À propos du correctif de sécurité de la mise à jour de sécurité 2008-004 et de Mac OS X 10.5.4

Ce document décrit le correctif de sécurité de la mise à jour de sécurité 2008-004 et de Mac OS X 10.5.4, qui peut être téléchargée et installée via les préférences de Mise à jour des logiciels ou à partir des téléchargements d’Apple.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des informations supplémentaires sur la sécurité produit d’Apple, consultez le site web Sécurité produit d’Apple.

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article « Comment utiliser la clé PGP du groupe de sécurité produit d’Apple ».

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.

Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article « Mises à jour de sécurité Apple ».

Mise à jour de sécurité 2008-004 et Mac OS X v10.5.4

Alias Manager

Référence CVE : CVE-2008-2308

Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11

Conséquence : la résolution d’un alias contenant des informations de montage de volume malveillantes peut entraîner la fermeture inopinée d’applications ou l’exécution arbitraire de code.

Description : il existe un problème de corruption de mémoire dans le traitement des informations de montage de volume AFP dans une structure de données d’alias. La résolution d’un alias contenant des informations de montage de volume malveillantes peut entraîner la fermeture inopinée d’applications ou l’exécution arbitraire de code. Cette mise à jour résout le problème en effectuant une validation supplémentaire des structures de données d’alias. Ce problème ne concerne que les systèmes basés sur Intel exécutant Mac OS X 10.5.1 ou une version antérieure.

CoreTypes

Référence CVE : CVE-2008-2309

Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.3, Mac OS X Server 10.5 à 10.5.3

Conséquence : les utilisateurs ne reçoivent pas d’avertissement avant d’ouvrir certains types de contenu potentiellement dangereux.

Description : cette mise à jour ajoute les fichiers .xht et .xhtm à la liste des types de contenu du système qui seront signalés comme potentiellement dangereux dans certaines circonstances, par exemple lorsqu’ils sont téléchargés à partir d’une page web. Bien que ces types de contenu ne soient pas lancés automatiquement, leur ouverture manuelle pourrait conduire à l’exécution d’une entité malveillante. Cette mise à jour améliore la capacité du système à avertir les utilisateurs avant de traiter des fichiers .xht et .xhtm. Sur Mac OS X 10.4, cette fonctionnalité est fournie par la fonction Download Validation (Validation du téléchargement). Sur Mac OS X 10.5, cette fonctionnalité est fournie par la fonction Quarantine (Quarantaine). Merci à Brian Mastenbrook de nous avoir signalé ce problème.

c++filt

Référence CVE : CVE-2008-2310

Disponible pour : Mac OS X 10.5 à 10.5.3, Mac OS X Server 10.5 à 10.5.3

Conséquence : passer une chaîne malveillante dans c++filt peut entraîner la fermeture inopinée d’applications ou l’exécution arbitraire de code.

Description : il existe un problème de chaîne de format dans c++filt, qui est un outil de débogage utilisé pour distinguer les symboles C++ et Java. Passer une chaîne malveillante dans c++filt peut entraîner la fermeture inopinée d’applications ou l’exécution arbitraire de code. Le problème est résolu par une gestion améliorée des chaînes de format. Ce problème ne touche pas les systèmes antérieurs à Mac OS X 10.5.

Dock

Référence CVE : CVE-2008-2314

Disponible pour : Mac OS X 10.5 à 10.5.3, Mac OS X Server 10.5 à 10.5.3

Conséquence : une personne ayant un accès physique peut être en mesure de contourner le verrouillage de l’écran.

Description : lorsque le système est configuré pour exiger un mot de passe pour sortir du mode veille ou de l’économiseur d’écran, et que les coins actifs d’Exposé sont définis, une personne ayant un accès physique peut être en mesure d’accéder au système sans entrer de mot de passe. Cette mise à jour résout le problème en désactivant les coins actifs lorsque le verrouillage de l’écran est actif. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X 10.5. Merci à Andrew Cassell de Marine Spill Response Corporation d’avoir signalé ce problème.

Launch Services

Référence CVE : CVE-2008-2311

Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11

Conséquence : la consultation d’un site web malveillant peut conduire à l’exécution arbitraire de code.

Description : la validation de téléchargement des liens symboliques présente une condition de concurrence lorsque la cible du lien change pendant la mince fenêtre de temps de validation. Si la préférence Ouvrir les fichiers « fiables » est activée dans Safari, la visite d’un site web malveillant peut causer l’ouverture d’un fichier sur le système de l’utilisateur et entraîner l’exécution arbitraire de code. Cette mise à jour résout le problème en effectuant une validation supplémentaire des fichiers téléchargés. Ce problème n’affecte pas les systèmes exécutant Mac OS X 10.5 ou une version ultérieure.

Net-SNMP

Référence CVE : CVE-2008-0960

Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.3, Mac OS X Server 10.5 à 10.5.3

Conséquence : un attaquant distant peut usurper un paquet SNMPv3 authentifié.

Description : il existe un problème dans l’authentification SNMPv3 de Net-SNMP, ce qui peut permettre à des paquets malveillants de contourner la vérification d’authentification. Cette mise à jour résout le problème en effectuant une validation supplémentaire des paquets SNMPv3. Des informations supplémentaires sont disponibles à l’adresse suivante : http://www.kb.cert.org/vuls/id/878044.

Ruby

CVE-ID : CVE-2008-2662, CVE-2008-2663, CVE-2008-2664, CVE-2008-2725, CVE-2008-2726

Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.3, Mac OS X Server 10.5 à 10.5.3

Conséquence : l’exécution d’un script Ruby qui utilise une entrée non fiable pour accéder à des chaînes ou à des regroupements peut entraîner la fermeture inopinée d’applications ou l’exécution arbitraire de code.

Description : il existe plusieurs problèmes de corruption de mémoire dans le traitement des chaînes et des regroupements par Ruby, le plus grave pouvant conduire à l’exécution arbitraire de code. Cette mise à jour résout le problème en effectuant une validation supplémentaire des chaînes et des regroupements.

Ruby

Référence CVE : CVE-2008-1145

Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.3, Mac OS X Server 10.5 à 10.5.3

Conséquence : si WEBRick est en cours d’exécution, un attaquant distant peut être en mesure d’accéder à des fichiers protégés par l’option :NondisclosureName de WEBrick.

Description : l’option :NondisclosureName de la boîte à outils Ruby WEBrick est utilisée pour restreindre l’accès aux fichiers. Demander un nom de fichier qui utilise des majuscules inattendues peut contourner la restriction :NondisclosureName. Cette mise à jour résout le problème par une validation supplémentaire des noms de fichiers. Des informations supplémentaires sont disponibles à l’adresse suivante : http://www.ruby-lang.org/en/news/2008/03/03/webrick-file-access-vulnerability/. Le problème de parcours de répertoire décrit dans cet article ne concerne pas Mac OS X.

Serveur de fichiers SMB

Référence CVE : CVE-2008-1105

Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 à 10.5.3, Mac OS X Server 10.5 à 10.5.3

Conséquence : un attaquant distant peut provoquer la fermeture inopinée d’applications ou l’exécution arbitraire de code.

Description : il existe un dépassement de tampon de pile dans le traitement des paquets SMB. L’envoi de paquets SMB malveillants à un serveur SMB ou la connexion à un serveur SMB malveillant peut entraîner la fermeture inopinée d’applications ou l’exécution arbitraire de code. Cette mise à jour résout le problème en améliorant la vérification des limites de longueur des paquets SMB reçus. Merci à Alin Rad Pop de Secunia Research d’avoir signalé ce problème.

Configuration du système

Référence CVE : CVE-2008-2313

Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11

Conséquence : un utilisateur local peut être en mesure d’exécuter un code arbitraire avec les privilèges de nouvel utilisateur.

Description : un utilisateur local peut être en mesure de remplir le répertoire des modèles d’utilisateur avec des fichiers qui feront partie du répertoire de départ lorsqu’un utilisateur sera créé. Cela pourrait permettre l’exécution arbitraire de code avec les privilèges du nouvel utilisateur. Cette mise à jour résout le problème en appliquant des autorisations plus restrictives sur le répertoire des modèles d’utilisateur. Ce problème n’affecte pas les systèmes exécutant Mac OS X 10.5 ou une version ultérieure. Merci à Andrew Mortensen de l’Université du Michigan d’avoir signalé ce problème.

Tomcat

CVE-ID : CVE-2005-3164, CVE-2007-1355, CVE-2007-2449, CVE-2007-2450, CVE-2007-3382, CVE-2007-3383, CVE-2007-5333, CVE-2007-3385, CVE-2007-5461

Disponible pour : Mac OS X 10.4.11, Mac OS X Server 10.4.11

Conséquence : Tomcat 4.1.36 présente plusieurs vulnérabilités.

Description : la version 4.x de Tomcat est fournie avec les systèmes Mac OS X 10.4.11. Tomcat sur Mac OS X 10.4.11 est mis à jour vers la version 4.1.37 pour corriger plusieurs vulnérabilités, la plus grave pouvant conduire à une attaque d’injection de code indirect. De plus amples informations sont disponibles sur le site Tomcat à l’adresse http://tomcat.apache.org/. La version 6.x de Tomcat est fournie avec les systèmes Mac OS X 10.5.

VPN

Référence CVE : CVE-2007-6276

Disponible pour : Mac OS X 10.5 à 10.5.3, Mac OS X Server 10.5 à 10.5.3

Conséquence : les attaquants distants peuvent être en mesure de provoquer une fermeture inopinée d’applications.

Description : il existe un problème de division par zéro dans le traitement des informations d’équilibrage de charge par le démon du réseau privé virtuel. Le traitement d’un paquet UDP malveillant peut entraîner la fermeture inopinée d’applications. Ce problème n’entraîne pas l’exécution arbitraire de code. Cette mise à jour résout le problème en effectuant une validation supplémentaire des informations d’équilibrage de charge. Ce problème ne touche pas les systèmes antérieurs à Mac OS X 10.5.

WebKit

Référence CVE : CVE-2008-2307

Disponible pour : Mac OS X 10.5 à 10.5.3, Mac OS X Server 10.5 à 10.5.3

Conséquence : la consultation d’un site web malveillant peut entraîner la fermeture inopinée d’applications ou l’exécution arbitraire de code.

Description : il existe un problème de corruption de la mémoire au niveau de la gestion, par WebKit, des regroupements JavaScript. La consultation d’un site web malveillant pouvait entraîner la fermeture inopinée d’applications ou l’exécution arbitraire de code. Cette mise à jour résout le problème grâce à une vérification améliorée des limites. Avec ce correctif, la version de Safari pour Mac OS X 10.5.4 est mise à jour vers la version 3.1.2. Pour les systèmes Mac OS X 10.4.11 et Windows XP/Vista, ce problème est résolu dans Safari 3.1.2. Merci à James Urquhart de nous avoir signalé ce problème.