fichiers arbitraires depuis un système de fichiers HFS, HFS+ ou HFS+J.

    Description : un problème de dépassement d’entier existait au niveau de la gestion de la requête ioctl F_READBOOTSTRAP. Un utilisateur local est susceptible peut être en mesure de lire des fichiers arbitraires depuis un système de fichiers HFS, HFS+ ou HFS+J.

    Référence CVE

    CVE-2011-0180 : Dan Rosenberg de Virtual Security Research.

  • ImageIO

    Disponible pour : Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : la consultation d’un site Web malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : la gestion par ImageIO des images JPEG présentait un dépassement de la mémoire tampon. La consultation d’un site Web malveillant pouvait entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

     

    Référence CVE

    CVE-2011-0170 : Andrzej Dyjak, en collaboration avec iDefense VCP.

  • ImageIO

    Disponible pour : Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’affichage d’une image XBM malveillante peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : un problème de dépassement d’entier existait au niveau de la gestion par ImageIO des images XBM. L’affichage d’une image XBM malveillante peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Référence CVE

    CVE-2011-0181 : Harry Sintonen.

  • ImageIO

    Disponible pour : Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’affichage d’une image TIFF malveillante peut entraîner un blocage inattendu des applications ou l’exécution arbitraire de code.

    Description : la gestion par libTIFF des images TIFF encodées en JPEG présentait un dépassement de la mémoire tampon. L’affichage d’une image TIFF malveillante peut entraîner un blocage inattendu des applications ou l’exécution arbitraire de code.

    Référence CVE

    CVE-2011-0191 : Apple.

  • ImageIO

    Disponible pour : Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’affichage d’une image TIFF malveillante peut entraîner un blocage inattendu des applications ou l’exécution arbitraire de code.

    Description : la gestion par libTIFF des images TIFF encodées en CCITT Groupe 4 présente un dépassement de la mémoire tampon. L’affichage d’une image TIFF malveillante peut entraîner un blocage inattendu des applications ou l’exécution arbitraire de code.

    Référence CVE

    CVE-2011-0192 : Apple.

  • ImageIO

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’affichage d’une image TIFF avec codage JPEG malveillant peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : un problème de dépassement d’entier existait au niveau de la gestion par ImageIO des images TIFF avec codage JPEG. L’affichage d’une image TIFF malveillante peut entraîner un blocage inattendu des applications ou l’exécution arbitraire de code. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X 10.6.

    Référence CVE

    CVE-2011-0194 : Dominic Chell de NGS Secure.

  • Image RAW

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’affichage d’une image RAW Canon malveillante peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : plusieurs problèmes de dépassement de mémoire tampon existaient au niveau de la gestion par Image RAW des images RAW Canon. L’affichage d’une image RAW Canon malveillante peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Référence CVE

    CVE-2011-0193 : Paul Harrington de NGS Secure.

  • Programme d’installation

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : la consultation d’un site Web malveillant peut conduire à l’installation d’un agent qui entre en communication avec un serveur quelconque lorsque l’utilisateur se connecte, en faisant croire à celui-ci que la connexion a été établie avec un serveur Apple.

    Description : un problème de traitement des URL au niveau de l’assistant d’installation peut conduire à l’installation d’un agent qui entre en communication avec un serveur quelconque lorsque l’utilisateur se connecte. La boîte de dialogue qui s’affiche en cas d’échec de la connexion peut faire croire à l’utilisateur que la tentative de connexion concernait un serveur Apple. Ce problème est résolu en supprimant l’assistant d’installation.

    Référence CVE

    CVE-2011-0190 : Aaron Sigel de vtty.com.

  • Kerberos

    Disponible pour : Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : plusieurs vulnérabilités dans MIT Kerberos 5.

    Description : plusieurs problèmes cryptographiques existaient dans MIT Kerberos 5. Seule la référence CVE-2010-1323 affecte Mac OS X 10.5. Des informations supplémentaires concernant ces problèmes et les correctifs appliqués sont disponibles via le site Web MIT Kerberos, disponible à l’adresse http://web.mit.edu/Kerberos/.

    Référence CVE

    CVE-2010-1323

    CVE-2010-1324

    CVE-2010-4020

    CVE-2010-4021

  • Noyau

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : un utilisateur local peut exécuter un code arbitraire avec des privilèges système.

    Description : un problème existait au niveau de la vérification des privilèges dans la gestion par l’appel système i386_set_ldt des « callgate ». Un utilisateur local peut exécuter un code quelconque avec des privilèges système. Ce problème est résolu en interdisant la création d’entrées « callgate » via i386_set_ldt().

    Référence CVE

    CVE-2011-0182 : Jeff Mears.

  • Libinfo

    Disponible pour : Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : un attaquant distant peut provoquer un déni de service sur des hôtes exportant des systèmes de fichiers NFS.

    Description : un problème de troncature d’entier existait dans la gestion par Libinfo des paquets RPC NFS. Un attaquant distant peut faire en sorte que certains services RPC NFS (tels que lockd, statd, mountd et portmap) cessent de répondre.

    Référence CVE

    CVE-2011-0183 : Peter Schwenk de l’université du Delaware.

  • libxml

    Disponible pour : Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : la consultation d’un site Web malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : la gestion des Xpath par libxml présentait un problème de corruption de la mémoire. La consultation d’un site Web malveillant pouvait entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Référence CVE

    CVE-2010-4008 : Bui Quang Minh de Bkis (www.bkis.com).

  • libxml

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : la consultation d’un site Web malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : un problème double existait au niveau de la gestion par libxml des expressions XPath. La consultation d’un site Web malveillant peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X 10.6.

    Référence CVE

    CVE-2010-4494 : Yang Dingning de NCNIPC, Graduate University of Chinese Academy of Sciences.

  • Mailman

    Disponible pour : Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : plusieurs vulnérabilités dans Mailman 2.1.13.

    Description : plusieurs problèmes de scriptage intersite existaient dans Mailman 2.1.13. Ceux-ci sont résolus par la mise à jour de Mailman vers la version 2.1.14. Pour obtenir des informations supplémentaires, consultez le site Mailman à l’adresse http://mail.python.org/pipermail/mailman-announce/2010-September/000154.html.

    Référence CVE

    CVE-2010-3089

  • PHP

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : vulnérabilités multiples dans PHP 5.3.3.

    Description : la mise à jour 5.3.4 de PHP résout plusieurs vulnérabilités, la plus grave pouvant entraîner l’exécution arbitraire de code. Des informations supplémentaires sont disponibles sur le site Web de PHP, à l’adresse http://www.php.net.

    Référence CVE

    CVE-2006-7243

    CVE-2010-2950

    CVE-2010-3709

    CVE-2010-3710

    CVE-2010-3870

    CVE-2010-4150

    CVE-2010-4409

  • PHP

    Disponible pour : Mac OS X 10.5.8, Mac OS X Server 10.5.8.

    Conséquence : vulnérabilités multiples dans PHP 5.2.14.

    Description : la mise jour 5.2.15 de PHP résout plusieurs vulnérabilités, la plus grave étant susceptible d’entraîner une exécution arbitraire de code. Des informations supplémentaires sont disponibles sur le site Web de PHP, à l’adresse http://www.php.net.

    Référence CVE

    CVE-2010-3436

    CVE-2010-3709

    CVE-2010-4150

  • QuickLook

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : le téléchargement d’un fichier Excel malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : il existait un problème de corruption de la mémoire au niveau de la gestion par QuickLook des fichiers Excel. Le téléchargement d’un fichier Excel construit de manière malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X 10.6.

    Référence CVE

    CVE-2011-0184 : Tobias Klein, en collaboration avec Verisign iDefense Labs.

  • QuickLook

    Disponible pour : Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : le téléchargement d’un fichier Microsoft Office malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : un problème de corruption de la mémoire existait au niveau de la gestion, par QuickLook, des fichiers Microsoft Office. Le téléchargement d’un fichier Microsoft Office malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Référence CVE

    CVE-2011-1417 : Charlie Miller et Dion Blazakis, en collaboration avec le programme Zero Day Initiative de TippingPoint.

  • QuickTime

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’affichage d’une image JPEG2000 malveillante avec QuickTime peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : plusieurs problèmes de corruption de la mémoire existaient au niveau de la gestion par QuickTime des images JPEG2000. L’affichage d’une image JPEG2000 malveillante avec QuickTime peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Référence CVE

    CVE-2011-0186 : Will Dormann du CERT/CC.

  • QuickTime

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’ouverture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : un problème de dépassement d’entier existait au niveau de la gestion, par QuickTime, des fichiers vidéo. La lecture d’un fichier vidéo conçu de manière malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code. Pour Mac OS X 10.5, ce problème a été résolu dans QuickTime 7.6.9.

    Référence CVE

    CVE-2010-4009 : Honggang Ren de Fortinet FortiGuard Labs.

  • QuickTime

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’affichage d’une image FlashPix malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : il existait un problème de corruption de la mémoire au niveau de la gestion par QuickTime des images FlashPix. L’affichage d’une image FlashPix construite de manière malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code. Pour Mac OS X 10.5, ce problème a été résolu dans QuickTime 7.6.9.

    Référence CVE

    CVE-2010-3801 : Damian Put, en collaboration avec le programme Zero Day Initiative de TippingPoint et Rodrigo Rubira Branco de la Check Point Vulnerability Discovery Team.

  • QuickTime

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : la consultation d’un site Web malveillant peut entraîner la divulgation de données vidéo issues d’un autre site.

    Description : un problème d’origine multiple existait dans la gestion par le module externe QuickTime des redirections intersite. Conséquence : la consultation d’un site Web malveillant peut entraîner la divulgation de données vidéo issues d’un autre site. Ce problème est résolu en empêchant QuickTime de suivre les redirections intersite.

    Référence CVE

    CVE-2011-0187 : Nirankush Panchbhai et Microsoft Vulnerability Research (MSVR).

  • QuickTime

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’ouverture d’un fichier vidéo QTVR malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : un problème de corruption de la mémoire existait dans la gestion par QuickTime des atomes de panoramas dans les fichiers vidéo QTVR (QuickTime Virtual Reality). L’affichage d’un fichier vidéo QTVR construit de manière malveillante peut conduire à un blocage inattendu de l’application ou à l’exécution arbitraire de code. Pour Mac OS X 10.5, ce problème a été résolu dans QuickTime 7.6.9.

    Référence CVE

    CVE-2010-3802 : chercheur anonyme, en collaboration avec Zero Day Initiative de TippingPoint.

  • Ruby

    Disponible pour : Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : l’exécution d’un script Ruby utilisant des entrées non fiables pour créer un objet BigDecimal peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : un problème de troncature d’entier existait dans la classe BigDecimal de Ruby. L’exécution d’un script Ruby utilisant des entrées non fiables pour créer un objet BigDecimal peut provoquer la fermeture inopinée de l’application ou l’exécution arbitraire de code. Ce problème concerne uniquement les processus Ruby 64 bits.

    Référence CVE

    CVE-2011-0188 : Apple.

  • Samba

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : si le partage de fichiers SMB est activé, un attaquant distant peut provoquer un déni de service ou l’exécution arbitraire de code.

    Description : un problème de dépassement de la mémoire tampon existait au niveau de la gestion, par Samba, des identifiants de sécurité Windows. Si le partage de fichiers SMB était activé, un attaquant distant pouvait provoquer un déni de service ou l’exécution arbitraire de code.

    Référence CVE

    CVE-2010-3069

  • Subversion

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : les serveurs Subversion utilisant le réglage de configuration mod_dav_svn personnalisé « SVNPathAuthz short_circuit » sont susceptibles d’autoriser des utilisateurs à accéder à certaines parties du référentiel.

    Description : les serveurs Subversion utilisant le réglage de configuration mod_dav_svn personnalisé « SVNPathAuthz short_circuit » sont susceptibles d’autoriser des utilisateurs à accéder à certaines parties du référentiel. Ce problème est résolu par la mise à jour de Subversion vers la version 1.6.13. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.6.

    Référence CVE

    CVE-2010-3315

  • Terminal

    Disponible pour : Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : lorsque ssh est utilisé dans la boîte de dialogue de nouvelle connexion à distance de Terminal, l’option SSH version 1 est sélectionnée comme version de protocole par défaut.

    Description : lorsque ssh est utilisé dans la boîte de dialogue de nouvelle connexion à distance de Terminal, l’option SSH version 1 est sélectionnée comme version de protocole par défaut. Ce problème est résolu par le réglage de la version de protocole par défaut sur « Automatique ». Ce problème n’affecte pas les systèmes antérieurs à Mac OS X 10.6.

    Référence CVE

    CVE-2011-0189 : Matt Warren d’HNW Inc.

  • X11

    Disponible pour : Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6 à 10.6.6, Mac OS X Server 10.6 à 10.6.6.

    Conséquence : plusieurs vulnérabilités existent dans FreeType.

    Description : plusieurs vulnérabilités existaient dans FreeType, la plus grave pouvant entraîner l’exécution arbitraire de code lors du traitement d’une police malveillante. Ces problèmes sont résolus par la mise à jour de FreeType vers la version 2.4.4. Des informations supplémentaires sont disponibles sur le site Web de FreeType, à l’adresse http://www.freetype.org/.

    Référence CVE

    CVE-2010-3814

    CVE-2010-3855

 

Les informations se rapportant à des produits non fabriqués par Apple, ou à des sites Web indépendants qui ne sont ni contrôlés ni testés par Apple, sont fournies uniquement à titre indicatif et ne constituent aucune recommandation. Apple ne saurait être tenu responsable de problèmes liés à l’utilisation de tels sites ou produits tiers, ou à leurs performances. Apple ne garantit en aucune façon la fiabilité d’un site Web tiers ni l’exactitude des informations que ce dernier propose. Contactez le fournisseur pour plus d’informations.

Date de publication: