À propos des correctifs de sécurité d’OS X Mountain Lion 10.8.2, d’OS X Lion 10.7.5 et de la mise à jour de sécurité 2012-004

Ce document décrit les correctifs de sécurité d’OS X Mountain Lion 10.8.2, d’OS X Lion 10.7.5 et de la mise à jour de sécurité 2012-004.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Pour obtenir des informations supplémentaires sur la sécurité produit d’Apple, consultez le site Web Sécurité produit d’Apple.

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article Comment utiliser la clé PGP du groupe de sécurité produit d’Apple.

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.

Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article Mises à jour de sécurité Apple.

Remarque : OS X Mountain Lion 10.8.2 inclut les correctifs de sécurité de Safari 6.0.1. Pour obtenir des informations supplémentaires, consultez l’article À propos des correctifs de sécurité de Safari 6.0.1.

• Apache

  Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : Apache présente plusieurs vulnérabilités.

  Description : la mise à jour 2.2.22 d’Apache permet de résoudre plusieurs vulnérabilités, la plus grave pouvant entraîner un refus de service. Pour en savoir plus, consultez le site Web d’Apache à l’adresse http://httpd.apache.org/. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-2011-3368

  CVE-2011-3607

  CVE-2011-4317

  CVE-2012-0021

  CVE-2012-0031

  CVE-2012-0053

• BIND

  Disponible pour : OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : un attaquant distant peut provoquer un refus de service sur les systèmes configurés de façon à exécuter BIND en tant que serveur de noms DNS.

  Description : la gestion des enregistrements DNS présentait un problème d’assertion accessible. Ce problème a été résolu par l’installation de BIND 9.7.6-P1. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-2011-4313

• BIND

  Disponible pour : OS X Lion 10.7 à 10.7.4, OS X Lion Server 10.7 à 10.7.4, OS X Mountain Lion 10.8 et 10.8.1.

  Conséquence : un attaquant distant peut être à l’origine d’un refus de service ou d’une corruption de données, ou obtenir des informations sensibles à partir de la mémoire de traitement dans des systèmes configurés de façon à exécuter BIND en tant que serveur de noms DNS.

  Description : le traitement des enregistrements DNS présentait un problème au niveau de la gestion de la mémoire. Le problème a été résolu par l’installation de BIND 9.7.6-P1 sur les systèmes OS X Lion et de BIND 9.8.3-P1 sur les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-2012-1667

• CoreText

  Disponible pour : OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : les applications utilisant CoreText peuvent être exposées à une fermeture inopinée ou à l’exécution arbitraire de code.

  Description : la gestion des glyphes de texte présentait un problème de vérification des limites, qui risquait de générer des lectures ou des écritures de mémoire hors limite. Ce problème a été résolu par une meilleure vérification des limites. Ce problème n’affecte pas les systèmes Mac OS X 10.6 ou OS X Mountain Lion.

  Référence CVE

  CVE-2012-3716 : Jesse Ruderman de Mozilla Corporation.

• Sécurité des données

  Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4, OS X Lion Server 10.7 à 10.7.4, OS X Mountain Lion 10.8 et 10.8.1.

  Conséquence : un attaquant bénéficiant d’une position privilégiée sur le réseau peut intercepter les identifiants de l’utilisateur ou d’autres données sensibles.

  Description : TrustWave, une autorité de certification racine de confiance, a émis, puis révoqué un certificat de sous-autorité de certification de l’un de ses agents de confiance. Cette sous-autorité de certification a facilité l’interception de communications sécurisées par le protocole TLS (Transport Layer Security). Cette mise à jour ajoute le certificat de la sous-autorité de certification concerné à la liste des certificats non sécurisés d’OS X.

• DirectoryService

  Disponible pour : Mac OS X 10.6.8 et Mac OS X Server 10.6.8.

  Conséquence : si le proxy DirectoryService est utilisé, un attaquant distant peut provoquer un déni de service ou l’exécution arbitraire de code.

  Description : le proxy DirectoryService présentait un dépassement de la mémoire tampon. Ce problème a été résolu par une meilleure vérification des limites. Ce problème n’affecte pas les systèmes OS X Lion et Mountain Lion.

  Référence CVE

  CVE-2012-0650 : aazubel en collaboration avec le programme Zero Day Initiative de HP.

• ImageIO

  Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : l’affichage d’une image PNG malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.

  Description : plusieurs problèmes de corruption de la mémoire existaient au niveau de la gestion des images PNG par libpng. Ces problèmes ont été résolus par une meilleure validation des images PNG. Ces problèmes n’affectent pas les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-2011-3026 : Jüri Aedla.

  CVE-2011-3048

• ImageIO

  Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : l’affichage d’une image TIFF malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.

  Description : un problème de dépassement d’entier existait au niveau de la gestion par libTIFF des images TIFF. Ce problème a été résolu par une meilleure validation des images TIFF. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-2012-1173 : Alexander Gavrun en collaboration avec le programme Zero Day Initiative de HP.

• Programme d’installation

  Disponible pour : OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : les administrateurs distants et les personnes disposant d’un accès physique au système peuvent obtenir les données du compte.

  Description : le correctif pour CVE-2012-0652 sous OS X Lion 10.7.4 empêchait l’enregistrement des mots de passe des utilisateurs dans le journal système et ne supprimait pas les anciennes entrées du journal. Ce problème a été résolu par la suppression des fichiers journaux contenant les mots de passe. Ce problème n’affecte pas les systèmes Mac OS X 10.6 ou OS X Mountain Lion.

  Référence CVE

  CVE-2012-0652

• Composants internationaux pour Unicode

  Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : les applications utilisant des composants internationaux pour Unicode peuvent se fermer de manière inopinée ou faire l’objet d’une exécution arbitraire de code.

  Description : un problème de dépassement de la mémoire tampon de la pile existait au niveau de la gestion des identifiants locaux ICU. Ce problème a été résolu par une meilleure vérification des limites. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-2011-4599

• Noyau

  Disponible pour : OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : un programme malveillant peut ignorer les restrictions sandbox.

  Description : la gestion des appels système de débogage présentait un problème de logique. Ceci peut permettre à un programme malveillant de déclencher l’exécution de codes dans d’autres programmes, à l’aide des mêmes privilèges d’utilisateur. Ce problème a été résolu par la désactivation des adresses dans PT_STEP et PT_CONTINUE. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-0643 : Jailbreak Dream Team iOS 2012.

• LoginWindow

  Disponible pour : OS X Mountain Lion 10.8 et 10.8.1.

  Conséquence : un utilisateur local peut obtenir les mots de passe de connexion d’autres utilisateurs.

  Description : une méthode de saisie installée par l’utilisateur pouvait intercepter les frappes de touches associées aux mots de passe dans la fenêtre d’ouverture de session ou la session de déverrouillage de l’économiseur d’écran. Ce problème a été résolu en empêchant l’utilisation des méthodes installées par l’utilisateur lors de la gestion par le système d’informations de connexion.

  Référence CVE

  CVE-2012-3718 : Lukhnos Liu.

• Mail

  Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : l’affichage d’un message électronique peut entraîner l’exécution de modules externes Web.

  Description : la gestion par Mail des modules externes intégrés présentait une erreur de validation de saisie. Ce problème a été résolu par la désactivation des modules externes tiers dans Mail. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-2012-3719 : Will Dormann du CERT/CC.

• Comptes mobiles

  Disponible pour : OS X Mountain Lion 10.8 et 10.8.1.

  Conséquence : un utilisateur ayant accès au contenu d’un compte mobile peut obtenir le mot de passe du compte.

  Description : la création d’un compte mobile a entraîné le hachage du mot de passe dans le compte, qui a été utilisé pour la connexion lors de l’utilisation du compte mobile en tant que compte externe. Le hachage du mot de passe a pu être utilisé pour accéder au mot de passe de l’utilisateur. Le problème a été résolu par la création du hachage du mot de passe uniquement lorsque les comptes externes sont activés sur le système sur lequel le compte mobile est créé.

  Référence CVE

  CVE-2012-3720 : Harald Wagener de Google, Inc.

• PHP

  Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4, OS X Lion Server 10.7 à 10.7.4, OS X Mountain Lion 10.8 et 10.8.1.

  Conséquence : PHP présente plusieurs vulnérabilités.

  Description :> la mise à jour 5.3.15 de PHP permet de résoudre plusieurs vulnérabilités, la plus grave pouvant entraîner l’exécution arbitraire de code. Pour obtenir des informations supplémentaires, consultez le site Web de PHP, à l’adresse http://www.php.net.

  Référence CVE

  CVE-2012-0831

  CVE-2012-1172

  CVE-2012-1823

  CVE-2012-2143

  CVE-2012-2311

  CVE-2012-2386

  CVE-2012-2688

• PHP

  Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : les scripts PHP utilisant libpng peuvent être exposés à la fermeture inopinée de l’application ou à l’exécution arbitraire de code.

  Description : la gestion par des fichiers PNG présentait un problème de corruption de la mémoire. Ce problème a été résolu par l’installation de la version 1.5.10 de la copie libpng de PHP. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-2011-3048

• Gestionnaire de profils

  Disponible pour : OS X Lion Server 10.7 à 10.7.4.

  Conséquence : un utilisateur non authentifié pouvait énumérer des appareils gérés.

  Description : l’interface privée de gestion des périphériques présentait un problème d’authentification. Ce problème a été résolu par la suppression de l’interface.

  Ce problème n’affecte pas les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-2012-3721 : Derick Cassidy de XEquals Corporation.

• QuickLook

  Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : la lecture d’un fichier .pict malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

  Description : la gestion des fichiers .pict présentait un problème de corruption de la mémoire. Ce problème a été résolu par une meilleure validation des images .pict. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-2012-0671 : Rodrigo Rubira Branco (twitter.com/bsdaemon) de Qualys Vulnerability & Malware Research Labs (VMRL).

• QuickTime

  Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : l’ouverture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

  Description : la gestion par QuickTime des atomes « sean » présentait un problème de dépassement d’entier. Ce problème a été résolu par une meilleure vérification des limites. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-2012-0670 : Tom Gallagher (Microsoft) et Paul Bates (Microsoft) en collaboration avec le programme Zero Day Initiative de HP.

• QuickTime

  Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : l’ouverture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

  Description : un problème d’accès à la mémoire non initialisée existait au niveau de la gestion des fichiers vidéo encodés au format Sorenson. Ce problème a été résolu par l’amélioration de l’initialisation de la mémoire. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-2012-3722 : Will Dormann du CERT/CC.

• QuickTime

  Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : l’ouverture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

  Description : la gestion des fichiers vidéo encodés au format RLE présentait un problème de dépassement de la mémoire tampon. Ce problème a été résolu par une meilleure vérification des limites. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-2012-0668 : Luigi Auriemma en collaboration avec le programme Zero Day Initiative de HP.

• Ruby

  Disponible pour : Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : un attaquant peut être en mesure de déchiffrer des données protégées par le protocole SSL.

  Description : la confidentialité des protocoles SSL 3.0 et TLS 1.0 est sujette à des attaques lorsqu’une suite de chiffrement utilise un chiffrement de bloc en mode d’enchaînement des blocs. Le module Ruby OpenSSL a désactivé la contre-mesure « fragment vide » qui permettait d’empêcher ces attaques d’aboutir. Ce problème a été résolu par l’activation des fragments vides. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-2011-3389

• USB

  Disponible pour : OS X Lion 10.7 à 10.7.4 et OS X Lion Server 10.7 à 10.7.4.

  Conséquence : la connexion d’un périphérique USB peut entraîner la fermeture inopinée du système ou l’exécution arbitraire de code.

  Description : la gestion des descripteurs de concentrateur USB présentait un problème de corruption de la mémoire. Ce problème a été résolu par l’amélioration de la gestion du champ du descripteur bNbrPorts. Ce problème n’affecte pas les systèmes OS X Mountain Lion.

  Référence CVE

  CVE-2012-3723 : Andy Davis de NGS Secure.