Cet article a été archivé et ne sera plus mis à jour par Apple.

Mises à jour de sécurité Apple (jusqu’en août 2003)

Ce document présente les mises à jour de sécurité disponibles pour les produits Apple. Remarque : dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou les mises à jour nécessaires ne sont pas disponibles.

Important : ce document répertorie les mises à jour et les versions de logiciels publiées jusqu’en août 2023 (2003-08) , telles que Mac OS X 10.1, 10.2 et 10.2.6, ainsi que la mise à jour de sécurité 2003-08-14. Pour obtenir des informations sur les mises à jour de sécurité ultérieures, consultez l’un des documents ci-dessous :

Obtention de Mac OS X

Vous trouverez des informations sur l’obtention de Mac OS X sur le site web de Mac OS X (http://www.apple.com/fr/macosx/).

Vous trouverez des informations sur l’obtention de Mac OS X Server sur le site web de Mac OS X Server (http://www.apple.com/fr/macosx/server/).

Vous trouverez des informations sur la clé PGP de sécurité produit d’Apple dans la documentation technique 25314 intitulée « Comment utiliser la clé PGP de sécurité produit d’Apple ».

Les mises à jour logicielles sont disponibles via les méthodes suivantes :

Mises à jour de sécurité : jusqu’en août 2003

Les mises à jour de sécurité sont répertoriées ci-dessous en fonction de la version du logiciel dans laquelle elles ont été publiées pour la première fois. Des références CVE (http://cve.mitre.org/cve/) servent à répertorier les vulnérabilités et à fournir des informations supplémentaires.

Pour obtenir des informations sur les mises à jour de sécurité ultérieures, consultez la documentation technique 61798 intitulée « Mises à jour de sécurité Apple ».

Mise à jour de sécurité 2003-08-14

  • fb_realpath() : corrige CAN-2003-0466, une vulnérabilité potentielle dans la fonction fb_realpath(), en particulier dans les projets FTPServer et Libc, permettant à un utilisateur local ou distant de bénéficier de privilèges racine non autorisés sur un système.

Mise à jour de sécurité 2003-07-23

  • Corrige CAN-2003-0601 afin d’améliorer la sécurité de votre système en attribuant un mot de passe « désactivé » à un nouveau compte créé par Workgroup Manager jusqu’au premier enregistrement dudit compte. De cette façon, aucune personne non autorisée ne peut accéder au nouveau compte.

Mise à jour de sécurité 2003-07-14

  • Screen Effects Password : corrige CAN-2003-0518, une vulnérabilité potentielle qui se présente lorsqu’un mot de passe est requis une fois la fonctionnalité Effets d’écran quittée et qui permettrait à un utilisateur non autorisé d’accéder au bureau de l’utilisateur connecté. Nous remercions Denis Ahrens d’avoir signalé ce problème.

Mise à jour de sécurité 2003-06-12 (Mac OS X Server uniquement)

  • Apache 2.0 : corrige CAN-2003-0245 en remplaçant la version 2.0.45 d’Apache par la version 2.0.46 afin de remédier à une faille de sécurité dans le module mod_dav qui pourrait être exploitée à distance et provoquer le plantage du processus du serveur Apache Web. Apache 1.3 n’est pas concerné par cette mise à jour et demeure le serveur web principal sur Mac OS X Server. Apache 2.0 est fourni avec Mac OS X Server, mais est désactivé par défaut.

  • dsimportexport : corrige CAN-2003-0420, une vulnérabilité permettant à un utilisateur connecté d’afficher éventuellement le nom et le mot de passe du compte sur lequel l’outil dsimportexport est exécuté.

Mise à jour de sécurité 2003-06-09 (version 2.0)

  • AFP : corrige CAN-2003-0379. Sous Mac OS X Server, lorsque le service de fichiers Apple (serveur AFP) partage des fichiers sur un volume NFS repartagé ou UFS, une vulnérabilité potentielle existe et peut permettre à un utilisateur distant d’écraser des fichiers arbitraires.

  • Directory Services : corrige CAN-2003-0378. Lorsqu’un utilisateur se connecte via Kerberos sur un serveur LDAPv3, le mot de passe associé au compte peut être envoyé en texte clair alors que la fenêtre de connexion tente à nouveau de réaliser une liaison simple sur le serveur.

Safari 1.0 Beta 2 (v74)

Mac OS X 10.2.6

  • IPSec : corrige CAN-2003-0242, une vulnérabilité qui se présente lorsque des politiques de sécurité des demandes entrantes associées par port ne sont pas associées au bon trafic.

Mac OS X 10.2.5

  • Apache 2.0 : corrige CAN-2003-0132, un déni de service dans les versions 2.0 à 2.0.44 d’Apache. Apache 2.0 est fourni uniquement avec Mac OS X Server et est désactivé par défaut.

  • Directory Services : corrige CAN-2003-0171. Escalade des privilèges DirectoryServices et attaque par déni de service. DirectoryServices fait partie du sous-système de services d’informations de Mac OS X et de Mac OS X Server. Il est lancé au démarrage, est programmé avec le bit setuidroot et détenu par l’utilisateur root, et est installé par défaut. Un attaquant local peut modifier une variable d’environnement, ce qui lui permettrait d’exécuter des commandes arbitraires en tant qu’utilisateur root. Nous remercions Dave G de @stake, Inc d’avoir identifié cette vulnérabilité.

  • File Sharing/Service : corrige CAN-2003-0198, une vulnérabilité permettant l’affichage du contenu du dossier DropBox en écriture seule. Lorsque la fonctionnalité Partage de fichiers personnel sous Mac OS X ou le service de fichiers Apple sous Mac OS X Server est activé(e), un dossier DropBox est disponible par défaut et permet aux personnes de déposer des fichiers. Grâce à cette mise à jour, aucun invité n’est plus autorisé à modifier le dossier DropBox.

  • OpenSSL : corrige CAN-2003-0131. Attaque Klima-Pokorny-Rosa sur le remplissage PKCS #1 version 1.5. Le correctif de l’équipe OpenSSL, qui remédie à cette vulnérabilité, est appliqué à Mac OS X et à Mac OS X Server.

  • Samba : corrige CAN-2003-0201, une vulnérabilité permettant à un utilisateur anonyme d’obtenir un accès racine distant en raison d’un dépassement de tampon. Le partage de fichiers Windows intégré s’appuie sur la technologie à code source ouvert Samba et est désactivé par défaut sous Mac OS X.

  • sendmail : corrige CAN-2003-0161, une vulnérabilité à cause de laquelle le code d’analyse des adresses dans sendmail ne vérifie pas correctement la longueur des adresses e-mail. Seul le correctif de l’équipe sendmail est appliqué à la version actuellement fournie de sendmail sous Mac OS X et Mac OS X Server.

QuickTime 6.1 pour Windows

  • Corrige CAN-2003-0168, une vulnérabilité potentielle dans QuickTime Player pour Windows permettant à un attaquant distant de compromettre la sécurité d’un système cible. Cette situation n’est possible que si l’attaquant arrive à convaincre un utilisateur de charger une URL QuickTime spécialement conçue. Une fois cette vulnérabilité exploitée, du code arbitraire peut être exécuté avec les privilèges de l’utilisateur QuickTime.

Mise à jour de sécurité 2003-03-24

  • Samba : corrige CAN-2003-0085 et CAN-2003-0086, des vulnérabilités permettant à un utilisateur distant d’accéder de façon non autorisée au système hôte. Le partage de fichiers Windows intégré s’appuie sur la technologie à code source ouvert Samba et est désactivé par défaut sous Mac OS X. Cette mise à jour n’applique les correctifs de sécurité qu’à la version actuellement fournie de Samba (soit la version 2.2.3) sous Mac OS X 10.2.4. La version de Samba est par ailleurs inchangée.

