À propos des correctifs de sécurité de la mise à jour de sécurité 2008-008/Mac OS X 10.5.6

Ce document décrit les correctifs de sécurité de la mise à jour de sécurité 2008-008/Mac OS X 10.5.6, qui peut être téléchargée et installée à partir des préférences Mise à jour de logiciels ou de la page Téléchargements Apple.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des informations supplémentaires sur la sécurité produit d’Apple, consultez le site web Sécurité produit d’Apple.

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article « Comment utiliser la clé PGP du groupe de sécurité produit d’Apple ».

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.

Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article « Mises à jour de sécurité Apple ».

Mise à jour de sécurité 2008-008/Mac OS X 10.5.6

• ATS

  Référence CVE : CVE-2008-4236

  Disponible pour : Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : l’ouverture ou le téléchargement d’un fichier PDF contenant une police intégrée malveillante peut être à l’origine d’un déni de service.

  Description : une boucle infinie peut se produire lors du traitement par le serveur Apple Type Services des polices intégrées de fichiers PDF. L’ouverture ou le téléchargement d’un fichier PDF contenant une police intégrée malveillante peut être à l’origine d’un déni de service. Cette mise à jour résout le problème en procédant à une validation supplémentaire des polices intégrées. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.5. Merci à Michael Samarin et Mikko Vihonen de Futurice Ltd. d’avoir signalé ce problème.

• BOM

  Référence CVE : CVE-2008-4217

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : le téléchargement ou l’ouverture d’une archive CPIO malveillante peut entraîner l’exécution arbitraire de code ou une fermeture inopinée de l’application.

  Description : un problème de signature existe dans la gestion par BOM des en-têtes CPIO, ce qui peut entraîner un dépassement de tampon de pile. Le téléchargement ou l’ouverture d’une archive CPIO malveillante peut entraîner l’exécution arbitraire de code ou une fermeture inopinée de l’application. Cette mise à jour résout le problème en procédant à une validation supplémentaire des en-têtes CPIO. Source : Apple.

• CoreGraphics

  Référence CVE : CVE-2008-3623

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : l’affichage d’une image malveillante peut entraîner une fermeture inopinée de l’application ou l’exécution arbitraire de code.

  Description : un problème de dépassement de tampon de tas existe dans la gestion des espaces colorimétriques dans CoreGraphics. L’affichage d’une image malveillante peut entraîner une fermeture inopinée de l’application ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Source : Apple.

• CoreServices

  Référence CVE : CVE-2008-3170

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : l’accès à un site web malveillant peut entraîner la divulgation des informations d’identification de l’utilisateur.

  Description : Safari autorise les sites web à créer des cookies pour les domaines de niveau supérieur spécifiques au pays, ce qui peut permettre à un utilisateur distant d’effectuer une attaque par fixation de session et de détourner les informations d’identification d’un utilisateur. Cette mise à jour résout le problème en procédant à une validation supplémentaire des noms de domaine. Merci à Alexander Clauss de iCab.de d’avoir signalé ce problème.

• CoreTypes

  Référence CVE : CVE-2008-4234

  Disponible pour : Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : il est possible qu’aucun avertissement ne s’affiche lors d’une tentative d’ouverture d’un contenu téléchargé dangereux.

  Description : Mac OS X intègre une fonctionnalité de validation des téléchargements permettant de détecter les fichiers potentiellement dangereux. La fonctionnalité de validation des téléchargements permet à Safari et à d’autres applications d’avertir les utilisateurs avant d’ouvrir des fichiers identifiés comme étant potentiellement dangereux. Cette mise à jour complète la liste des types potentiellement dangereux en ajoutant le type de contenu pour les fichiers qui disposent d’autorisations d’exécution et ne sont pas associés à une application spécifique. Ces fichiers sont potentiellement dangereux, car ils sont lancés dans Terminal et leur contenu s’exécute sous la forme de commandes. Bien que ces fichiers ne soient pas lancés automatiquement, leur ouverture manuelle peut conduire à l’exécution arbitraire de code. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X version 10.5.

• Flash Player Plug-in

  CVE-2007-4324, CVE-2007-6243, CVE-2008-3873, CVE-2008-4401, CVE-2008-4503, CVE-2008-4818, CVE-2008-4819, CVE-2008-4820, CVE-2008-4821, CVE-2008-4822, CVE-2008-4823, CVE-2008-4824, CVE-2008-5361, CVE-2008-5362, CVE-2008-5363

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : plusieurs failles existent dans le module Adobe Flash Player.

  Description : plusieurs problèmes existent dans le module Adobe Flash Player, dont le plus grave peut entraîner l’exécution arbitraire de code lors de l’accès à un site web malveillant. Les problèmes sont résolus par la mise à jour du module Flash Player vers la version 9.0.151.0. De plus amples informations sont disponibles sur le site web d’Adobe à l’adresse http://www.adobe.com/support/security/bulletins/apsb08-20.html

• Kernel

  Référence CVE : CVE-2008-4218

  Disponible pour : Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : un utilisateur local peut obtenir des privilèges système.

  Description : des problèmes de dépassement d’entier existent dans les appels système i386_set_ldt et i386_get_ldt, ce qui peut permettre à un utilisateur local d’exécuter un code arbitraire avec des privilèges système. Cette mise à jour résout les problèmes par une meilleure vérification des limites. Ces problèmes ne concernent pas les systèmes PowerPC. Merci à Richard van Eeden d’IOActive, Inc. d’avoir signalé ces problèmes.

• Kernel

  Référence CVE : CVE-2008-4219

  Disponible pour : Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : le lancement d’un fichier exécutable liant des bibliothèques dynamiques sur un partage NFS peut entraîner un arrêt inopiné du système.

  Description : une boucle infinie peut se produire lorsqu’un programme situé sur un partage NFS reçoit une exception. Cela peut entraîner un arrêt inopiné du système. Cette mise à jour résout le problème grâce à une meilleure gestion des exceptions. Merci à Ben Loer de l’université de Princeton d’avoir signalé ce problème.

• Libsystem

  Référence CVE : CVE-2008-4220

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : les applications qui utilisent l’API inet_net_pton peuvent être exposées à une exécution arbitraire de code ou à une fermeture inopinée.

  Description : un problème de dépassement d’entier existe dans l’API inet_net_pton de Libsystem, ce qui peut entraîner l’exécution arbitraire de code ou une fermeture inopinée de l’application utilisant l’API. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Normalement, l’API n’est pas appelée avec des données non fiables, et aucun cas exploitable de ce problème n’est connu. Cette mise à jour a été publiée pour réduire le risque d’attaques contre les applications utilisant cette API.

• Libsystem

  Référence CVE : CVE-2008-4221

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : les applications qui utilisent l’API strptime peuvent être exposées à une exécution arbitraire de code ou à une fermeture inopinée.

  Description : un problème de corruption de mémoire existe dans l’API strptime de Libsystem. L’analyse d’une chaîne de date malveillante peut entraîner l’exécution arbitraire de code ou une fermeture inopinée de l’application. Cette mise à jour résout le problème grâce à une meilleure allocation de la mémoire. Source : Apple.

• Libsystem

  Référence CVE : CVE-2008-1391

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : les applications qui utilisent l’API strfmon peuvent être exposées à une fermeture inopinée ou à une exécution arbitraire de code.

  Description : plusieurs problèmes de dépassement d’entier existent dans la mise en œuvre de l’API strfmon de Libsystem. Une application appelant strfmon avec des valeurs élevées pour certains champs d’entier dans l’argument de chaîne de format peut entraîner une fermeture inopinée ou l’exécution arbitraire de code. Cette mise à jour résout les problèmes grâce à une meilleure vérification des limites.

• Managed Client

  Référence CVE : CVE-2008-4237

  Disponible pour : Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : les réglages gérés de l’économiseur d’écran ne sont pas appliqués.

  Description : la méthode par laquelle un système client géré installe des informations de configuration spécifiques à l’hôte n’identifie pas toujours correctement le système. Sur un système identifié de manière incorrecte, les réglages spécifiques à l’hôte ne sont pas appliqués, y compris le verrouillage de l’économiseur d’écran. Cette mise à jour résout le problème en permettant au client géré d’identifier correctement le système. Ce problème ne concerne pas les systèmes dotés d’un port Ethernet intégré. Merci à John Barnes d’ESRI et à Trevor Lalish-Menagh de Tamman Technologies, Inc. d’avoir signalé ce problème.

• network_cmds

  Référence CVE : CVE-2008-4222

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : un attaquant distant peut être à l’origine d’un déni de service si le partage Internet est activé.

  Description : une boucle infinie peut se produire dans le traitement des paquets TCP dans natd. En envoyant un paquet TCP malveillant, un attaquant distant peut être à l’origine d’un déni de service si le partage Internet est activé. Cette mise à jour résout le problème en procédant à une validation supplémentaire des paquets TCP. Merci à Alex Rosenberg d’Ohmantics et à Gary Teter de Paizo Publishing d’avoir signalé ce problème.

• Podcast Producer

  Référence CVE : CVE-2008-4223

  Disponible pour : Mac OS X Server 10.5 à 10.5.5

  Conséquence : un attaquant distant peut accéder aux fonctions d’administration de Podcast Producer.

  Description : un problème de contournement de l’authentification existe dans Podcast Producer Server, ce qui peut permettre à un utilisateur non autorisé d’accéder aux fonctions d’administration du serveur. Cette mise à jour résout le problème grâce à une meilleure gestion des restrictions d’accès. Podcast Producer a été introduit dans Mac OS X Server 10.5.

• UDF

  Référence CVE : CVE-2008-4224

  Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.5, Mac OS X Server 10.5 à 10.5.5

  Conséquence : l’ouverture d’un fichier ISO peut entraîner un arrêt inopiné du système.

  Description : un problème de validation des entrées existe dans la gestion des volumes UDF non conformes. L’ouverture d’un fichier ISO malveillant peut entraîner un arrêt inopiné du système. Cette mise à jour résout le problème grâce à une meilleure validation des entrées. Merci à Mauro Notarianni de PCAX Solutions d’avoir signalé ce problème.