Cet article a été archivé et ne sera plus mis à jour par Apple.

À propos des correctifs de sécurité de la mise à jour de sécurité 2009-002/Mac OS X 10.5.7

Ce document décrit les correctifs de sécurité de la mise à jour de sécurité 2009-002/Mac OS X 10.5.7, qui peut être téléchargée et installée via les préférences Mise à jour de logiciels ou depuis la page Téléchargements Apple.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des informations supplémentaires sur la sécurité produit d’Apple, consultez le site web Sécurité produit d’Apple.

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article « Comment utiliser la clé PGP du groupe de sécurité produit d’Apple ».

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.

Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article Mises à jour de sécurité Apple.

Mise à jour de sécurité 2009-002/Mac OS X 10.5.7

  • Apache

    Référence CVE : CVE-2008-2939

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11

    Conséquence : l’accès à un site web malveillant via un proxy peut entraîner un problème d’injection de code indirect.

    Description : un problème de validation des entrées existe dans la gestion par Apache des requêtes de proxy FTP contenant des caractères génériques. La consultation d’un site web malveillant via un proxy Apache peut entraîner une attaque par injection de code indirecte. Cette mise à jour résout le problème en appliquant le correctif Apache pour la version 2.0.63. De plus amples informations sont disponibles sur le site web d’Apache à l’adresse : http://httpd.apache.org/ Apache 2.0.x est fourni uniquement avec les systèmes Mac OS X Server 10.4.x. Mac OS X 10.5.x et Mac OS X Server 10.5.x sont fournis avec Apache 2.2.x.

  • Apache

    Référence CVE : CVE-2008-2939

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : l’accès à un site web malveillant via un proxy peut entraîner un problème d’injection de code indirect.

    Description : un problème de validation des entrées existe dans la gestion par Apache 2.2.9 des requêtes de proxy FTP contenant des caractères génériques. La consultation d’un site web malveillant via un proxy Apache peut entraîner une attaque par injection de code indirecte. Cette mise à jour résout le problème en mettant à jour Apache vers la version 2.2.11. De plus amples informations sont disponibles sur le site web d’Apache à l’adresse : http://httpd.apache.org/

  • Apache

    Référence CVE : CVE-2008-0456

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : les sites web qui autorisent les utilisateurs à contrôler le nom d’un fichier accessible peuvent être vulnérables à une injection de réponse HTTP.

    Description : un problème d’injection de requêtes illégitimes existe dans Apache. Apache n’échappe pas les noms de fichier lors de la négociation du type de contenu correct à envoyer à un navigateur distant. Tout utilisateur pouvant publier sur un site web des fichiers aux noms spécialement conçus peut substituer sa propre réponse à n’importe quelle page web hébergée sur le système. Cette mise à jour résout le problème en échappant les noms de fichier dans les réponses aux négociations de contenu.

  • ATS

    Référence CVE : CVE-2009-0154

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : l’affichage ou le téléchargement d’un document contenant une police CFF intégrée conçue de manière malveillante peut entraîner l’exécution arbitraire de code.

    Description : il existe un dépassement de mémoire tampon au niveau de la gestion des polices CFF (Compact Font Format) par Apple Type Services. L’affichage ou le téléchargement d’un document contenant une police CFF intégrée conçue de manière malveillante peut entraîner l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Merci à Charlie Miller d’Independent Security Evaluators travaillant avec le programme Zero Day Initiative de TippingPoint d’avoir signalé ce problème.

  • BIND

    Référence CVE : CVE-2009-0025

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : BIND est susceptible de subir une attaque de spoofing s’il a été configuré pour utiliser le protocole DNSSEC.

    Description : BIND vérifie de façon erronée la valeur de retour de la fonction OpenSSL DSA_do_verify. Sur les systèmes utilisant le protocole d’extension de sécurité DNS (DNSSEC), un certificat DSA malveillant peut contourner la validation, ce qui peut entraîner une attaque de spoofing. Par défaut, le protocole DNSSEC n’est pas activé. Cette mise à jour résout le problème avec la mise à jour de BIND vers la version 9.3.6-P1 sur les systèmes Mac OS X 10.4 et vers la version 9.4.3-P1 sur les systèmes Mac OS X 10.5. De plus amples informations sont disponibles sur le site web d’ISC à l’adresse suivante : https://www.isc.org/

  • CFNetwork

    Référence CVE : CVE-2009-0144

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : les applications utilisant CFNetwork peuvent envoyer des cookies sécurisés dans des requêtes HTTP non chiffrées.

    Description : il existe un problème d’implémentation dans la façon dont CFNetwork analyse les en-têtes Set-Cookie, qui peut entraîner l’envoi inopiné de cookies sûrs via une connexion non chiffrée. Ce problème a des conséquences sur les en-têtes Set-Cookie non compatibles RFC qui sont acceptés pour des raisons de compatibilité. Cela peut se traduire par l’envoi d’informations sensibles dans des requêtes HTTP non chiffrées par les applications utilisant CFNetwork, comme Safari. Cette mise à jour résout le problème par une analyse améliorée des en-têtes Set-Cookie. Il ne concerne pas les systèmes antérieurs à Mac OS X 10.5. Nous remercions Andrew Mortensen de l’University of Michigan d’avoir signalé ce problème.

  • CFNetwork

    Référence CVE : CVE-2009-0157

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : la consultation d’un site web malveillant peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.

    Description : il existe un dépassement de mémoire tampon au niveau de la gestion des en-têtes HTTP excessivement longs dans CFNetwork. La consultation d’un site web malveillant peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code. Cette mise à jour corrige le problème en effectuant une validation supplémentaire des en-têtes HTTP. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X 10.5. Merci à Moritz Jodeit de n.runs AG d’avoir signalé ce problème.

  • CoreGraphics

    Référence CVE : CVE-2009-0145

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : l’ouverture d’un fichier PDF malveillant peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.

    Description : plusieurs problèmes de corruption de la mémoire existent dans la gestion des fichiers PDF par CoreGraphics. L’ouverture d’un fichier PDF malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code. Cette mise à jour résout les problèmes par la vérification améliorée des limites et des erreurs.

  • CoreGraphics

    Référence CVE : CVE-2009-0155

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : l’ouverture d’un fichier PDF malveillant peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.

    Description : un dépassement inférieur d’entier dans la gestion des fichiers PDF par CoreGraphics peut entraîner un dépassement de la mémoire tampon. L’ouverture d’un fichier PDF malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.5. Nous remercions Barry K. Nathan et Christian Kohlschutter de L3S Research Center d’avoir signalé ce problème.

  • CoreGraphics

    Références CVE : CVE-2009-0146, CVE-2009-0147, CVE-2009-0165

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : l’affichage ou le téléchargement d’un fichier PDF contenant un flux JBIG2 malveillant peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.

    Description : il existe des dépassements de mémoire tampon multiples dans la gestion par CoreGraphics des fichiers PDF contenant des flux JBIG2. L’affichage ou le téléchargement d’un fichier PDF contenant un flux JBIG2 malveillant peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Merci à Apple, Alin Rad Pop de Secunia Research, et Will Dormann de CERT/CC d’avoir signalé ce problème.

  • Cscope

    Référence CVE : CVE-2009-0148

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : le traitement d’un fichier source malveillant avec Cscope peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.

    Description : il existe un dépassement de la mémoire tampon de la pile au niveau du traitement par Cscope des noms de chemin d’accès fichier longs. L’utilisation de Cscope pour le traitement d’un fichier source malveillant peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites.

  • CUPS

    Référence CVE : CVE-2009-0164

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : la consultation d’un site web malveillant peut entraîner l’accès non autorisé à l’interface web de CUPS.

    Description : dans certaines circonstances, l’interface web de CUPS 1.3.9 et versions antérieures peut être victime d’attaques de type DNS Rebinding. Dans la configuration par défaut, cela permet à un site web construit de manière malveillante de lancer et d’arrêter les imprimantes, et d’accéder aux informations sur les imprimantes et les tâches. Cette mise à jour résout le problème en réalisant des validations supplémentaires des en-têtes d’hôte. Source : Apple.

  • Images disque

    Référence CVE : CVE-2009-0150

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : le montage d’une image disque malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.

    Description : il existe un dépassement de la mémoire tampon de la pile au niveau du traitement des images disque. Le montage d’une image disque de faible densité malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.5. Nous remercions Tiller Beauchamp d’IOActive d’avoir signalé ce problème.

  • Images disque

    Référence CVE : CVE-2009-0149

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : le montage d’une image disque malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.

    Description : il existe des problèmes de corruption de mémoire multiples dans la gestion des images disque. Le montage d’une image disque de faible densité malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Source : Apple.

  • enscript

    Références CVE : CVE-2004-1184, CVE-2004-1185, CVE-2004-1186, CVE-2008-3863

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : présence de plusieurs failles dans enscript.

    Description : la mise à jour 1.6.4 d’enscript résout plusieurs failles, dont la plus grave peut entraîner l’exécution arbitraire de code. Pour plus d’informations, consultez le site web de gnu à l’adresse : http://www.gnu.org/software/enscript/

  • Module Flash Player

    Références CVE : CVE-2009-0519, CVE-2009-0520, CVE-2009-0114

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : présence de plusieurs failles dans le module Adobe Flash Player.

    Description : plusieurs problèmes existent dans le module Adobe Flash Player, dont le plus grave peut provoquer l’exécution arbitraire de code lors de l’affichage d’un site web malveillant. Les problèmes sont corrigés en mettant à jour le module Flash Player des systèmes Mac OS 10.5.x vers la version 10.0.22.87 et des systèmes Mac OS X 10.4.11 vers la version 9.0.159.0. Pour plus d’informations, consultez le site web d’Adobe à l’adresse : http://www.adobe.com/support/security/bulletins/apsb09-01.html

  • Visualiseur d’aide

    Référence CVE : CVE-2009-0942

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : l’accès à une URL « help: » malveillante peut entraîner l’exécution arbitraire de code.

    Description : Visualiseur d’aide charge les feuilles de style en cascade référencées dans les paramètres de l’URL sans vérifier que les feuilles de style référencées sont situées dans le manuel d’aide enregistré. Une URL « help: » malveillante peut être utilisée pour invoquer des fichiers AppleScript quelconques, ce qui peut entraîner l’exécution arbitraire de code. Cette mise à jour résout le problème par une validation améliorée des chemins d’accès système aux fichiers lors du chargement des feuilles de style. Nous remercions Brian Mastenbrook d’avoir signalé ce problème.

  • Visualiseur d’aide

    Référence CVE : CVE-2009-0943

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : l’accès à une URL « help: » malveillante peut entraîner l’exécution arbitraire de code.

    Description : Visualiseur d’aide ne vérifie pas que les chemins d’accès complets aux documents HTML se trouvent dans les manuels d’aide enregistrés. Une URL « help: » malveillante peut être utilisée pour invoquer des fichiers AppleScript quelconques, ce qui peut entraîner l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une meilleure validation des URL « help: ». Nous remercions Brian Mastenbrook d’avoir signalé ce problème.

  • iChat

    Référence CVE : CVE-2009-0152

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : les communications AIM iChat configurées pour SSL peuvent s’afficher en clair.

    Description : iChat gère le protocole SSL (Secure Sockets Layer) pour les comptes AOL Instant Messenger et Jabber. iChat désactive automatiquement le protocole SSL pour les comptes AOL Instant Messenger lorsqu’il ne peut pas se connecter, et envoie ensuite les communications en clair jusqu’à ce que le protocole SSL soit de nouveau manuellement activé. Un attaquant distant ayant la possibilité d’observer le trafic réseau depuis un système concerné peut obtenir le contenu des conversations AOL Instant Messenger. Cette mise à jour résout le problème en changeant le comportement d’iChat de telle façon qu’il essaie toujours d’utiliser le protocole SSL et qu’il n’utilise des canaux moins sécurisés que lorsque la préférence « Require SSL » (Exiger SSL) n’est pas activée. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.5, car ils ne gèrent pas le protocole SSL pour les comptes iChat. Merci à Chris Adams d’avoir signalé ce problème.

  • Composants internationaux pour Unicode

    Référence CVE : CVE-2009-0153

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : des contenus malveillantes peuvent contourner les filtres des sites web et entraîner une injection de code indirecte.

    Description : un problème d’implémentation existe dans le traitement de certains encodages de caractères par ICU. L’utilisation d’ICU pour convertir des séquences d’octets non valides en Unicode peut entraîner une surconsommation, où les octets de queue sont considérés comme faisant partie du caractère original. Cette faille peut être exploitée par un attaquant pour contourner les filtres des sites web tentant d’atténuer l’injection de code indirecte. Cette mise à jour résout le problème par une amélioration du traitement des séquences d’octets non valides. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X 10.5. Merci à Chris Weber de Casaba Security d’avoir signalé ce problème.

  • IPSec

    Références CVE : CVE-2008-3651, CVE-2008-3652

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : plusieurs failles dans le démon racoon peuvent entraîner un déni de service.

    Description : il existe des fuites de mémoire multiples au niveau du démon racoon dans ipsec-tools avant la version 0.7.1, pouvant entraîner un déni de service. Cette mise à jour résout les problèmes par une meilleure gestion de la mémoire.

  • Kerberos

    Référence CVE : CVE-2009-0845

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : le traitement d’un paquet d’authentification malveillant peut entraîner un déni de service d’un programme fonctionnant avec Kerberos.

    Description : il existe un problème de déréférence des pointeurs null dans la prise en charge de SPNEGO Kerberos. Le traitement d’un paquet d’authentification malveillant peut entraîner un déni de service d’un programme fonctionnant avec Kerberos. Cette mise à jour résout le problème en ajoutant une vérification pour un pointeur null. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X version 10.5.

  • Kerberos

    Références CVE : CVE-2009-0846, CVE-2009-0847

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : le traitement d’un message encodé en ASN.1 et construit de manière malveillante peut entraîner un déni de service d’un programme fonctionnant avec Kerberos ou une exécution de code arbitraire.

    Description : il existe des problèmes de corruption de mémoire multiples dans la gestion par Kerberos des messages encodés en ASN.1. Le traitement d’un paquet d’authentification malveillant peut entraîner un déni de service d’un programme fonctionnant avec Kerberos. De plus amples informations sur les problèmes et les correctifs appliqués sont disponibles sur le site web de MIT Kerberos à l’adresse suivante : http://web.mit.edu/Kerberos/

  • Kerberos

    Référence CVE : CVE-2009-0844

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : le traitement d’un paquet de données Kerberos malveillant peut entraîner un déni de service d’un programme fonctionnant avec Kerberos.

    Description : il existe un accès mémoire hors limite dans Kerberos. Le traitement d’un paquet de données Kerberos malveillant peut entraîner un déni de service d’un programme fonctionnant avec Kerberos. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.5. Source : Apple.

  • Noyau

    Référence CVE : CVE-2008-1517

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : un utilisateur local peut obtenir des privilèges système.

    Description : il existe un problème d’index non vérifié dans la gestion par le noyau des files d’attente de travaux, qui peut entraîner une fermeture inopinée du système ou une exécution de code arbitraire avec des privilèges du noyau. Cette mise à jour résout le problème grâce à une vérification améliorée des index. Merci à un chercheur anonyme travaillant avec Verisign iDefense VCP d’avoir signalé ce problème.

  • Launch Services

    Référence CVE : CVE-2009-0156

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : le téléchargement d’un exécutable Mach-O malveillant peut entraîner la fermeture et le lancement répétés du Finder.

    Description : il existe un accès mémoire hors limite en lecture dans Launch Services. Le téléchargement d’un exécutable Mach-O construit de manière malveillante peut entraîner la fermeture et le lancement répétés du Finder. Cette mise à jour résout le problème grâce à une vérification améliorée des limites.

  • libxml

    Référence CVE : CVE-2008-3529

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : la consultation d’un site web malveillant peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.

    Description : il existe un dépassement de mémoire tampon au niveau de la gestion par libxml des noms d’entités longs. La consultation d’un site web malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites.

  • Net-SNMP

    Référence CVE : CVE-2008-4309

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : un attaquant distant peut interrompre le fonctionnement du service SNMP.

    Description : il existe un dépassement d’entier dans la fonction netsnmp_create_subtree_cache. En envoyant un paquet SNMPv3 malveillant, un attaquant peut provoquer la fermeture du serveur SNMP, refusant ainsi le service aux clients légitimes. Cette mise à jour résout le problème en appliquant les correctifs Net-SNMP aux systèmes Mac OS X 10.4.11 et en mettant à jour net_snmp vers la version 5.4.2.1 sur les systèmes Mac OS X 10.5.x. Par défaut, le service SNMP n’est pas activé sur Mac OS X ou Mac OS X Server.

  • Horloge de réseau

    Référence CVE : CVE-2009-0021

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : l’horloge de réseau est susceptible de subir une attaque d’usurpation d’adresse si l’authentification NTP est activée.

    Description : le démon ntdp vérifie de façon erronée la valeur de retour de la fonction OpenSSL EVP_VerifyFinal. Sur les systèmes utilisant l’authentification NTPv4, cela permet à une signature malveillante de contourner la validation de la signature cryptographique, ce qui peut entraîner une attaque de spoofing. Par défaut, l’authentification NTP n’est pas activée. Cette mise à jour résout le problème en vérifiant correctement la valeur de retour de la fonction EVP_VerifyFinal.

  • Horloge de réseau

    Référence CVE : CVE-2009-0159

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : l’utilisation de la commande ntpq pour une requête d’informations de pairs auprès d’un serveur horaire distant construit de manière malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.

    Description : il existe un dépassement de la mémoire tampon de la pile dans le programme ntpq. Lorsque le programme ntpq est utilisé pour demander des informations de pairs auprès d’un serveur horaire distant, une réponse construite de manière malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Source : Apple.

  • Réseau

    Référence CVE : CVE-2008-3530

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : un utilisateur distant peut entraîner une fermeture inopinée du système.

    Description : lorsque la gestion d’IPv6 est activée, les nœuds IPv6 emploient ICMPv6 pour signaler les erreurs rencontrées lors du traitement de paquets. Un problème d’implémentation dans le traitement des messages ICMPv6 « Paquet trop gros » entrants peut entraîner la fermeture inopinée du système. Le problème est résolu par une gestion améliorée des messages ICMPv6.

  • OpenSSL

    Référence CVE : CVE-2008-5077

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : un attaquant de type « homme du milieu » peut usurper l’identité d’un serveur ou utilisateur sûr dans les applications utilisant OpenSSL pour la vérification des certificats SSL.

    Description : plusieurs fonctions dans la bibliothèque OpenSSL vérifient de façon incorrecte la valeur de résultat de la fonction EVP_VerifyFinal. Un attaquant de type « homme du milieu » peut usurper l’identité d’un serveur ou utilisateur sûr dans les applications utilisant OpenSSL pour la vérification des certificats SSL pour les clés DSA et ECDSA. Cette mise à jour résout le problème en vérifiant correctement la valeur de retour de la fonction EVP_VerifyFinal.

  • PHP

    Références CVE : CVE-2008-3659, CVE-2008-2829, CVE-2008-3660, CVE-2008-2666, CVE-2008-2371, CVE-2008-2665, CVE-2008-3658, CVE-2008-5557

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6.

    Conséquence : présence de plusieurs failles dans PHP 5.2.6.

    Description : PHP est mis à jour vers la version 5.2.8 pour corriger plusieurs failles, dont la plus grave peut entraîner l’exécution arbitraire de code. De plus amples informations sont disponibles sur le site web de PHP à l’adresse suivante : http://www.php.net/

  • QuickDraw Manager

    Référence CVE : CVE-2009-0160

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : l’ouverture d’une image PICT malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.

    Description : il existe un problème de corruption de mémoire dans la gestion des images PICT par QuickDraw. L’ouverture d’une image PICT malveillante peut entraîner une fermeture inopinée de l’application ou l’exécution arbitraire de code. Cette mise à jour résout le problème en procédant à une validation supplémentaire des images PICT. Source : Apple.

  • QuickDraw ManagerRéférence CVE : CVE-2009-2322Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6Conséquence : l’ouverture d’une image PICT malveillante peut entraîner une fermeture inopinée de l’application ou l’exécution arbitraire de code.Description : un dépassement inférieur d’entier dans la gestion des images PICT peut entraîner un dépassement de tampon de tas. L’ouverture d’un fichier PICT malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code. Cette mise à jour résout le problème en procédant à une validation supplémentaire des images PICT. Nous remercions Damian Put et Sebastian Apelt, qui travaillent pour le programme Zero Day Initiative de TippingPoint, et Chris Ries, des services informatiques de l’Université Carnegie Mellon, d’avoir signalé ce problème.

  • ruby

    Références CVE : CVE-2008-3443, CVE-2008-3655, CVE-2008-3656, CVE-2008-3657, CVE-2008-3790

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6.

    Conséquence : présence de plusieurs failles dans Ruby 1.8.6.

    Description : Ruby 1.8.6 présente plusieurs failles. Cette mise à jour résout les problèmes en mettant à jour Ruby avec la version 1.8.6-p287. Pour plus d’informations, consultez le site web de Ruby à l’adresse : http://www.ruby-lang.org/en/security/

  • Images disque

    Référence CVE : CVE-2009-0161

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : les programmes Ruby peuvent accepter des certificats révoqués.

    Description : il existe une vérification incomplète des erreurs dans l’utilisation de la bibliothèque OpenSSL par Ruby. Le module Ruby OpenSSL::OCSP peut interpréter une réponse non valide comme une validation OCSP du certificat. Cette mise à jour résout les problèmes par une vérification améliorée des erreurs lors de la vérification des réponses OCSP.

  • Safari

    Référence CVE : CVE-2009-0162

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : l’accès à une URL « feed: » malveillante peut entraîner l’exécution de code arbitraire.

    Description : plusieurs problèmes de validation des entrées existent dans la gestion des URL « feed: » par Safari. L’accès à une URL « feed: » malveillante peut entraîner l’exécution de code JavaScript arbitraire. Cette mise à jour résout les problèmes en procédant à une validation supplémentaire des URL « feed: ». Ces problèmes ne concernent pas les systèmes antérieurs à Mac OS X 10.5. Nous remercions Billy Rios, de Microsoft Vulnerability Research (MSVR), et Alfredo Melloni d’avoir signalé ces problèmes.

  • Spotlight

    Référence CVE : CVE-2009-0944

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : le téléchargement d’un fichier Microsoft Office malveillant peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.

    Description : il existe plusieurs problèmes de corruption de mémoire dans l’Importateur Spotlight de Microsoft Office pour Mac OS X. Le téléchargement d’un fichier Microsoft Office malveillant peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code. Cette mise à jour résout le problème en effectuant une validation supplémentaire des fichiers Microsoft Office.

  • system_cmds

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : la commande « login » exécute toujours le shell par défaut avec la priorité normale.

    Description : la commande « login » exécute un shell interactif après l’authentification d’un utilisateur local. Le niveau de priorité pour le shell interactif est réinitialisé sur sa définition système par défaut, ce qui peut conduire à l’exécution du shell à une priorité étonnamment élevée. Cette mise à jour résout le problème en respectant le réglage de priorité du processus d’appel si l’appelant est le superutilisateur ou l’utilisateur connecté.

  • telnet

    Référence CVE : CVE-2009-0158

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : la connexion à un serveur TELNET avec un nom canonique très long dans son enregistrement d’adresse DNS peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.

    Description : il existe un dépassement de la mémoire tampon de la pile dans la commande telnet. La connexion à un serveur TELNET avec un nom canonique très long dans son enregistrement d’adresse DNS peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Source : Apple.

  • Terminal

    Référence CVE : CVE-2009-1717

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : l’utilisation de Terminal pour se connecter à un système distant peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.

    Description : un dépassement d’entier dans la gestion des tailles de fenêtre Terminal peut entraîner un dépassement de la mémoire tampon. L’utilisation de Terminal pour se connecter à un système distant, par exemple en ouvrant une URL « telnet: », peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code. Ce problème a été résolu par la limitation de la largeur des fenêtres Terminal à 2 048 caractères. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X 10.5. Merci à Rob King de TippingPoint DVLabs d’avoir signalé ce problème.

  • WebKit

    Référence CVE : CVE-2009-0945

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : la consultation d’un site web construit de manière malveillante peut conduire à l’exécution arbitraire de code.

    Description : il existe un problème de corruption de la mémoire au niveau de la gestion par WebKit des objets SVGList. La consultation d’un site web malveillant peut entraîner l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Pour Mac OS X 10.4.11 et Mac OS X Server 10.4.11, la mise à jour vers Safari 3.2.3 corrigera ce problème. Nous remercions Sanbin Li en collaboration avec le programme Zero Day Initiative de TippingPoint d’avoir signalé ce problème.

  • X11

    Références CVE-2006-0747, CVE-2007-2754

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11

    Conséquence : présence de plusieurs failles dans FreeType 2.1.4.

    Description : plusieurs failles existent dans FreeType 2.1.4, dont la plus grave peut entraîner l’exécution arbitraire de code lors du traitement d’une police malveillante. Cette mise à jour résout les problèmes en mettant à jour FreeType vers la version 2.3.8. Vous trouverez des informations supplémentaires sur le site web de FreeType à l’adresse http://www.freetype.org/. Les problèmes ont déjà été corrigés dans les systèmes exécutant Mac OS X 10.5.6.

  • X11

    Référence CVE : CVE-2008-2383

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : l’affichage de données malveillantes dans un terminal xterm peut conduire à l’exécution arbitraire de code.

    Description : le programme xterm gère une séquence de commande appelée DECRQSS, qui peut être utilisée pour renvoyer des informations sur le terminal actif. Les informations renvoyées sont envoyées sous forme d’entrées semblables à une saisie clavier par un utilisateur. Dans un terminal xterm, l’affichage des données malveillantes contenant de telles séquences peut conduire à une injection de commande. Cette mise à jour résout le problème en réalisant une validation supplémentaire sur les données de sortie. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X version 10.5.

  • X11

    Références CVE : CVE-2008-1382, CVE-2008-0040

    Disponible pour : Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : présence de plusieurs failles dans libpng version 1.2.26.

    Description : plusieurs failles existent dans libpng version 1.2.26, dont la plus grave peut entraîner l’exécution arbitraire de code. Cette mise à jour résout les problèmes en mettant à jour libpng vers la version 1.2.35. Vous trouverez des informations supplémentaires sur le site web de libpng à l’adresse : http://www.libpng.org/pub/png/libpng.html Ces problèmes ne concernent pas les systèmes antérieurs à Mac OS X 10.5.

  • X11

    Référence CVE : CVE-2009-0946

    Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X version 10.5 à 10.5.6, Mac OS X Server version 10.5 à 10.5.6

    Conséquence : présence de plusieurs failles dans FreeType 2.3.8.

     : il existe des dépassements d’entier multiples dans FreeType 2.3.8, pouvant entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code. Cette mise à jour résout les problèmes par une meilleure vérification des limites. Nous remercions Tavis Ormandy, de l’équipe de sécurité de Google, d’avoir signalé ces problèmes.

Important : les mentions de sites web et de produits tiers ne sont fournies qu’à titre indicatif et ne constituent ni une recommandation ni une approbation d’Apple. Apple n’assume aucune responsabilité en ce qui concerne la sélection, les performances ou l’utilisation des informations ou des produits disponibles sur les sites web tiers. Apple fournit ces informations uniquement pour rendre service à ses utilisateurs. Apple n’a pas vérifié les informations qui se trouvent sur lesdits sites et n’effectue aucune déclaration concernant leur exactitude ou leur fiabilité. L’utilisation d’informations ou de produits trouvés sur Internet comporte des risques, et Apple n’assume aucune responsabilité à cet égard. Veuillez noter que les sites web tiers sont indépendants d’Apple et qu’Apple n’a aucun contrôle sur leur contenu. Veuillez contacter le fournisseur pour obtenir plus d’informations.

Date de publication: