À propos de la mise à jour de sécurité 2008-005

Ce document décrit le contenu de la mise à jour de sécurité 2008-005, qui peut être téléchargée et installée à partir des préférences Mise à jour de logiciels ou de la page Téléchargements Apple.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des informations supplémentaires sur la sécurité produit d’Apple, consultez le site web Sécurité produit d’Apple.

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article « Comment utiliser la clé PGP du groupe de sécurité produit d’Apple ».

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.

Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article « Mises à jour de sécurité Apple ».

Mise à jour de sécurité 2008-005

• Open Scripting Architecture

  Référence CVE : CVE-2008-2830

  Disponible pour : Mac OS X version 10.4.11, Mac OS X Server version 10.4.11, Mac OS X version 10.5.4, Mac OS X Server version 10.5.4

  Conséquence : un utilisateur local peut exécuter des commandes avec des privilèges élevés.

  Description : un problème de conception existe dans les bibliothèques Open Scripting Architecture lors de la détermination du chargement de modules externes de script supplémentaires dans les applications en cours d’exécution avec des privilèges élevés. L’envoi de commandes de script supplémentaires à une application avec des privilèges peut permettre l’exécution d’un code arbitraire avec ces privilèges. Cette mise à jour résout le problème en ne chargeant pas de modules externes de script supplémentaires dans les applications en cours d’exécution avec des privilèges élevés. Les problèmes relatifs à ARDAgent et SecurityAgent signalés récemment sont résolus par cette mise à jour. Nous remercions Charles Srstka d’avoir signalé ce problème.

• BIND

  Référence CVE : CVE-2008-1447

  Disponible pour : Mac OS X version 10.4.11, Mac OS X Server version 10.4.11, Mac OS X version 10.5.4, Mac OS X Server version 10.5.4

  Conséquence : BIND est susceptible d’empoisonner le cache DNS et peut renvoyer des informations falsifiées

  Description : le serveur BIND (Berkeley Internet Name Domain) est distribué avec Mac OS X et n’est pas activé par défaut. Lorsqu’il est activé, le serveur BIND gère la traduction entre les noms d’hôte et les adresses IP. Une faille dans le protocole DNS peut permettre à un attaquant distant d’empoisonner le cache DNS. De ce fait, les systèmes qui ont recours au serveur BIND pour le DNS peuvent recevoir des informations falsifiées. Cette mise à jour résout le problème en mettant en œuvre une randomisation des ports sources afin d’améliorer la résilience contre les attaques d’empoisonnement du cache. Sur les systèmes Mac OS X version 10.4.11, BIND est mis à jour vers la version 9.3.5-P1. Sur les systèmes Mac OS X version 10.5.4, BIND est mis à jour vers la version 9.4.2-P1. Remerciements à Dan Kaminsky d’IOActive pour avoir signalé ce problème.

• CarbonCore

  Référence CVE : CVE-2008-7259

  Disponible pour : Mac OS X version 10.4.11, Mac OS X Server version 10.4.11, Mac OS X version 10.5.4, Mac OS X Server version 10.5.4

  Conséquence : le traitement de noms de fichiers longs peut entraîner une fermeture inopinée de l’application ou l’exécution arbitraire de code

  Description : un dépassement de tampon de pile survient lors de la gestion de noms de fichiers longs. Le traitement de noms de fichiers longs peut entraîner une fermeture inopinée de l’application ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Nous remercions Thomas Raffetseder de l’International Secure Systems Lab et Sergio « shadown » Alvarez de n.runs AG d’avoir signalé ce problème.

• CoreGraphics

  Référence CVE : CVE-2008-2321

  Disponible pour : Mac OS X version 10.4.11, Mac OS X Server version 10.4.11, Mac OS X version 10.5.4, Mac OS X Server version 10.5.4

  Conséquence : la consultation d’un site web malveillant peut entraîner une fermeture inopinée de l’application ou l’exécution arbitraire de code

  Description : CoreGraphics comprend des problèmes de corruption de la mémoire dans le traitement des arguments. La transmission d’une entrée non fiable à CoreGraphics par l’intermédiaire d’une application, telle qu’un navigateur web, peut entraîner une fermeture inopinée de l’application ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Nous remercions Michal Zalewski de Google d’avoir signalé ce problème.

• CoreGraphics

  Référence CVE : CVE-2008-2322

  Disponible pour : Mac OS X version 10.4.11, Mac OS X Server version 10.4.11, Mac OS X version 10.5.4, Mac OS X Server version 10.5.4

  Conséquence : l’affichage d’un fichier PDF malveillant peut entraîner une fermeture inopinée de l’application ou l’exécution arbitraire de code

  Description : un dépassement d’entier dans la gestion des fichiers PDF peut entraîner un dépassement de tampon de tas. L’affichage d’un fichier PDF malveillant peut entraîner une fermeture inopinée de l’application ou l’exécution arbitraire de code. Cette mise à jour résout le problème en procédant à une validation supplémentaire des fichiers PDF. Nous remercions Pariente Kobi, en collaboration avec le programme VPC d’iDefense, d’avoir signalé ce problème.

• Data Detectors Engine

  Référence CVE : CVE-2008-2323

  Disponible pour : Mac OS X version 10.5.4, Mac OS X Server version 10.5.4

  Conséquence : l’affichage de messages malveillants avec Détection de données peut entraîner une fermeture inopinée de l’application

  Description : la fonctionnalité Détection de données permet d’extraire des informations de référence à partir de contenu textuel ou d’archives. Un problème de consommation de ressources existe dans la gestion du contenu textuel par la fonctionnalité Détection de données. L’affichage de contenu malveillant dans une application utilisant la détection de données peut être à l’origine d’un déni de service, mais pas de l’exécution arbitraire de code. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X version 10.5.

• Disk Utility

  Référence CVE : CVE-2008-2324

  Disponible pour : Mac OS X version 10.4.11, Mac OS X Server version 10.4.11

  Conséquence : un utilisateur local peut obtenir des privilèges système

  Description : l’outil de réparation des permissions dans Utilitaire de disque exécute /usr/bin/emacs setuid. Une fois l’exécution de l’outil de réparation des permissions terminée, un utilisateur local peut exécuter des commandes avec des privilèges système à l’aide d’emacs. Cette mise à jour résout le problème en corrigeant les permissions appliquées à emacs dans l’outil de réparation des permissions. Ce problème ne concerne pas les systèmes exécutant Mac OS X 10.5 ou version ultérieure. Nous remercions Anton Rang et Brian Timares d’avoir signalé ce problème.

• OpenLDAP

  Référence CVE : CVE-2008-2952

  Disponible pour : Mac OS X version 10.4.11, Mac OS X Server version 10.4.11, Mac OS X version 10.5.4, Mac OS X Server version 10.5.4

  Conséquence : un attaquant distant peut provoquer une fermeture inopinée de l’application

  Description : un problème existe dans le décodage ASN.1 BER d’OpenLDAP. Le traitement d’un message LDAP malveillant peut déclencher une assertion et entraîner une fermeture inopinée de l’application du démon OpenLDAP, slapd. Cette mise à jour résout le problème en procédant à une validation supplémentaire des messages LDAP.

• OpenSSL

  Référence CVE : CVE-2007-5135

  Disponible pour : Mac OS X version 10.4.11, Mac OS X Server version 10.4.11, Mac OS X version 10.5.4, Mac OS X Server version 10.5.4

  Conséquence : un attaquant distant peut provoquer une fermeture inopinée de l’application ou l’exécution arbitraire de code

  Description : un problème de vérification de la portée existe dans la fonction utilitaire SSL_get_shared_ciphers() d’OpenSSL. Dans une application utilisant cette fonction, le traitement de paquets malveillants peut entraîner une fermeture inopinée de l’application ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites.

• PHP

  Référence CVE : CVE-2008-2051, CVE-2008-2050, CVE-2007-4850, CVE-2008-0599, CVE-2008-0674

  Disponible pour : Mac OS X version 10.5.4, Mac OS X Server version 10.5.4

  Conséquence : présence de plusieurs failles dans PHP 5.2.5

  Description : PHP est mis à jour vers la version 5.2.6 pour corriger plusieurs failles, dont la plus grave peut entraîner l’exécution arbitraire de code. Pour obtenir plus d’informations, consultez le site web de PHP à l’adresse http://www.php.net/ La version 5.2.x de PHP est fournie uniquement avec les systèmes Mac OS X version 10.5.

• QuickLook

  Référence CVE : CVE-2008-2325

  Disponible pour : Mac OS X version 10.4.11, Mac OS X Server version 10.4.11, Mac OS X version 10.5.4, Mac OS X Server version 10.5.4

  Conséquence : le téléchargement d’un fichier Microsoft Office malveillant peut entraîner une fermeture inopinée de l’application ou l’exécution arbitraire de code

  Description : plusieurs problèmes de corruption de la mémoire existent dans la gestion des fichiers Microsoft Office par QuickLook. Le téléchargement d’un fichier Microsoft Office malveillant peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X version 10.5.

• rsync

  Référence CVE : CVE-2007-6199, CVE-2007-6200

  Disponible pour : Mac OS X version 10.4.11, Mac OS X Server version 10.4.11, Mac OS X version 10.5.4, Mac OS X Server version 10.5.4

  Conséquence : les fichiers en dehors du module root sont accessibles ou peuvent être écrasés à distance

  Description : des problèmes de validation des chemins d’accès existent dans la gestion des liens symboliques par rsync lors d’une exécution en mode démon. Le placement des liens symboliques dans un module rsync peut permettre l’accès aux fichiers en dehors du module root ou leur écrasement. Cette mise à jour résout le problème par une meilleure gestion des liens symboliques. Pour obtenir plus d’informations sur les correctifs appliqués, consultez le site web de rsync à l’adresse http://rsync.samba.org/