  • OpenSSL : corrige CAN-2003-0147 afin de résoudre un problème concernant les clés privées RSA dont la sécurité peut être compromise lors de la communication via des réseaux LAN ou d’un réseau Internet2/Abilene et lors des communications interprocessus sur une machine en local.

Mise à jour de sécurité 2003-03-03

  • Sendmail : corrige CAN-2002-1337, une vulnérabilité permettant à un attaquant distant d’obtenir des privilèges élevés sur des hôtes impactés. Sendmail est désactivé par défaut sous Mac OS X. Par conséquent, seuls les systèmes sur lesquels sendmail est explicitement activé sont impactés par cette vulnérabilité. Toutefois, nous recommandons à tous les utilisateurs de Mac OS X d’installer cette mise à jour. Le correctif pour sendmail figure dans la mise à jour de sécurité 2003-03-03.

  • OpenSSL : corrige CAN-2003-0078, une vulnérabilité permettant en théorie à un tiers d’extraire le texte brut d’origine de messages chiffrés envoyés via un réseau. La mise à jour de sécurité 2003-03-03 applique ce correctif sous Mac OS X 10.2.4. Les clients disposant d’une version antérieure de Mac OS X peuvent télécharger la version la plus récente d’openssl directement sur le site web d’OpenSSL : http://www.openssl.org/

Mac OS X 10.2.4 (client)

  • Sendmail : corrige CAN-2002-0906. Dépassement de tampon dans les versions de Sendmail antérieures à 8.12.5, lorsque Sendmail est configuré pour utiliser une carte DNS personnalisée afin d’interroger des enregistrements TXT, qui pourrait entraîner une attaque par déni de service et une éventuelle exécution de code arbitraire. Mac OS X 10.2.4 contient Sendmail 8.12.6, ainsi que le correctif SMRSH appliqué pour remédier également à la vulnérabilité CAN-2002-1165.

  • AFP : corrige CAN-2003-0049. « Autorisations de connexion AFP pour l’administrateur système ». Propose une option qui permet d’autoriser ou non un administrateur système à se connecter en tant qu’utilisateur en s’authentifiant par le biais de son mot de passe d’administrateur. Auparavant, les administrateurs pouvaient se connecter en tant qu’utilisateur en s’authentifiant par le biais de leur propre mot de passe d’administrateur.

  • Classic : corrige CAN-2003-0088, une vulnérabilité permettant à un attaquant de modifier une variable d’environnement afin de créer des fichiers arbitraires ou d’écraser des fichiers existants, ce qui pourrait entraîner l’obtention de privilèges élevés. Nous remercions Dave G. de @stake, Inc. d’avoir identifié ce problème.

  • Samba : les versions antérieures de Mac OS X ne sont pas impactées par CAN-2002-1318, un problème de vérification par Samba de la longueur des mots de passe chiffrés modifiés. Mac OS X a actuellement recours aux services d’annuaire dans le cadre de l’authentification et ne s’appuie pas sur la fonction Samba exposée à la vulnérabilité. Toutefois, pour empêcher toute exploitation future potentielle par le biais de cette fonction, le correctif de Samba 2.2.7 a été appliqué bien que la version de Samba n’ait subi aucune modification dans le cadre de cette mise à jour. Vous trouverez davantage d’informations à ce sujet sur le site http://samba.org/

Mac OS X Server 10.2.4

  • QuickTime Streaming Server : corrige CAN-2003-0050, une vulnérabilité entraînant l’exécution de commandes arbitraires QTSS. Le serveur QuickTime Streaming Administration Server s’appuie sur l’application parse_xml.cgi pour authentifier et connecter l’utilisateur. Cette interface CGI peut passer une entrée non validée, ce qui permettrait à un attaquant distant d’exécuter du code arbitraire sur le serveur et de bénéficier de privilèges racine. Nous remercions Dave G. de @stake, Inc. d’avoir identifié cette vulnérabilité.

  • QuickTime Streaming Server : corrige CAN-2003-0051, une vulnérabilité permettant l’affichage du chemin d’accès physique à QTSS. Le serveur QuickTime Streaming Administration Server s’appuie sur l’application parse_xml.cgi pour authentifier et connecter l’utilisateur. Cette interface CGI servirait à afficher le chemin d’accès physique sur lequel les serveurs Darwin/QuickTime Administration Servers sont installés. Nous remercions @stake, Inc. d’avoir identifié cette vulnérabilité.

  • QuickTime Streaming Server : corrige CAN-2003-0052, une vulnérabilité liée aux listes de répertoires QTSS. Le serveur QuickTime Streaming Administration Server s’appuie sur l’application parse_xml.cgi pour authentifier et connecter l’utilisateur. Cette interface CGI servirait à afficher les listes de répertoires arbitraires en raison d’un défaut de validation des entrées de l’utilisateur dans l’application. Nous remercions Ollie Whitehouse de @stake, Inc. d’avoir identifié cette vulnérabilité.

  • QuickTime Streaming Server : corrige CAN-2003-0053, une vulnérabilité liée aux identifiants de connexion QTSS. Le serveur QuickTime Streaming Administration Server s’appuie sur l’application parse_xml.cgi pour authentifier et connecter l’utilisateur. Une vulnérabilité dans la gestion des messages d’erreur de cette interface CGI pourrait être exploitée dans le cadre d’une attaque par injection de code indirect afin d’obtenir des identifiants de connexion valides. Nous remercions Ollie Whitehouse de @stake, Inc. d’avoir identifié cette vulnérabilité.

  • QuickTime Streaming Server : corrige CAN-2003-0054, une vulnérabilité entraînant l’exécution de commandes arbitraires lors de la consultation des historiques QTSS. Si un utilisateur non authentifié du serveur QuickTime Streaming Server adresse une requête au port de diffusion, la demande est alors consignée dans le fichier d’historique. Il est possible de concevoir la demande afin que du code arbitraire soit exécuté lorsque l’administrateur système consulte les historiques par le biais d’un navigateur. Nous remercions Ollie Whitehouse de @stake, Inc. d’avoir identifié cette vulnérabilité.

  • QuickTime Streaming Server : corrige CAN-2003-0055. Dépassement de tampon dans l’application de diffusion de contenus MP3. L’application indépendante MP3Broadcaster présente un problème de dépassement de tampon. Lorsque le nom d’un fichier MP3 dépasse 256 octets, un dépassement de tampon survient. Des utilisateurs locaux/ftp pourraient exploiter cette vulnérabilité pour bénéficier de privilèges élevés. Nous remercions Ollie Whitehouse de @stake, Inc. d’avoir identifié cette vulnérabilité.

  • Sendmail : corrige CAN-2002-0906. Dépassement de tampon dans les versions de Sendmail antérieures à 8.12.5, lorsque Sendmail est configuré pour utiliser une carte DNS personnalisée afin d’interroger des enregistrements TXT, qui pourrait entraîner une attaque par déni de service et une éventuelle exécution de code arbitraire. Mac OS X 10.2.4 contient Sendmail 8.12.6, ainsi que le correctif SMRSH appliqué pour remédier également à la vulnérabilité CAN-2002-1165.

  • AFP : corrige CAN-2003-0049. « Autorisations de connexion AFP pour l’administrateur système ». Propose une option qui permet d’autoriser ou non un administrateur système à se connecter en tant qu’utilisateur en s’authentifiant par le biais de son mot de passe d’administrateur. Auparavant, les administrateurs pouvaient se connecter en tant qu’utilisateur en s’authentifiant par le biais de leur propre mot de passe d’administrateur.

  • Classic : corrige CAN-2003-0088, une vulnérabilité permettant à un attaquant de modifier une variable d’environnement afin de créer des fichiers arbitraires ou d’écraser des fichiers existants, ce qui pourrait entraîner l’obtention de privilèges élevés. Nous remercions Dave G. de @stake, Inc. d’avoir identifié ce problème.

  • Samba : les versions antérieures de Mac OS X ne sont pas impactées par CAN-2002-1318, un problème de vérification par Samba de la longueur des mots de passe chiffrés modifiés. Mac OS X a actuellement recours aux services d’annuaire dans le cadre de l’authentification et ne s’appuie pas sur la fonction Samba exposée à la vulnérabilité. Toutefois, pour empêcher toute exploitation future potentielle par le biais de cette fonction, le correctif de Samba 2.2.7 a été appliqué bien que la version de Samba n’ait subi aucune modification dans le cadre de cette mise à jour. Vous trouverez davantage d’informations à ce sujet sur le site http://samba.org/

  • Integrated WebDAV Digest Authentication : le module Apache mod_digest_apple a été ajouté afin de faciliter l’activation de l’authentification Digest pour un domaine WebDAV existant. Il n’est donc plus nécessaire de conserver un fichier Digest distinct contenant la liste des utilisateurs, des mots de passe et des domaines autorisés. Le module mod_digest_apple fonctionne en coordination avec Open Directory pour authentifier les utilisateurs. Pour obtenir des informations supplémentaires à ce sujet, ouvrez le visualiseur d’aide après avoir installé Mac OS X Server 10.2.4, sélectionnez l’aide de Mac OS X Server dans le tiroir, puis recherchez « Nouveau : activation de l’authentification WebDAV Digest intégrée ».

Mac OS X 10.2.3

  • fetchmail : corrige CAN-2002-1174 et CAN-2002-1175, des vulnérabilités qui pourraient occasionner un déni de service potentiel lors de l’utilisation de l’outil de ligne de commande fetchmail. La version 6.1.2+IMAP-GSS+SSL+INET6 de fetchmail est installée.

  • CUPS : fournit des correctifs pour les problèmes potentiels suivants qui peuvent être exploités à distance lorsque le partage d’imprimante est activé. Par défaut, le partage d’imprimante est désactivé sous Mac OS X ou Mac OS X Server.

  • CAN-2002-1383 : plusieurs problèmes de dépassement d’entier

  • CAN-2002-1366 : problème de concurrence /etc/cups/certs/

  • CAN-2002-1367 : ajout d’imprimantes avec des paquets UDP

  • CAN-2002-1368 : problèmes d’appel de la fonction Memcpy() à longueur négative

  • CAN-2002-1384 : problèmes de dépassement d’entier dans le filtre pdftops et dans Xpdf

  • CAN-2002-1369 : problème d’appel non sécurisé de la fonction Strncat dans jobs.c

  • CAN-2002-1370 : défaut de conception du certificat racine

  • CAN-2002-1371 : problèmes d’image à largeur nulle dans filters/image-gif.c

  • CAN-2002-1372 : fuites de descripteurs de fichiers

Mise à jour de sécurité 2002-11-21

BIND : installation de la version 8.3.4 afin de remédier aux vulnérabilités potentielles dans le serveur de domaine et la bibliothèque client de l’Internet Software Consortium (ISC) qui sont fournis avec Mac OS X et Mac OS X Server. Par défaut, BIND est désactivé sous Mac OS X ou Mac OS X Server.

Références CVE : CAN-2002-1219, CAN-2002-1220, CAN-2002-1221, CAN-2002-0029

Vous trouverez des informations supplémentaires sur les pages http://www.cert.org/advisories/CA-2002-31.htmlhttp://www.kb.cert.org/vuls/id/457875

Mac OS X 10.2.2Cette mise à jour résout les problèmes de sécurité potentiels mentionnés ci-dessous :

  • CAN-2002-1266 : élévation des privilèges d’un utilisateur local par le biais d’un fichier image disque Un utilisateur local peut bénéficier de privilèges élevés sur un système en ouvrant un fichier image disque qui a été créé sur un autre ordinateur disposant de privilèges de niveau administrateur.

  • CAN-2002-0830 : il s’agit de FreeBSD-SA-02:36.nfs, une vulnérabilité potentielle dans le système de gestion de fichiers en réseau (NFS) permettant à un attaquant distant de provoquer un déni de service.

  • IP Firewall : dans certains cas, le coupe-feu ipfw intégré à Mac OS X peut bloquer des paquets que les règles du coupe-feu autorisent de façon explicite. Cette situation ne correspond pas aux critères formels d’une faille de sécurité et n’est pas associée à une référence CVE.

  • CAN-2002-1267 : utilitaire CUPS Printing Web Administration accessible à distance. Un utilisateur malveillant pourrait accéder au port et exécuter l’utilitaire CUPS Printing Web Administration. Il peut alors provoquer un déni de service pour une imprimante.

  • CAN-2002-1268 : élévation des privilèges d’un utilisateur par le biais du montage d’un CD ISO 9600. Les utilisateurs pourraient bénéficier de privilèges élevés lorsqu’ils sont connectés à un système mettant un CD ISO 9600 à la disposition du système de fichiers.

  • CAN-2002-1269 : application NetInfo Manager susceptible d’autoriser l’accès à filesystem. Une faille de sécurité existe au niveau de l’application NetInfo Manager et permettrait à un utilisateur malveillant de naviguer dans le système de fichiers.

  • CAN-2002-1270 : appel système Mach map_fd() susceptible d’autoriser la lecture d’un fichier. L’appel système Mach map_fd() peut permettre à un appelant de lire un fichier alors qu’il ne dispose que d’un accès en écriture.

  • CAN-2002-1265 : problème TCP dans RPC. L’intégration de la libc basée sur RPC ne lit pas correctement les données des connexions TCP. En conséquence, un attaquant distant pourrait occasionner un déni de service au niveau des démons de système. Vous trouverez des informations supplémentaires dans la note de vulnérabilité n° 266817 de CERT disponible sur la page http://www.kb.cert.org/vuls/id/266817

  • CAN-2002-0839, CAN-2002-0840, CAN-2002-0843 : Apache. La version 1.3.27 d’Apache est installée pour résoudre un certain nombre de problèmes.

Mac OS X Server 10.2.2

  • Intègre tous les correctifs de sécurité mentionnés dans Mac OS X 10.2.2, ainsi que CAN-2002-0661, CAN-2002-0654, CAN-2002-0654 : Apache 2. Apache 2 est fourni avec Mac OS X Server, mais est désactivé par défaut. La version 2.0.42 d’Apache est installée pour résoudre un certain nombre de problèmes.

Mise à jour de sécurité 2002-10-15 pour StuffIt Expander

  • Stuffit Expander : CAN-2002-0370. Cette mise à jour remédie à une faille de sécurité potentielle au niveau des versions 6.5.2 et antérieures de Stuffit Expander. Vous trouverez des informations supplémentaires sur la page http://www.kb.cert.org/vuls/id/383779.

Mise à jour de sécurité 2002-09-20

  • Terminal : cette mise à jour remédie à une vulnérabilité potentielle qui est apparue dans la version 1.3 (v81) de Terminal fournie avec Mac OS X 10.2 et qui permettrait à un attaquant d’exécuter des commandes arbitraires à distance sur le système de l’utilisateur. Grâce à cette mise à jour, la version 1.3.1 (v82) de Terminal a été installée.

Mise à jour de sécurité 2002-08-23

  • Cette mise à jour de sécurité concerne Mac OS X 10.2 et applique les correctifs contenus dans la mise à jour de sécurité 2002-08-02 qui concernait Mac OS X 10.1.5.

Mise à jour de sécurité 2002-08-20

  • Secure Transport : cette mise à jour améliore la vérification des certificats sous OS X et est désormais en parfaite conformité avec le certificat Public Key Infrastructure Internet X.509 et le profil CRL (RFC2459).

Mise à jour de sécurité 2002-08-02

Cette mise à jour remédie aux failles de sécurité suivantes, qui ont une incidence sur les versions actuellement fournies de Mac OS X Server. Par défaut, ces services sont désactivés dans Mac OS X (client). Toutefois, le client s’expose à des vulnérabilités s’il active ces services. Les utilisateurs de Mac OS X (client) doivent également installer cette mise à jour.

Mise à jour de sécurité 7-18-02 (2002-07-18)

  • Software Update : contient la version 1.4.7 de Mise à jour de logiciels (client) qui ajoute la vérification des signatures cryptographiques à l’outil de ligne de commande softwareupdate. Il s’agit d’un moyen supplémentaire de mettre à jour les logiciels de façon sécurisée, en complément de la fonctionnalité Mise à jour de logiciels figurant dans Préférences Système.

Mise à jour de sécurité 7-12-02 (2002-07-12)

  • Software Update : corrige la vulnérabilité associée à la référence CVE CAN-2002-0676 afin d’accroître la sécurité du processus de mise à jour des logiciels sur les systèmes dotés de la version 1.4.5 ou d’une version antérieure de Mise à jour de logiciels (client). Les paquets présentés par le biais du mécanisme Mise à jour de logiciels intègrent désormais une signature cryptographique, et la nouvelle version 1.4.6 de Mise à jour de logiciels (client) contrôle la validité de la signature avant d’installer de nouveaux paquets.

Mise à jour de sécurité - Juillet 2002 (2002-07)

  • Apache : corrige la vulnérabilité associée à la référence CVE CAN-2002-0392 qui permet à des attaquants distants d’entraîner un déni de service et une éventuelle exécution de code arbitraire. Vous trouverez des informations supplémentaires à ce sujet sur la page http://www.cert.org/advisories/CA-2002-17.html

  • OpenSSH : corrige deux vulnérabilités, CAN-2002-0639 et CAN-2002-0640, permettant à un intrus distant d’exécuter du code arbitraire sur le système local. Vous trouverez des informations supplémentaires à ce sujet sur la page http://www.cert.org/advisories/CA-2002-18.html

Mac OS X 10.1.5

  • sudo : corrige CAN-2002-0184, une vulnérabilité à cause de laquelle un dépassement de tas dans sudo permet à des utilisateurs locaux de bénéficier de privilèges racine en saisissant des caractères spéciaux dans l’argument -p (invite).

  • sendmail : corrige CVE-2001-0653, une vulnérabilité à cause de laquelle une erreur de validation des entrées existe au niveau de la fonctionnalité de débogage de Sendmail, ce qui pourrait compromettre la sécurité du système.

Mise à jour de sécurité pour Internet Explorer 5.1 (2002-04)

  • Cette mise à jour remédie à une vulnérabilité qui permettrait à un attaquant de prendre le contrôle de votre ordinateur. Comme Microsoft a cessé de fournir une assistance pour Internet Explorer pour Mac et de le développer, veuillez envisager de passer à Safari.

Mac OS X 10.1.4

  • TCP/IP broadcast : corrige CAN-2002-0381 afin que les connexions TCP/IP vérifient et bloquent désormais les adresses de destination IP de diffusion ou de multidiffusion. Vous trouverez des informations supplémentaires à ce sujet sur la page http://www.FreeBSD.org/cgi/query-pr.cgi?pr=35022

Mise à jour de sécurité - Avril 2002 (2002-04)

  • Apache : installation de la version 1.3.23 afin d’intégrer le correctif de sécurité mod_ssl.

  • Apache Mod_SSL : installation de la version 2.8.7-1.3.23 afin de corriger la vulnérabilité CAN-2002-0082 causant un dépassement de tampon et pouvant être exploitée pour exécuter du code arbitraire. Vous trouverez des informations supplémentaires à ce sujet sur la page http://archives.neohapsis.com/archives/bugtraq/2002-02/0313.html

  • groff : installation de la version 1.17.2 afin de remédier à la vulnérabilité CAN-2002-0003 permettant à un attaquant d’obtenir des droits à distance en tant qu’utilisateur « lp ». Vous trouverez des informations supplémentaires à ce sujet sur la page http://online.securityfocus.com/advisories/3859

  • mail_cmds : installation d’une mise à jour afin de corriger une vulnérabilité permettant à des utilisateurs d’être ajoutés au groupe de messagerie.

  • OpenSSH : installation de la version 3.1p1 afin de corriger la vulnérabilité CAN-2002-0083 permettant à un attaquant d’influencer le contenu de la mémoire. Vous trouverez des informations supplémentaires à ce sujet sur la page http://www.pine.nl/advisories/pine-cert-20020301.html

  • PHP : installation de la version 4.1.2 afin de remédier à la vulnérabilité CAN-2002-0081 permettant à un intrus d’exécuter du code arbitraire avec les privilèges du serveur web. Vous trouverez des informations supplémentaires à ce sujet sur la page http://www.cert.org/advisories/CA-2002-05.html

  • rsync : installation de la version 2.5.2 afin de corriger la vulnérabilité CAN-2002-0048 qui pourrait entraîner la corruption de la pile et éventuellement l’exécution de code arbitraire en tant qu’utilisateur root. Vous trouverez des informations supplémentaires à ce sujet sur la page ftp://ftp.FreeBSD.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-02:10.rsync.asc

  • sudo : installation de la version 1.6.5p2 afin de remédier à la vulnérabilité CAN-2002-0043 permettant à un utilisateur local d’obtenir des privilèges de superutilisateur. Vous trouverez des informations supplémentaires à ce sujet sur la page ftp://ftp.FreeBSD.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-02:06.sudo.asc

Mac OS X 10.1.3

  • OpenSSH : installation de la version 3.0.2p1 afin de corriger plusieurs vulnérabilités de la précédente version. Pour obtenir plus d’informations à ce sujet, veuillez consulter la page http://www.openssh.com/security.html

  • WebDAV : extension du mode d’authentification Digest afin qu’il fonctionne avec d’autres serveurs

Mise à jour de sécurité 10-19-01 pour Mac OS X 10.1 (2001-10-19)

Internet Explorer 5.1.1

  • IE 5.1.1 : résout un problème lié à IE 5.1 fourni avec Mac OS X 10.1 et concernant l’exécution automatique par Internet Explorer des logiciels téléchargés, ce qui pourrait entraîner une perte de données ou d’autres dommages. Vous trouverez des informations supplémentaires à ce sujet dans la documentation technique 106503 intitulée « Mac OS X 10.1 : Exécution automatique par Internet Explorer des logiciels téléchargés ».

Mac OS X 10.1

Mac OS X Server 10.1

  • MySQL 3.23.42 : contient un certain nombre de correctifs de la version précédente. Pour obtenir des précisions à ce sujet, consultez la section 3.23.42 du site de MySQL (http://www.mysql.com/downloads/mysql-3.23.html).

  • Tomcat 3.2.3 : contient un certain nombre de correctifs de la version précédente. Pour obtenir des précisions à ce sujet, consultez le site de Tomcat (http://jakarta.apache.org/tomcat/).

  • Apache : remédie à la vulnérabilité du fichier .DS_Store décrite sur la page http://securityfocus.com/bid/3324

  • Apache : remédie à la vulnérabilité potentielle permettant la visibilité des fichiers .htaccess dans les navigateurs web si ces fichiers sont créés sur des volumes HFS+. La directive figurant dans le fichier http.conf a été modifiée afin de rendre invisible aux navigateurs web tous les fichiers dont le nom commence par .ht, en majuscules ou en minuscules.

Mise à jour 1.0 pour le partage web sous Mac OS X

Mise à jour pour Mac OS X 10.0.4 Server

Mac OS X 10.0.2

Mac OS X 10.0.1

  • OpenSSH-2.3.0p1 : les services SSH sont activés par le biais de la sous-fenêtre Partage de Préférences Système.

Mac OS Runtime for Java (MRJ) 2.2.5

  • MRJ 2.2.5 : résout un problème de sécurité permettant à des applets non autorisées d’accéder au presse-papiers du système.

Date de publication: