Mises à jour de sécurité Apple : du 3 octobre 2003 au 11 janvier 2005

Ce document présente les mises à jour de sécurité parues entre le 3 octobre 2003 et le 11 janvier 2005.

Important : Pour obtenir des informations sur les mises à jour de sécurité actuelles, consultez Mises à jour de sécurité Apple.

 

Cet article a été archivé et ne sera plus mis à jour par Apple.

Pour obtenir des informations sur des mises à jour de sécurité antérieures, consultez : Mises à jour de sécurité Apple : jusqu’à août 2003.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été menée et que des correctifs ou mises à jour ne sont pas mis à disposition. Pour en savoir plus sur la sécurité des produits Apple, consultez le site Web Product Security Incident Response d’Apple, Inc.

Clé PGP applicable à la sécurité des produits Apple

Pour en savoir plus, consultez Modalités d’utilisation de la clé PGP applicable à la sécurité des produits Apple.

Mises à jour de sécurité

Les mises à jour de sécurité sont répertoriées ci-après en fonction de la version du logiciel dans lequel elles ont été intégrées pour la première fois. Dans la mesure du possible, des références CVE (Common Vulnerabilities and Exposures) identifient les vulnérabilités.

iTunes 4.7.1

Disponible pour : Mac OS X, Microsoft Windows XP, Microsoft Windows 2000
CVE ID: CAN-2005-0043
Conséquences : Une liste de lecture malicieuse peut provoquer iTunes à quitter inopinément, puis exécuter un code arbitraire
Description: iTunes prend en charge plusieurs formats de liste de lecture. iTunes 4.7.1 règles un débordement de tampon pendant les séquences d’analyse des fichiers de liste de lecture m3u et pls. Ceci pouvait entraîner iTunes à quitter inopinément, puis exécuter un code arbitraire. Merci à Sean de Regge (seanderegge[at]hotmail.com) d'avoir découvert ce problème et à iDEFENSE Labs de l'avoir signalé.

Mise à jour sécurité 2004-12-02

  • Apache
    Disponible pour : Mac OS X Server v10.3.6, Mac OS X Server v10.2.8
    CVE-ID : CAN-2004-1082
    Conséquences : L'authentification Apache mod_digest_apple est vulnérable aux réinsertions frauduleuses.
    Description : Le module mod_digest_apple spécifique à Mac OS X Server repose sur le module mod_digest Apache. Différentes corrections visant à résoudre le problème d'insertion dans le module mod_digest ont été appliquées dans les versions 1.3.31 et 1.3.32 d'Apache (CAN-2003-0987). Cette mise à jour corrige le problème d'insertion du module mod_digest_apple en utilisant les modifications apportées à Apache 1.3.32.
  • Apache
    Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
    CVE-ID : CAN-2003-0020, CAN-2003-0987, CAN-2004-0174, CAN-2004-0488, CAN-2004-0492, CAN-2004-0885, CAN-2004-0940
    Conséquences : Différentes vulnérabilités dans Apache et mod_ssl, dont l'"escalation" des privilèges des utilisateurs locaux, le refus de l'accès à distance et, dans certaines configurations modifiées, l'exécution d'un code arbitraire.
    Description : L'Apache Group a résolu certaines vulnérabilités entre les versions 1.3.29 et 1.3.33. Vous pouvez consulter la page "sécurité" de l'Apache Group pour Apache 1.3 à l'adresse http://www.apacheweek.com/features/security-13. La version d'Apache installée précédemment était la 1.3.29. L'installation par défaut d'Apache n'active pas le module mod_ssl. Cette mise à jour résout tous les problèmes potentiels en faisant évoluer Apache vers la version 1.3.33 et le module compagnon mod_ssl vers la version 2.8.22.
  • Apache
    Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
    CVE-ID : CAN-2004-1083
    Conséquences : Les configurations Apache ne bloquaient pas entièrement l'accès aux fichiers ".DS_Store" ni à ceux commençant par ".ht".
    Description : Une configuration Apache par défaut bloque l'accès aux fichiers commençant par ".ht" grâce à un système sensible à la casse. Le processus d'accès utilisé par le système de fichiers HFS+ Apple est sensible à la casse. Le Finder peut aussi créer des fichiers .DS_Store contenant les noms des fichiers dans des emplacements utilisés pour traiter des pages Web. Cette mise à jour modifie la configuration Apache afin de restreindre l'accès à tous les fichiers commençant par ".ht" ou ".DS_S" sans tenir compte de la casse. Plus d'informations
  • Apache
    Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
    CVE-ID : CAN-2004-1084
    Conséquences : Les données des fichiers et les fichiers de ressource peuvent être retrouvés via HTTP sans passer par les gestionnaires de fichiers Apache habituels.
    Description : Le système de fichiers HFS+ Apple permet aux fichiers de disposer de plusieurs flux de données. Ces flux de données sont directement accessibles via des noms de fichiers spécifiques. Une requête HTTP spécifique peut éviter un gestionnaire de fichiers Apache et accéder directement aux données des fichiers ou au contenu des fichiers de ressource. Cette mise à jour modifie la configuration Apache afin de refuser l'accès aux données des fichiers ou au contenu des fichiers de ressource via leurs noms de fichiers spécifiques. Pour de plus amples informations, voir ce document. Merci à NetSec d'avoir signalé ce problème.
  • Apache 2
    Disponible pour : Mac OS X Server v10.3.6, Mac OS X Server v10.2.8
    CVE-ID : CAN-2004-0747, CAN-2004-0786, CAN-2004-0751, CAN-2004-0748
    Conséquences : Les configurations Apache 2 modifiées pouvaient permettre aux utilisateurs locaux d'accéder à des privilèges supérieurs et à un refus de service à distance.
    Description : Une configuration Apache 2 modifiée, dans laquelle AllowOverride a été activé, pourrait permettre à un utilisateur local d'exécuter un code arbitraire en tant qu'utilisateur Apache (www). Une configuration non modifiée n'est pas sensible à ce problème. Cette mise à jour traite aussi les bugs Apache dans lesquels certains types de requêtes faisaient planter le serveur. La mise à jour Apache est la version 2.0.52. Apache 2 est livré uniquement avec Mac OS X Server et il est désactivé par défaut.
  • Apache
    Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
    CVE-ID : CAN-2004-1081
    Conséquences : Les caractères saisis dans un champ sécurisé peuvent être lus par d'autres applications dans la même session
    Description : Dans certaines circonstances, un champ de saisie sécurisé ne garantit pas une saisie sécurisée. D'autres applications de la même session peuvent alors voir certains caractères et combinaisons clavier. La saisie dans des champs sécurisés est désormais configurée de façon à empêcher toute fuite d'informations.
  • Apache
    Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
    CVE-ID : CAN-2004-0803, CAN-2004-0804, CAN-2004-0886
    Conséquences : Un débordement d'entier et une mauvaise technique de vérification dans la gestion des images tiff pouvaient permettre l'exécution d'un code arbitraire ou un refus de service.
    Description : Une anomalie dans le décodage des images tiff pouvait surcharger la mémoire, entraîner des erreurs arithmétiques sources de pannes ou autoriser l'exécution d'un code arbitraire. Cette mise à jour corrige les problèmes de gestion des images tiff.
  • Cyrus IMAP
    Disponible pour : Mac OS X Server v10.3.6
    CVE-ID : CAN-2004-1089
    Conséquences : Lors de l'authentification Kerberos avec Cyrus IMAP, un utilisateur authentifié pouvait accéder de façon illégale à d'autres boîtes aux lettres du même système.
    Description : Lors de l'authentification Kerberos avec le serveur Cyrus IMAP, un utilisateur pouvait changer de boîte aux lettres après s'être authentifié et accéder aux autres boîtes du même système. Cette mise à jour lie la boîte aux lettres à l'utilisateur authentifié. Ce problème spécifique au serveur n'existe pas dans Mac OS X Server v10.2.8. Merci à johan.gradvall@gothia.se d'avoir signalé ce problème.
  • HIToolbox
    Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6
    CVE-ID : CAN-2004-1085
    Conséquences : Les utilisateurs peuvent quitter les applications en mode kiosque
    Description : Une combinaison de touches spéciale permettait aux utilisateurs d'afficher la fenêtre "Forcer à quitter" même en mode kiosque. Cette mise à jour bloque toutes les combinaisons de touches visant à afficher cette fenêtre en mode kiosque. Ce problème n'existe pas dans Mac OS X v10.2.8 ni dans Mac OS X Server v10.2.8. Merci à Glenn Blauvelt de la University of Colorado (Boulder) d'avoir signalé ce problème.
  • Kerberos
    Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
    CVE-ID : CAN-2004-0642, CAN-2004-0643, CAN-2004-0644, CAN-2004-0772
    Conséquences : Risque d'accès refusé lors d'une authentification via Kerberos
    Description : MIT a sorti une nouvelle version de Kerberos qui traite le problème d'accès refusé et trois erreurs "double free". Mac OS X contient une protection contre les erreurs "double free". Cette mise à jour inclut un correctif qui résout le problème d'accès refusé. Par mesure de précaution, des correctifs "double free" ont aussi été mis en place. Merci à la MIT Kerberos Development Team d'avoir signalé ce problème et d'avoir fourni des correctifs.
  • Postfix
    Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6
    CVE-ID : CAN-2004-1088
    Conséquences : Les serveurs Postfix utilisant CRAM-MD5 peuvent permettre à un utilisateur distant d'envoyer du courrier sans s'authentifier correctement.
    Description : Les serveurs Postfix qui utilisent CRAM-MD5 pour authentifier des expéditeurs étaient sensibles aux réinsertions frauduleuses. Dans certaines circonstances, les critères utilisés pour authentifier un utilisateur correctement pouvaient être réutilisés pendant une courte période. L'algorithme CRAM-MD5 utilisé pour authentifier les utilisateurs a été mis à jour pour empêcher l'apparition de la fenêtre de réinsertion. Ce problème n'existe pas dans Mac OS X v10.2.8 ni dans Mac OS X Server v10.2.8. Merci à Victor Duchovni de Morgan Stanley d'avoir signalé ce problème.
  • PSNormalizer
    Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6
    CVE-ID : CAN-2004-1086
    Conséquences : Un débordement de tampon dans la conversion PostScript/PDF pouvait permettre l'exécution d'un code arbitraire.
    Description : Un débordement de la mémoire tampon lors de la conversion PostScript/PDF autorisait parfois l'exécution d'un code arbitraire. Cette mise à jour corrige le code de conversion PostScript/PDF afin d'empêcher un débordement de la mémoire tampon. Ce problème n'existe pas dans Mac OS X v10.2.8 ni dans Mac OS X Server v10.2.8.
  • QuickTime Streaming Server
    Disponible pour : Mac OS X Server v10.3.6, Mac OS X Server v10.2.8
    CVE-ID : CAN-2004-1123
    Conséquences : Des requêtes spécifiques pouvaient entraîner un refus d'accès.
    Description : QuickTime Streaming Server était sensible au refus d'accès lors du traitement des demandes DESCRIBE. Cette mise à jour corrige le traitement de ces demandes. Merci à iDEFENSE d'avoir signalé ce problème.
  • Safari
    Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
    CVE-ID : CAN-2004-1121
    Conséquences : Un langage HTML spécifique peut afficher une adresse Web incorrecte dans la barre d'état de Safari.
    Description : Safari pouvait afficher par erreur une adresse Web dans sa barre d'état qui ne correspondait pas à celle de la destination d'un lien. Cette mise à jour corrige ce problème de façon à ce que Safari affiche l'adresse Web qui sera activée lors de sa sélection.
  • Safari
    Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8
    CVE-ID : CAN-2004-1122
    Conséquences : Lorsque plusieurs fenêtres de navigateur étaient actives, les utilisateurs de Safari pouvaient se tromper sur l'origine des fenêtres pop-up.
    Description : Lorsque plusieurs fenêtres Safari étaient ouvertes, l'apparition d'une fenêtre pop-up à un moment précis pouvait laisser penser à l'utilisateur qu'elle était activée par un site différent. Dans cette mise à jour, Safari place désormais la fenêtre qui active un pop-up devant toutes les autres fenêtres du navigateur. Merci à Secunia Research d'avoir signalé ce problème.
  • Terminal
    Disponible pour : Mac OS X v10.3.6 et Mac OS X Server v10.3.6
    CVE-ID : CAN-2004-1087
    Conséquences : Le terminal peut indiquer que la saisie sécurisée est activée alors qu'elle ne l'est pas.
    Description : Le paramètre de menu "saisie sécurisée" n'était pas restauré correctement lors du lancement de Terminal.app. La case correspondant à la "saisie sécurisée" était cochée alors que cette dernière n'était pas activée. Cette mise à jour corrige le comportement de la saisie sécurisée. Ce problème n'existe pas dans Mac OS X v10.2.8 ni dans Mac OS X Server v10.2.8. Merci à Jonathan 'Wolf' Rentzsch de Red Shed Software d'avoir signalé ce problème.

 

iCal 1.5.4

CVE-ID: CAN-2004-1021
Impact : de nouveaux calendriers iCal peuvent ajouter des alarmes sans approbation

Description : les calendriers iCal peuvent inclure une notification d'événements via des alarmes. Ces alarmes peuvent ouvrir des programmes et envoyer des e-mails. iCal a été mis à jour de manière à afficher une fenêtre d'alerte lors de l'importation et de l'ouverture des calendriers contenant des alarmes. iCal 1.5.4 est disponible pour Mac OS X v10.2.3 ou ultérieur. Cette vulnérabilité a été découverte par aaron@vtty.com.

Mise à jour de sécurité 2004-10-27

  • Apple Remote Desktop

    Disponibilité : Apple Remote Desktop Client 1.2.4 avec Mac OS X 10.3.x
    Référence CVE : CAN-2004-0962
    Impact : une application peut être démarrée derrière la fenêtre d'ouverture de session et s'exécutera sous l'identité root.
    Description : pour un système dans la condition suivante
    • Client Apple Remote Desktop installé
    • Un utilisateur sur le système client a été activé avec les autorisations d'ouverture et de fermeture d'applications
    • Le nom d'utilisateur et le mot de passe de l'utilisateur ARD sont connus
    • La permutation rapide d'utilisateur a été activée
    • Un utilisateur a ouvert une session et la fenêtre d'ouverture de session est active via la permutation rapide d'utilisateur

    Si l'application Apple Remote Desktop Administrator d'un autre système est utilisé pour démarrer une application GUI sur le client, l'application GUI s'exécute sous l'identité root derrière la fenêtre d'ouverture de session. Cette mise à jour empêche Apple Remote Desktop de lancer des applications lorsque la fenêtre d'ouverture de session est active. Cette amélioration de la sécurité est également présente dans Apple Remote Desktop v2.1. Ce problème n'affecte pas les systèmes antérieurs à Mac OS X 10.3. Cette vulnérabilité a été découverte par Andrew Nakhla et Secunia Research.

QuickTime 6.5.2

Référence CVE : CAN-2004-0988
Disponibilité : Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME et Microsoft Windows 98

Impact : un débordement d'entier qui pourrait être exploitable dans un environnement HTML

Description : une extension de signe d'un petit entier ayant subi un débordement peut générer le transfert d'un très grand nombre vers un déplacement de mémoire. Le correctif empêche ce petit entier de subir un débordement. Ce problème n'existe pas dans QuickTime pour les systèmes Mac OS X. Cette vulnérabilité a été découverte par John Heasman de la société Next Generation Security Software Ltd.

Référence CVE : CAN-2004-0926
Disponibilité : Mac OS X v10.3.x, Mac OS X Server v10.3.x, Mac OS X v10.2.8, Mac OS X Server v10.2.8, Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME et Microsoft Windows 98

Impact : un débordement de mémoire tampon pourrait permettre l'exécution de code arbitraire par des pirates

Description : des défauts dans le décodage du type d'image BMP pourraient écraser la mémoire en tas et permettre l'exécution de code arbitraire masqué dans une image. Il s'agit de la même amélioration de sécurité qui avait été diffusée via la Mise à jour de sécurité 2004-09-30, et qui peut être déployée sur les configurations système couvertes par cette mise à jour QuickTime.

Mise à jour de sécurité 2004-09-30 (sortie le 04-10-2004)

  • Serveur AFP
    Disponibilité : Mac OS X v10.3.5 et Mac OS X Server v10.3.5
    Référence CVE : CAN-2004-0921
    Impact : déni de service permettant à un invité de déconnecter des volumes AFP
    Description : un volume AFP monté par un invité pourrait être utilisé pour terminer les montages d'utilisateur authentifié depuis le même serveur en modifiant les paquets SessionDestroy. Ce problème n'affecte pas les systèmes antérieurs à Mac OS X v10.3 ou Mac OS X Server v10.3.
  • Serveur AFP
    Disponibilité : Mac OS X v10.3.5 et Mac OS X Server v10.3.5
    Référence CVE : CAN-2004-0922
    Impact : une boîte de dépôt (DropBox) AFP en écriture seule est peut-être définie en lecture/écriture
    Description : une boîte de dépôt (DropBox) en écriture seule sur un volume AFP monté par un invité peut parfois être définie en lecture/écriture en raison d'un paramétrage incorrect de l'identifiant de groupe de l'invité. Ce problème n'affecte pas les systèmes antérieurs à Mac OS X v10.3 ou Mac OS X Server v10.3.
  • CUPS
    Disponibilité : Mac OS X v10.3.5, Mac OS X Server v10.3.5, Mac OS X v10.2.8, Mac OS X Server v10.2.8
    Référence CVE : CAN-2004-0558
    Impact : déni de service provoquant l'interruption du système d'impression
    Description : l'implémentation du protocole d'impression Internet (Internet Printing Protocol, IPP) dans CUPS peut s'interrompre lorsqu'un paquet UDP déterminé est envoyé vers le port IPP.
  • CUPS
    Disponibilité : Mac OS X v10.3.5, Mac OS X Server v10.3.5, Mac OS X v10.2.8, Mac OS X Server v10.2.8
    Référence CVE : CAN-2004-0923
    Impact : divulgation locale des mots de passe utilisateur
    Description : certaines méthodes d'impression à distance authentifiée peuvent divulguer les mots de passe utilisateur dans les fichiers de journalisation du système d'impression. Cette vulnérabilité a été découverte par Gary Smith du service Informatique de la Glasgow Caledonian University.
  • NetInfo Manager
    Disponibilité : Mac OS X v10.3.5 et Mac OS X Server v10.3.5
    Référence CVE : CAN-2004-0924
    Impact: indication incorrecte de l'état du compte
    Description: l'utilitaire NetInfo Manager peut activer le compte "root", mais après une authentification "root", il n'est plus possible d'utiliser NetInfo Manager pour désactiver le compte et il apparaît désactivé, ce qui est incorrect. Ce problème n'affecte pas les systèmes antérieurs à Mac OS X v10.3 ou Mac OS X Server v10.3.
  • postfix
    Disponibilité : Mac OS X v10.3.5 et Mac OS X Server v10.3.5
    Référence CVE : CAN-2004-0925
    Impact : déni de service lorsque SMTPD AUTH a été activé
    Description : lorsque SMTPD AUTH a été activé dans postfix, la mémoire tampon contenant le nom d'utilisateur n'est pas correctement vidée entre les tentatives d'authentification. Seuls les utilisateurs avec les noms d'utilisateur les plus longs pourront s'authentifier. Ce problème n'affecte pas les systèmes antérieurs à Mac OS X v10.3 ou Mac OS X Server v10.3. Cette vulnérabilité a été découverte par Michael Rondinelli de EyeSee360.
  • QuickTime
    Disponibilité : Mac OS X v10.3.5, Mac OS X Server v10.3.5, Mac OS X v10.2.8, Mac OS X Server v10.2.8
    Référence CVE : CAN-2004-0926
    Impact : un débordement de mémoire tampon (buffer overflow) pourrait permettre l'exécution de code arbitraire par des pirates
    Description : des défauts dans le décodage du type d'image BMP pourraient écraser la mémoire en tas et permettre l'exécution de code arbitraire masqué dans une image.
  • ServerAdmin
    Disponibilité : Mac OS X Server v10.3.5 et Mac OS X Server v10.2.8
    Référence CVE : CAN-2004-0927
    Impact : les communications Client - Serveur avec ServerAdmin peuvent être lues en décodant les sessions capturées
    Description : les communications Client - Server avec ServerAdmin utilisent SSL. Tous les systèmes sont installés avec le même exemplaire de certificat auto-signé. Si ce certificat n'a pas été remplacé, il se peut que les communications ServerAdmin soient décryptées. Le correctif consiste à remplacer le certificat auto-signé existant par celui qui a été généré localement et en un seul exemplaire. Cette vulnérabilité a été découverte par Michael Bartosh de 4am Media, Inc.

Mise à jour de sécurité 2004-09-16

  • iChat
    Référence CVE : CAN-2004-0873
    Impact - Les participants distants à une session de vidéoconférence iChat peuvent envoyer des “liens” susceptibles de lancer des programmes en local si un utilisateur clique dessus.
    Description - Un utilisateur distant participant à une session de vidéoconférence iChat peut envoyer un “lien” référençant un programme en local. Si ce “lien” est activé par un clic et qu’il pointe effectivement vers un programme en local, ce dernier s’exécutera. Avec la modification apportée à iChat, les “liens” de ce type ouvriront une fenêtre Finder affichant le programme, mais ne l’exécutant pas. Cette vulnérabilité a été découverte par <aaron@vtty.com>.
    Disponibilité - Cette mise à jour est disponible pour les versions iChat suivantes :
    - iChat AV v2.1 (Mac OS X version 10.3.5 ou ultérieure)
    - iChat AV v2.0 (Mac OS X 10.2.8)
    - iChat 1.0.1 (Mac OS X 10.2.8)



Mise à jour de sécurité 2004-09-07

Cette mise à jour de sécurité est disponible pour les versions suivantes du logiciel système :
- Mac OS X 10.3.4
- Mac OS X 10.3.5
- Mac OS X Server 10.3.4
- Mac OS X Server 10.3.5
- Mac OS X 10.2.8
- Mac OS X Server 10.2.8

Conseil : pour de plus amples informations sur les références CVE ci-après, consultez le site http://www.cve.mitre.org/.

  • Composant : Apache 2
    Références CVE : CAN-2004-0493, CAN-2004-0488
    Disponibilité - Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
    Impact - Exposition à un déni de service (DoS) potentiel.
    Description - L’organisation Apache Software Foundation a publié la version 2.0.50 de son logiciel Apache, qui résout un certain nombre de vulnérabilités de type DoS. Nous avons adopté cette version 2.0.50 d’Apache ; exclusivement livrée avec Mac OS X Server, elle est désactivée par défaut.
  • Composant : CoreFoundation
    Référence CVE : CAN-2004-0821
    Disponibilité - Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
    Impact - Des programmes prioritaires peuvent être créés via CoreFoundation pour charger une bibliothèque utilisateur.
    Description - Des “bundles” reposant sur CoreFoundation CFPlugIn peuvent inclure des instructions applicables au chargement automatique d’exécutables. Un bundle spécial peut comporter les mêmes pour des programmes prioritaires, et favoriser ainsi une remontée d’autorisations en local. CoreFoundation empêche à présent le chargement automatique d’exécutables sur des bundles en possédant déjà un. Cette vulnérabilité a été découverte par Kikuchi Masashi <kik@ms.u-tokyo.ac.jp>.
  • Composant : CoreFoundation
    Référence CVE : CAN-2004-0822
    Disponibilité - Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
    Impact - La manipulation d’une variable d’environnement peut provoquer un débordement de mémoire tampon (buffer overflow), et se traduire par une escalade d’autorisations.
    Description - Par manipulation d’une variable d’environnement, un programme peut être amené à exécuter un code quelconque défini par un intrus. Cette faille ne peut être exploitée qu’en disposant d’un accès à un compte en local. Des contrôles de validité stricts sont à présent réalisés pour cette variable d’environnement. Cette vulnérabilité a été découverte par <aaron@vtty.com>.
  • Composant : IPSec
    Référence CVE : CAN-2004-0607
    Disponibilité - Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
    Impact - En présence de certificats, des hôtes non authentifiés risquent de pouvoir négocier une connexion IPSec.
    Description - Si le système est configuré pour authentifier des ordinateurs distants au moyen de certificats X.509, un échec de vérification de ces derniers n’annule pas l’échange de clés. Mac OS X n’utilisant pas par défaut de certificats pour IPSec, ce problème est circonscrit aux configurations manuelles. À présent, IPSec vérifie et annule un échange de clés en cas d’échec de vérification des certificats.
  • Composant : Kerberos
    Référence CVE : CAN-2004-0523
    Disponibilité - Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
    Impact - Plusieurs débordements de mémoire tampon (buffer overflows) sur krb5_aname_to_localname dans MIT Kerberos 5 (krb5) version 1.3.3 ou antérieure pourraient permettre l’exécution d’un code arbitraire par des pirates distants.
    Description - Le buffer overflow ne peut être mis à profit que si “auth_to_local_names” ou “auth_to_local” est également configuré dans le fichier edu.mit.Kerberos. Apple n’active pas ce réglage par défaut. Le correctif de sécurité a été appliqué aux versions Mac OS X de Kerberos. La version Mac OS X et Mac OS X Server de Kerberos n’est pas sujette au récent problème de double libération de mémoire (dit “double-free”) exposé dans la note de vulnérabilité VU#350792 du CERT (CAN-2004-0772). Cette vulnérabilité a été découverte par l’équipe de développement MIT Kerberos.
  • Composant : lukemftpd
    Référence CVE : CAN-2004-0794
    Disponibilité - Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
    Impact - Un conflit autorisant un pirate distant authentifié à opposer un déni de service ou à exécuter un code quelconque.
    Description - Si le service FTP est activé et qu’un pirate distant parvient à s’authentifier, un état de conflit pourrait lui permettre de mettre fin à ce service FTP ou d’exécuter un code quelconque. Le correctif consiste à remplacer le service FTP lukemftpd par tnftpd. lukemftp est installé, mais non activé sous Mac OS X Server, qui lui préfère xftp. Cette vulnérabilité a été découverte par Luke Mewburn (NetBSD Foundation).
  • Composant : OpenLDAP
    Référence CVE : CAN-2004-0823
    Disponibilité - Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
    Impact - Un mot de passe crypté est exploitable comme s’il était en clair.
    Description - La rétrocompatibilité avec d’anciennes implémentations LDAP autorise le stockage d’un mot de passe crypté dans l’attribut userPassword. Certaines méthodes de validation d’authentification peuvent exploiter cette valeur comme s’il s’agissait d’un mot de passe en clair. Le correctif lève toute ambiguïté et associe systématiquement à ce type de champ un mot de passe crypté. Cette faille n’existe pas sous Mac OS X 10.2.8. Cette vulnérabilité a été découverte par Steve Revilak (Kayak Software Corporation).
  • Composant : OpenSSH
    Référence CVE : CAN-2004-0175
    Disponibilité - Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
    Impact - Un serveur ssh/scp malveillant risque d’écraser des fichiers en local.
    Description - Une vulnérabilité de parcours de répertoires dans le programme scp permet à un serveur distant malveillant d’écraser des fichiers en local. Le correctif de sécurité a été appliqué aux versions Mac OS X d’OpenSSH.
  • Composant : PPPDialer
    Référence CVE : CAN-2004-0824
    Disponibilité - Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
    Impact - Un utilisateur malveillant peut remplacer des fichiers système et provoquer ainsi une escalade d’autorisations en local.
    Description - Des composants PPP n’ont pas sécurisé les accès à un fichier stocké à un emplacement garantissant son accessibilité universelle en écriture. Le correctif déplace les fichiers journaux à un emplacement où ils ne sont plus accessibles universellement en écriture.
  • Composant : QuickTime Streaming Server
    Disponibilité - Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
    Référence CVE : CAN-2004-0825
    Impact - Un déni de service impose le redémarrage de QuickTime Streaming Server.
    Description - Une suite particulière d’opérations clientes est susceptible de provoquer le blocage de QuickTime Streaming Server. Le correctif met à jour le code afin d’éliminer ce problème.
  • Composant : rsync
    Référence CVE : CAN-2004-0426
    Disponibilité - Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
    Impact - Lors de l’exécution de rsync en mode démon, un pirate distant peut effectuer des opérations en écriture en dehors du chemin d’accès de ce module si l’option chroot n’est pas définie.
    Description - Jusqu’à la version 2.6.1, rsync ne sécurise par correctement les chemins d’accès lors de l’exécution d’un démon en lecture/écriture, une fois l’option chroot désactivée. Le correctif installe la mise à jour 2.6.2 de rsync.
  • Composant : Safari
    Référence CVE : CAN-2004-0361
    Disponibilité - Mac OS X 10.2.8, Mac OS X Server 10.2.8
    Impact - En présence d’un tableau JavaScript de taille négative, les accès mémoire Safari risquent de s’effectuer en dehors des limites, et provoquer l’arrêt inopiné de l’application.
    Description - Le stockage d’objets dans un tableau JavaScript de dimensions négatives risque d’écraser une zone mémoire. À présent, Safari met un terme au traitement de programmes JavaScript en cas d’échec sur une allocation de tableau.
    Ce perfectionnement de sécurité, déjà disponible sous Safari 1.0.3, est actuellement appliqué au système d’exploitation Mac OS X 10.2.8 comme couche de protection supplémentaire pour les clients n’ayant pas installé cette version de Safari. Ce correctif est spécifique à Mac OS X 10.2.8 : la faille est inexistante sous Mac OS X version 10.3 ou ultérieure.
  • Composant : Safari
    Référence CVE : CAN-2004-0720
    Disponibilité - Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
    Impact - Un site Web non authentifié peut injecter du contenu à l’intérieur d’un cadre prévu pour être utilisé par un autre domaine.
    Description - Certains des cadres d’un site Web risquent d’être remplacés par du contenu issu d’un site malveillant si ce dernier est visité en premier. Le correctif impose une série de règles parent-enfant destinées à empêcher l’intrusion.
  • Composant : SquirrelMail
    Référence CVE : CAN-2004-0521
    Disponibilité - Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
    Impact - Les versions de SquirrelMail antérieures à 1.4.3 RC1 permettent à des pirates distants d’exécuter des instructions SQL non autorisées.
    Description - Les versions de SquirrelMail antérieures à 1.4.3 RC1 sont vulnérables aux attaques par injection SQL, qui peuvent se solder par l’exécution d’instructions SQL non autorisées. Le correctif met à jour SquirrelMail en version 1.4.3a
  • Composant : tcpdump
    Référence CVE : CAN-2004-0183, CAN-2004-0184
    Disponibilité - Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5
    Impact - Des paquets malveillants peuvent bloquer l’exécution de tcpdump.
    Description - Les fonctions d’impression des paquets ISAKMP n’effectuant pas un contrôle correct des limites, les opérations de lecture hors limites qui en résultent peuvent provoquer un blocage. Le correctif met à jour tcpdump en version 3.8.3.


Mac OS X 10.3.5

Conseil : pour de plus amples informations sur les références CVE ci-après, consultez le site http://www.cve.mitre.org/.

  • libpng (Portable Network Graphics)
    Références CVE : CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599
    Impact - Des images PNG infectées par un virus peuvent être à l’origine de “plantages” applicatifs et exécuter un code malveillant.
    Description - Un certain nombre de débordements de mémoire tampon (buffer overflows), de déréférences de pointeur nul et de débordements d’entiers ont été mis à jour dans la bibliothèque de référence pour les opérations de lecture et d’écriture sur des images PNG. Ces vulnérabilités sont corrigées dans libpng, exploité par les frameworks CoreGraphics et AppKit sous Mac OS X. Après installation de cette mise à jour, les applications utilisant le format PNG via ces frameworks seront protégées contre ces failles.
  • Safari
    Référence CVE : CAN-2004-0743
    Impact - Dans certains cas, l’utilisation des boutons de navigation Précédent/Suivant peut renvoyer des données de formulaire vers une URL GET.
    Description - Ceci vaut lorsqu’un formulaire Web est transmis à un serveur via une méthode POST redirigeant la connexion HTTP vers une URL fondée sur la méthode GET. Si les boutons Précédent/Suivant sont utilisés, Safari renverra une nouvelle fois, via la méthode POST, les données de formulaire vers l’URL GET. Des modifications ont été apportées à Safari pour que, dans ce contexte particulier, la navigation à l’aide des boutons Précédent/Suivant donne uniquement lieu à l’application d’une méthode GET. Cette vulnérabilité a été découverte par Rick Osterberg (Harvard University FAS Computer Services).

 

  • Connexion à un réseau TCP/IP
    Référence CVE : CAN-2004-0744
    Impact - Des fragments IP malveillants utilisant un trop grand nombre de ressources système empêchent le fonctionnement normal du réseau.
    Description - L’intrusion baptisée “Rose Attack” désigne une séquence spécifique de fragments IP visant à consommer les ressources système. L’implémentation TCP/IP a été modifiée en vue de limiter la consommation de ces dernières et empêche dorénavant cette attaque DoS. Cette vulnérabilité a été découverte par Ken Hollis (gandalf@digital.net) et Chuck McAuley (chuck-at-lemure-dot-net), dans le cadre d’une discussion sur l’intrusion “Rose Attack”.



Mise à jour de sécurité 2004-08-09 (Mac OS X 10.3.4 et 10.2.8)

Conseil : pour de plus amples informations sur les références CVE ci-après, consultez le site http://www.cve.mitre.org/.

  • libpng (Portable Network Graphics)
    Références CVE : CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599
    Impact - Des images PNG infectées par un virus peuvent être à l’origine de “plantages” applicatifs et exécuter un code malveillant.
    Description - Un certain nombre de débordements de mémoire tampon (buffer overflows), de déréférences de pointeur nul et de débordements d’entiers ont été mis à jour dans la bibliothèque de référence pour les opérations de lecture et d’écriture sur des images PNG. Ces vulnérabilités sont corrigées dans libpng, exploité par les frameworks CoreGraphics et AppKit sous Mac OS X. Après installation de cette mise à jour, les applications utilisant le format PNG via ces frameworks seront protégées contre ces failles.



Mise à jour de sécurité 2004-06-07 (Mac OS X 10.3.4 et 10.2.8)

La Mise à jour de sécurité 2004-06-07, qui intègre maints perfectionnements, est recommandée à tous les utilisateurs de Macintosh. Elle entend renforcer la sécurité au travers d’un message d’alerte qui s’affiche dès lors que vous ouvrez une application pour la première fois en consultant un document associé à celle-ci ou une adresse Web (URL). Pour de plus amples informations, y compris sur cette nouvelle zone de dialogue, reportez-vous à cet article.

La Mise à jour de sécurité 2004-06-07 est disponible pour les versions suivantes du système d’exploitation :
- Mac OS X 10.3.4 “Panther”
- Mac OS X Server 10.3.4 “Panther”
- Mac OS X 10.2.8 “Jaguar”
- Mac OS X Server 10.2.8 “Jaguar”

  • LaunchServices
    Référence CVE : CAN-2004-0538
    Impact - LaunchServices enregistre automatiquement des applications susceptibles d’être exécutées inopinément par le système.
    Description - LaunchServices est un composant système servant à la découverte et à l’ouverture d’applications. Il a été modifié pour les seules applications ouvertes ayant été explicitement exécutées précédemment sur le système. Si l’utilisateur tente de lancer une application n’ayant pas été explicitement exécutée précédemment, un message d’alerte s’affiche. De plus amples informations sont disponibles dans cet article.
  • Composant : DiskImageMounter
    Référence CVE : aucune référence CVE n’a été octroyée puisqu’il s’agit uniquement d’une mesure préventive supplémentaire.
    Impact - Le type d’URL disque:// monte un système de fichiers distant anonyme à l’aide du protocole http.
    Description - L’enregistrement du type d’URL disque:// est supprimé du système en vue de prévenir les tentatives de montage automatique de fichiers d’image disque distants.
  • Safari
    Référence CVE : CAN-2004-0539
    Impact - Le bouton “Afficher dans le Finder” ouvre certains fichiers téléchargés, en exécutant parfois des applications téléchargées.
    Description - Le bouton “Afficher dans le Finder” présentera désormais les fichiers dans une fenêtre Finder, sans plus tenter de les ouvrir. Cette modification est uniquement disponible sous Mac OS X 10.3.4 “Panther” et Mac OS X Server 10.3.4 “Panther”, puisque ce problème n’existe ni sous Mac OS X 10.2.8 “Jaguar”, ni sous Mac OS X Server 10.2.8 “Jaguar”.
  • Terminal
    Référence CVE : sans objet
    Impact - Les tentatives d’utilisation d’une URL telnet:// avec un autre numéro de port échouent.
    Description - Une modification a été apportée pour permettre de spécifier un autre numéro de port dans une URL telnet://. Les fonctionnalités supprimées par le récent correctif pour CAN-2004-0485 sont ainsi supprimées.

Mac OS X 10.3.4

  • NFS - Résout CAN-2004-0513 et améliore la journalisation des appels système. Cette vulnérabilité a été découverte par David Brown <dave@spoonguard.org>.
  • LoginWindow - Résout CAN-2004-0514 et améliore la gestion des interrogations dans les services de répertoire.
  • LoginWindow - Résout CAN-2004-0515 et améliore le maniement des fichiers d’historique de console. Cette vulnérabilité a été découverte par aaron@vtty.com.
  • Paquetage - Résout CAN-2004-0516 et améliore les scripts d’installation des logiciels. Cette vulnérabilité a été découverte par aaron@vtty.com.
  • Paquetage - Résout CAN-2004-0517 et améliore la gestion des identifiants de processus au cours de l’installation des logiciels. Cette vulnérabilité a été découverte par aaron@vtty.com.
  • TCP/IP - Résout CAN-2004-0171 et améliore la gestion des paquets TCP hors séquence.
  • AppleFileServer - Résout CAN-2004-0518 et améliore l’utilisation de SSH et des erreurs signalées.
  • Terminal - Résout CAN-2004-0485 et améliore le maniement des URL. Cette vulnérabilité a été découverte par René Puls <rpuls@gmx.net>.


Remarque : Mac OS X 10.3.4 intègre les Mises à jour de sécurité 2004-04-05 et 2004-05-03.


Mise à jour de sécurité 2004-05-24 pour Mac OS X 10.3.3 “Panther” et Mac OS X 10.3.3 Server

  • HelpViewer - Résout CAN-2004-0486 et garantit que l’outil Visualisation Aide ne traitera que les scripts déclenchés par lui. Cette vulnérabilité a été découverte par lixlpixel <me@lixlpixel.com>.

    Remarque : cette mise à jour peut également être installée sous Mac OS X 10.3.4 et Mac OS X 10.3.4 Server



Mise à jour de sécurité 2004-05-24 pour Mac OS X 10.2.8 “Jaguar” et Mac OS X 10.2.8 Server

  • HelpViewer - Résout CAN-2004-0486 et garantit que l’outil Visualisation Aide ne traitera que les scripts déclenchés par lui. Cette vulnérabilité a été découverte par lixlpixel <me@lixlpixel.com>.
  • Terminal - Résout CAN-2004-0485 et améliore le traitement des URL dans Terminal. Cette vulnérabilité a été découverte par René Puls <rpuls@gmx.net>.



Mise à jour de sécurité 2004-05-03 pour Mac OS X 10.3.3 “Panther” et Mac OS X 10.3.3 Server

  • AppleFileServer - Résout CAN-2004-0430 et améliore la gestion des mots de passe longs. Cette vulnérabilité a été découverte par Dave G. (@stake).
  • Apache 2 - Résout CAN-2003-0020, CAN-2004-0113 et CAN-2004-0174 en mettant à jour Apache 2 par l’installation de la version 2.0.49.
  • CoreFoundation - Résout CAN-2004-0428 et améliore la gestion d’une variable d’environnement. Cette vulnérabilité a été découverte par aaron@vtty.com.
  • IPSec - Résout CAN-2004-0155 et CAN-2004-0403 et renforce la sécurité des tunnels VPN. IPSec sous Mac OS X n’est pas concerné par CAN-2004-0392.

La mise à jour de sécurité 2004-04-05 a été intégrée dans celle-ci.


Mise à jour de sécurité 2004-05-03 pour Mac OS X 10.2.8 “Jaguar” et Mac OS X 10.2.8 Server

  • AppleFileServer - Résout CAN-2004-0430 et améliore la gestion des mots de passe longs. Cette vulnérabilité a été découverte par Dave G. (@stake).
  • Apache 2 - Résout CAN-2003-0020, CAN-2004-0113 et CAN-2004-0174 en mettant à jour Apache 2 par l’installation de la version 2.0.49.
  • CoreFoundation - Résout CAN-2004-0428 et améliore la gestion d’une variable d’environnement. Cette vulnérabilité a été découverte par aaron@vtty.com.
  • IPSec - Résout CAN-2004-0155 et CAN-2004-0403 et renforce la sécurité des tunnels VPN. IPSec sous Mac OS X n’est pas concerné par CAN-2004-0392.
  • Démon Server Settings - Résout CAN-2004-0429 et améliore la gestion des requêtes longues.

La mise à jour de sécurité 2004-04-05 a été intégrée dans celle-ci.


QuickTime 6.5.1

  • Résout CAN-2004-0431 : une séquence .mov mal structurée risque de mettre fin inopinément à l’exécution de QuickTime.


Mise à jour de sécurité 2004-04-05 pour Mac OS X 10.3.3 “Panther” et Mac OS X 10.3.3 Server

  • Impression CUPS - Résout CAN-2004-0382 et renforce la sécurité du système d’impression. Cette modification dans le fichier de configuration n’a aucune incidence sur le système d’impression sous-jacent. Cette vulnérabilité a été découverte par aaron@vtty.com.
  • libxml2 - Résout CAN-2004-0110 et améliore la gestion des URL.
  • Mail - Résout CAN-2004-0383 et améliore la gestion des e-mails au format HTML. Cette vulnérabilité a été découverte par aaron@vtty.com.
  • OpenSSL - Résout CAN-2004-0079 et CAN-2004-0112 et améliore la gestion des choix de cryptage.


Mise à jour de sécurité 2004-04-05 pour Mac OS X 10.2.8 “Jaguar” et Mac OS X 10.2.8 Server

  • Impression CUPS - Résout CAN-2004-0382 et renforce la sécurité du système d’impression. Cette vulnérabilité a été découverte par aaron@vtty.com.

La mise à jour de sécurité 2004-01-26 a été intégrée dans celle-ci. Les perfectionnements supplémentaires réservés à Panther dans la mise à jour de sécurité 2004-04-05 ne concernent pas la plate-forme 10.2.


Mise à jour de sécurité 2004-02-23 pour Mac OS X 10.3.2 “Panther” et Mac OS X 10.3.2 Server

  • CoreFoundation - Résout CAN-2004-0168 et améliore la journalisation des notifications. Cette vulnérabilité a été découverte par aaron@vtty.com.
  • DiskArbitration - Résout CAN-2004-0167 et garantit une gestion plus sécurisée de l’initialisation des supports amovibles inscriptibles. Cette vulnérabilité a été découverte par aaron@vtty.com.
  • IPSec - Résout CAN-2004-0164 et améliore le contrôle lors des échanges de clés.
  • Protocole PPP (Point-to-Point) - Résout CAN-2004-0165 et améliore la gestion des messages d’erreur. Cette vulnérabilité a été découverte par Dave G. (@stake) et Justin Tibbs (Secure Network Operations - SRT).
  • tcpdump - Résout CAN-2003-0989, CAN-2004-0055 et CAN-2004-0057 en mettant à jour tcpdump en version 3.8.1 et libpcap en version 0.8.1
  • QuickTime Streaming Server - Résout CAN-2004-0169 et améliore le contrôle des données de requête. Cette vulnérabilité a été découverte par iDEFENSE Labs. Des mises à jour Streaming Server pour d’autres plates-formes sont disponibles sur http://developer.apple.com/darwin/



Mise à jour de sécurité 2004-02-23 pour Mac OS X 10.2.8 “Jaguar” et Mac OS X 10.2.8 Server

  • DiskArbitration - Résout CAN-2004-0167 et garantit une gestion plus sécurisée de l’initialisation des supports amovibles inscriptibles. Cette vulnérabilité a été découverte par aaron@vtty.com.
  • IPSec - Résout CAN-2004-0164 et améliore le contrôle lors des échanges de clés.
  • Protocole PPP (Point-to-Point) - Résout CAN-2004-0165 et améliore la gestion des messages d’erreur. Cette vulnérabilité a été découverte par Dave G. (@stake) et Justin Tibbs (Secure Network Operations - SRT).
  • Safari - Résout CAN-2004-0166 et améliore l’affichage des URL dans la barre d’état.
  • QuickTime Streaming Server - Résout CAN-2004-0169 et améliore le contrôle des données de requête. Cette vulnérabilité a été découverte par iDEFENSE Labs. Des mises à jour Streaming Server pour d’autres plates-formes sont disponibles sur http://developer.apple.com/darwin/

La mise à jour de sécurité 2004-01-26 pour Mac OS X 10.2.8 Server a été intégrée dans celle-ci.


Mise à jour de sécurité 2004-01-26 pour Mac OS X 10.1.5 “Puma” et Mac OS X 10.1.5 Server

  • Mail - Résout CAN-2004-0085 et intègre certains perfectionnements de sécurité à l’application Mail d’Apple.



Mise à jour de sécurité 2004-01-26 pour Mac OS X 10.2.8 “Jaguar” et Mac OS X 10.2.8 Server

  • AFP Server - Améliore AFP par rapport à la mise à jour de sécurité 2003-12-19.
  • Apache 1.3 - Résout CAN-2003-0542, c’est-à-dire un débordement de mémoire tampon (buffer overflow) au niveau des modules mod_alias et mod_rewrite du serveur Web Apache.
  • Apache 2 (installation sur le serveur uniquement) - Résout CAN-2003-0542 et CAN-2003-0789 en mettant à jour Apache 2.0.47 en version 2.0.48. Pour de plus amples détails sur cette mise à jour, consultez http://www.apache.org/dist/httpd/Announcement2.html
  • Classic - Résout CAN-2004-0089 et améliore la gestion des variables d’environnement. Cette vulnérabilité a été découverte par Dave G. (@stake).
  • Mail - Résout CAN-2004-0085 et intègre certains perfectionnements de sécurité à l’application Mail d’Apple.
  • Safari - Résout CAN-2004-0092 et intègre certains perfectionnements de sécurité au navigateur Web Safari.
  • SystemConfiguration - Résout CAN-2004-0087 et CAN-2004-0088 : via le sous-système SystemConfiguration, des utilisateurs non administrateurs distants pouvaient modifier les paramètres réseau et la configuration dans configd. Cette vulnérabilité a été découverte par Dave G. (@stake).

La mise à jour de sécurité 2003-12-19 a été intégrée dans celle-ci. Les perfectionnements supplémentaires réservés à Mac OS X 10.3.2 “Panther” dans la mise à jour de sécurité 2004-01-26 ne sont pas repris dans la présente mise à jour pour Jaguar, ce système d’exploitation n’étant pas concerné par ces problèmes.


Mise à jour de sécurité 2004-01-26 pour Mac OS X 10.3.2 “Panther” et Mac OS X Server 10.3.2

  • Apache 1.3 - Résout CAN-2003-0542, c’est-à-dire un débordement de mémoire tampon (buffer overflow) au niveau des modules mod_alias et mod_rewrite du serveur Web Apache.
  • Apache 2 (installation sur le serveur uniquement) - Résout CAN-2003-0542 and CAN-2003-0789 en mettant à jour Apache 2.0.47 en version 2.0.48. Pour de plus amples détails sur cette mise à jour, consultez http://www.apache.org/dist/httpd/Announcement2.html
  • Classic - Résout CAN-2004-0089 et améliore la gestion des variables d’environnement. Cette vulnérabilité a été découverte par Dave G. (@stake).
  • Mail - Résout CAN-2004-0086 et intègre certains perfectionnements de sécurité à l’application Mail d’Apple.
  • Safari - Résout CAN-2004-0092 et intègre certains perfectionnements de sécurité au navigateur Web Safari.
  • SystemConfiguration - Résout CAN-2004-0087 : via le sous-système SystemConfiguration, des utilisateurs non administrateurs distants pouvaient modifier les paramètres réseau et la configuration dans configd. Cette vulnérabilité a été découverte par Dave G. (@stake).
  • Partage de fichiers Windows - Résout CAN-2004-0090 : le partage de fichiers Windows ne s’est pas arrêté correctement.
  • La mise à jour de sécurité 2003-12-19 a été intégrée dans celle-ci. Les perfectionnements supplémentaires réservés à Mac OS X 10.2.8 “Jaguar” dans la mise à jour de sécurité 2004-01-26 ne sont pas repris dans la présente mise à jour pour Panther, ce système d’exploitation n’étant pas concerné par ces problèmes.



Mise à jour de sécurité 2003-12-19 pour Mac OS X 10.2.8 “Jaguar” et Mac OS X 10.2.8 Server

  • AppleFileServer - Résout CAN-2003-1007 et améliore la gestion des requêtes mal formulées.
  • cd9660.util - Résout CAN-2003-1006, une vulnérabilité causée par un débordement de mémoire tampon (buffer overflow) au niveau de l’utilitaire filesystem cd9660.util. Cette vulnérabilité a été découverte par KF (Secure Network Operations).
  • Services de répertoire - Résout CAN-2003-1009. La modification des réglages par défaut empêche toute connexion involontaire en présence d’un serveur DHCP malveillant sur le sous-réseau local de l’ordinateur. De plus amples informations sont disponibles dans cet article de la Knowledge Base Apple :
    http://docs.info.apple.com/article.html?artnum=32478
    Cette vulnérabilité a été découverte par William A. Carrel.
  • Fetchmail - Résout CAN-2003-0792. Des mises à jour améliorent la stabilité de fetchmail dans certaines conditions.
  • fs_usage - Résout CAN-2003-1010. Le perfectionnement de l’outil fs_usage prévient une vulnérabilité causée par une escalade d’autorisations en local. Cet outil, qui permet de recueillir des informations sur les performances système, a besoin d’autorisations Admin pour être exécuté. Cette vulnérabilité a été découverte par Dave G. (@stake).
  • rsync - Résout CAN-2003-0962 en renforçant la sécurité du serveur rsync.
  • Initialisation du système - Résout CAN-2003-1011. Le processus d’initialisation a été amélioré en vue de restreindre l’accès root sur un système doté d’un clavier USB.

Remarque : les correctifs suivants, intégrés dans la mise à jour de sécurité 2003-12-19 pour Panther, ne le sont pas dans la mise à jour de sécurité 2003-12-19 pour Jaguar — les versions Jaguar de Mac OS X et de Mac OS X n’étant pas concernées par ces problèmes :
- CAN-2003-1005 : décodage ASN.1 pour PKI
- CAN-2003-1008 : extraits de texte de l’Économiseur d’écran


Mise à jour de sécurité 2003-12-19 pour Mac OS X 10.3.2 “Panther” et Mac OS X 10.3.2 Server

  • Décodage ASN.1 pour PKI - Résout CAN-2003-1005, un déni de service pouvant se produire lors de la réception de séquences ASN.1 mal formulées.
    Cette vulnérabilité est en rapport avec CAN-2003-0851, tout en étant distincte.
  • AppleFileServer - Résout CAN-2003-1007 et améliore la gestion des requêtes mal formulées.
  • cd9660.util - Résout CAN-2003-1006, une vulnérabilité causée par un débordement de mémoire tampon (buffer overflow) au niveau de l’utilitaire filesystem cd9660.util. Cette vulnérabilité a été découverte par KF (Secure Network Operations).
  • Services de répertoire - Résout CAN-2003-1009. La modification des réglages par défaut empêche toute connexion involontaire en présence d’un serveur DHCP malveillant sur le sous-réseau local de l’ordinateur. De plus amples informations sont disponibles dans cet article de la Knowledge Base Apple :
    http://docs.info.apple.com/article.html?artnum=32478
    Cette vulnérabilité a été découverte par William A. Carrel.
  • Fetchmail - Résout CAN-2003-0792. Des mises à jour améliorent la stabilité de fetchmail dans certaines conditions.
  • fs_usage - Résout CAN-2003-1010. Le perfectionnement de l’outil fs_usage prévient une vulnérabilité causée par une escalade d’autorisations en local. Cet outil, qui permet de recueillir des informations sur les performances système, a besoin d’autorisations Admin pour être exécuté. Cette vulnérabilité a été découverte par Dave G. (@stake).
  • rsync - Résout CAN-2003-0962 en renforçant la sécurité du serveur rsync.
  • Économiseur d’écran - Résout CAN-2003-1008. En présence de la fenêtre d’ouverture de session de l’Économiseur d’écran, il n’est plus possible de déposer un extrait de texte sur le bureau ou dans une application. Cette vulnérabilité a été découverte par Benjamin Kelly.
  • Initialisation du système - Résout CAN-2003-1011. Le processus d’initialisation a été amélioré en vue de restreindre l’accès root sur un système doté d’un clavier USB.



Mise à jour de sécurité 2003-12-05

  • Safari - Résout CAN-2003-0975 et garantit que Safari permettra aux seuls sites Web autorisés d’accéder aux cookies d’un utilisateur. Cette mise à jour est disponible pour Mac OS X 10.3.1 et Mac OS X 10.2.8.


Mise à jour de sécurité 2003-11-19 pour Mac OS 10.2.8

La politique d’Apple consiste à résoudre rapidement les vulnérabilités significatives découvertes dans de précédentes versions de Mac OS X et ce, chaque fois que possible. Dans cette optique, la mise à jour de sécurité 2003-11-19 actualise plusieurs composants de Mac OS X 10.2.

  • gm4 - Résout CAN-2001-1411, une vulnérabilité au niveau de la chaîne de formatage dans l’utilitaire gm4. Aucun programme setuid root n’est associé à gm4 et ce correctif se veut une mesure préventive.
  • groff - Résout CAN-2001-1022, une vulnérabilité au niveau de la chaîne de formatage dans le composant groff.
  • Mail - Résout CAN-2003-0881 : l’application Mac OS X Mail ne reviendra plus à une connexion en clair dès lors qu’un compte est configuré pour mettre à profit le mode d’authentification par simulation/réponse MD5.
  • OpenSSL - Résout CAN-2003-0851 : les séquences d’analyse ASN.1 mal formulées sont à présent gérées de manière plus sécurisée.
  • Partage de fichiers - Résout CAN-2003-0878 : une fois le Partage de fichiers activé, le démon slpd ne peut plus créer un fichier root dans le répertoire /tmp pour obtenir des niveaux d’autorisation plus élevés.
  • QuickTime pour Java - Résout CAN-2003-0871, une vulnérabilité potentielle susceptible de permettre un accès non autorisé au système.
  • zlib - Résout CAN-2003-0107. Bien qu’aucune fonctionnalité Mac OS X n’exploitait la fonction vulnérable gzprintf(), le problème sous-jacent dans zlib a été corrigé en vue de protéger les applications tierces susceptibles d’utiliser cette bibliothèque.



Mise à jour de sécurité 2003-11-19 pour Panther 10.3.1

  • OpenSSL - Résout CAN-2003-0851 : les séquences d’analyse ASN.1 mal formulées sont à présent gérées de manière plus sécurisée.
  • zlib - Résout CAN-2003-0107. Bien qu’aucune fonctionnalité Mac OS X n’exploitait la fonction vulnérable gzprintf(), le problème sous-jacent dans zlib a été corrigé en vue de protéger les applications tierces susceptibles d’utiliser cette bibliothèque.



Mise à jour de sécurité 2003-11-04

  • Terminal - Résout CAN-2003-0913, une vulnérabilité potentielle de l’application Terminal sous Mac OS X 10.3 et Mac OS X Server 10.3 susceptible de permettre un accès non autorisé au système. Les versions de Mac OS X antérieures à 10.3 ne sont pas concernées.



Mise à jour de sécurité 2003-10-28

  • Résout CAN-2003-0871, une vulnérabilité potentielle dans l’implémentation de QuickTime Java sous Mac OS X 10.3 et Mac OS X Server 10.3 susceptible de permettre un accès non autorisé au système.



Mac OS X 10.3 Panther

  • Finder - Résout CAN-2003-0876 : les autorisations octroyées à un dossier risquent de ne pas être conservées lorsque celui-ci est copié depuis un volume monté, tel qu’une image disque. Cette vulnérabilité a été découverte par Dave G. (@stake, Inc.).
  • Kernel - Résout CAN-2003-0877 : si un système s’exécute avec des fichiers core activés, un utilisateur disposant d’un accès interactif au shell risque d’écraser arbitrairement des fichiers et de pouvoir consulter ceux créés au moyen de processus root. La confidentialité de certaines informations (accréditifs d’authentification, par exemple) est donc menacée. La création de fichiers core est désactivée par défaut sous Mac OS X. Cette vulnérabilité a été découverte par Dave G. (@stake, Inc.).
  • slpd - Résout CAN-2003-0878 : une fois le Partage de fichiers activé, le démon slpd ne peut plus créer un fichier root dans le répertoire /tmp pour obtenir des niveaux d’autorisation plus élevés. Le Partage de fichiers est désactivé par défaut sous Mac OS X. Cette vulnérabilité a été découverte par Dave G. (@stake, Inc.).
  • Kernel - Résout CAN-2003-0895 : un utilisateur en local peut provoquer le blocage du noyau Mac OS X en spécifiant un long argument de ligne de commande. La machine redémarrera d’elle-même après quelques minutes. Cette vulnérabilité a été découverte par Dave G. (@stake, Inc.).
  • ktrace - Résout CAN-2002-0701 : en théorie, si ktrace est activé via l’option de noyau KTRACE, un utilisateur en local devrait pouvoir accéder à des informations confidentielles. Aucun utilitaire spécifique n’est actuellement réputé concerné par ce problème particulier.
  • nfs - Résout CAN-2002-0830 : un utilisateur NFS distant risque de pouvoir envoyer des messages RPC provoquant le verrouillage du système.
  • zlib - Résout CAN-2003-0107. Bien qu’aucune fonctionnalité Mac OS X n’exploitait la fonction vulnérable gzprintf(), le problème sous-jacent dans zlib a été corrigé.
  • gm4 - Résout CAN-2001-1411, une vulnérabilité au niveau de la chaîne de formatage dans l’utilitaire gm4. Aucun programme setuid root n’est associé à gm4 et ce correctif se veut une mesure préventive.
  • OpenSSH - Résout CAN-2003-0386 : les restrictions “from=” et “user@hosts” peuvent être outrepassées via un DNS inversé au profit d’adresses IP numériques. Mac OS X 10.3 intègre également des correctifs antérieurs pour OpenSSH, et la version OpenSSH obtenue via la commande “ssh -V” est la suivante :  OpenSSH_3.6.1p1+CAN-2003-0693, SSH protocols 1.5/2.0, OpenSSL 0x0090702f
  • nidump - Résout CAN-2001-1412 : l’utilitaire nidump permet d’accéder aux mots de passe cryptés servant à l’authentification des connexions.
  • Préférences Système - Résout CAN-2003-0883 : après authentification au moyen d’un mot de passe administrateur, le système continuera à ménager un accès aux tableaux sécurisés des Préférences durant un court laps de temps. Un utilisateur en local pourra ainsi accéder à des tableaux de préférences qu’il serait dans l’impossibilité d’exploiter en temps normal. Les préférences Sécurité de Mac OS X 10.3 intègrent à présent une option “Mot de passe requis pour déverrouiller les préférences des systèmes sécurisés”. Cette vulnérabilité a été découverte par Anthony Holder.
  • Horodatage TCP - Résout CAN-2003-0882 : l’horodatage TCP est initialisé à l’aide d’un nombre constant. Il est donc possible de déterminer depuis combien de temps fonctionne un système, à partir de l’identifiant dans les paquets TCP. Sous Mac OS X 10.3, l’horodatage TCP est désormais initialisé au moyen d’un nombre aléatoire. Cette vulnérabilité a été découverte par Aaron Linville, qui a proposé un correctif via le programme Open Source Darwin.
  • Mail - Résout CAN-2003-0881 : dans l’application Mail sous Mac OS X, si un compte est configuré pour utiliser le mode d’authentification par simulation/réponse MD5, une tentative de connexion sera effectuée avec CRAM-MD5, mais la connexion s’effectuera en clair si elle échoue en mode crypté. Cette vulnérabilité a été découverte par Chris Adams.
  • Dock - Résout CAN-2003-0880 : si l’accès au clavier complet est activé dans le tableau Clavier des Préférences Système, celui aux fonctions du Dock s’effectue aveuglément via les effets d’écran.



Mac OS X 10.2.8

  • OpenSSL - Résout CAN-2003-0543, CAN-2003-0544 et CAN-2003-0545 : règle des problèmes potentiels liés à certaines structures ASN.1 et au code de vérification des certificats. Afin de fournir une mise à jour fiable dans les meilleurs délais, seuls les correctifs correspondant aux références CVE ci-dessus ont été appliqués, et non pas la dernière bibliothèque OpenSSL dans son intégralité. Par conséquent, la version OpenSSL sous Mac OS X 10.2.8, telle qu’obtenue via la commande “openssl version”, est la suivante : OpenSSL 0.9.6i Feb 19 2003
  • OpenSSH - Résout CAN-2003-0693, CAN-2003-0695 et CAN-2003-0682 et corrige les erreurs de gestion de mémoire tampon dans les versions sshd d’OpenSSH antérieures à 3.7.1. Afin de fournir une mise à jour fiable dans les meilleurs délais, seuls les correctifs correspondant aux références CVE ci-dessus ont été appliqués, et non pas la série complète de correctifs pour OpenSSH 3.7.1. Par conséquent, la version OpenSSH sous Mac OS X 10.2.8, telle qu’obtenue via la commande “ssh -V”, est la suivante : OpenSSH_3.4p1+CAN-2003-0693, SSH protocols 1.5/2.0, OpenSSL 0x0090609f
  • sendmail - Résout CAN-2003-0694 et CAN-2003-0681 et corrige un débordement de mémoire tampon dans l’analyse d’adresses ainsi qu’un débordement potentiel de mémoire tampon dans l’analyse de règles.
  • fb_realpath() - Résout CAN-2003-0466, une erreur exceptionnelle dans la fonction fb_realpath() susceptible de permettre à des intrus d’exécuter un code quelconque.
  • arplookup() - Résout CAN-2003-0804. La fonction arplookup() met en mémoire cache des requêtes ARP à acheminer sur un lien en local. Sur un sous-réseau local uniquement, un intrus peut envoyer un nombre suffisant de requêtes ARP usurpées qui épuiseront la mémoire du noyau, et aboutiront à un déni de service (saturation).

 

Pour obtenir des informations sur des mises à jour de sécurité antérieures, consultez “Mises à jour de sécurité Apple : jusqu’à août 2003”.

Date de publication: