À propos des correctifs de sécurité de la mise à jour Mac OS X 10.4.8 et de la mise à jour de sécurité 2006-006

Ce document décrit la mise à jour de sécurité 2006-006 et les correctifs de sécurité de la mise à jour Mac OS X 10.4.8, qui peuvent être téléchargés et installés via les préférences de mise à jour logicielle ou depuis Téléchargements Apple.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des informations supplémentaires sur la sécurité produit d’Apple, consultez le site web Sécurité produit d’Apple.

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article « Comment utiliser la clé PGP du groupe de sécurité produit d’Apple ».

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.

Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article « Mises à jour de sécurité Apple ».

Mac OS X 10.4.8 et mise à jour de sécurité 2006-006

• CFNetwork

  CVE-ID : CVE-2006-4390

  Disponible pour : Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4 à 10.4.7, Mac OS X Server 10.4 à 10.4.7

  Problème : les clients CFNetwork tels que Safari peuvent autoriser des sites SSL non authentifiés à apparaître comme authentifiés

  Description : les connexions créées à l’aide de SSL sont normalement authentifiées et chiffrées. Lorsque le chiffrement est effectué sans authentification, des sites malveillants peuvent sembler être des sites de confiance. Dans le cas de Safari, l’icône de verrouillage peut s’afficher lorsque l’identité d’un site distant n’est pas fiable. Cette mise à jour résout le problème en empêchant par défaut les connexions SSL anonymes. Merci à Adam Bryzak, de l’Université Technologique du Queensland, d’avoir signalé ce problème.

• Flash Player

  CVE-ID : CVE-2006-3311, CVE-2006-3587, CVE-2006-3588, CVE-2006-4640

  Disponible pour : Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4 à 10.4.7, Mac OS X Server 10.4 à 10.4.7

  Problème : la lecture de contenu Flash peut entraîner une exécution de code arbitraire

  Description : Adobe Flash Player comporte des vulnérabilités importantes qui peuvent entraîner une exécution de code arbitraire lors de la détection de contenu malveillant. Cette mise à jour résout les problèmes en intégrant la version 9.0.16.0 de Flash Player sur les systèmes Mac OS X 10.3.9 et la version 9.0.20.0 de Flash Player sur les systèmes Mac OS X 10.4.

  Pour plus d’informations, consultez le site web d’Adobe à l’adresse http://www.adobe.com/support/security/bulletins/apsb06-11.html.

• ImageIO

  CVE-ID : CVE-2006-4391

  Disponible pour : Mac OS X 10.4 à 10.4.7, Mac OS X Server 10.4 à 10.4.7

  Problème : la visualisation d’une image JPEG2000 malveillante peut provoquer un blocage de l’application ou une exécution de code arbitraire

  Description : en créant soigneusement une image JPEG2000 corrompue, un attaquant peut déclencher un dépassement de mémoire tampon, ce qui peut provoquer un blocage de l’application ou une exécution de code arbitraire. Cette mise à jour résout le problème en effectuant une validation supplémentaire des images JPEG2000. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.4. Merci à Tom Saxton de Idle Loop Software Design d’avoir signalé ce problème.

• Kernel

  CVE-ID : CVE-2006-4392

  Disponible pour : Mac OS X 10.4 à 10.4.7, Mac OS X Server 10.4 à 10.4.7

  Problème : les utilisateurs locaux peuvent exécuter un code arbitraire en ayant plus de droits

  Description : un mécanisme de gestion des erreurs dans le noyau, connu sous le nom de ports d’exception Mach, permet de contrôler les programmes en cas de détection de certains types d’erreurs. Des utilisateurs locaux malveillants pourraient utiliser ce mécanisme pour exécuter un code arbitraire dans des programmes ayant des accès privilégiés en cas d’erreur. Cette mise à jour résout le problème en limitant l’accès aux ports d’exception Mach des programmes ayant des accès privilégiés. Merci à Dino Dai Zovi de Matasano Security d’avoir signalé ce problème.

• LoginWindow

  CVE-ID : CVE-2006-4397

  Disponible pour : Mac OS X 10.4 à 10.4.7, Mac OS X Server 10.4 à 10.4.7

  Problème : après un échec de connexion à un compte réseau, les tickets Kerberos peuvent être accessibles à d’autres utilisateurs locaux

  Description : en raison d’une condition d’erreur non vérifiée, il est possible que les tickets Kerberos ne soient pas correctement détruits après un échec de connexion à un compte réseau via loginwindow. Cela peut entraîner un accès non autorisé par d’autres utilisateurs locaux aux tickets Kerberos d’un ancien utilisateur. Cette mise à jour résout le problème en effaçant le cache des informations d’identification après des échecs de connexion. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.4. Merci à Patrick Gallagher de Digital Peaks Corporation d’avoir signalé ce problème.

• LoginWindow

  CVE-ID : CVE-2006-4393

  Disponible pour : Mac OS X 10.4 à 10.4.7, Mac OS X Server 10.4 à 10.4.7

  Problème : les tickets Kerberos risquent d’être accessibles à d’autres utilisateurs locaux si la fonction Permutation d’utilisateur est activée

  Description : une erreur dans la gestion de la fonction Permutation d’utilisateur peut permettre à un utilisateur local d’accéder aux tickets Kerberos d’autres utilisateurs locaux. La fonction Permutation d’utilisateur a été mise à jour pour éviter cette situation. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.4. Merci à Ragnar Sundblad, de l’École royale polytechnique de Stockholm, Suède, d’avoir signalé ce problème.

• LoginWindow

  CVE-ID : CVE-2006-4394

  Disponible pour : Mac OS X 10.4 à 10.4.7, Mac OS X Server 10.4 à 10.4.7

  Problème : les comptes réseau peuvent contourner les contrôles d’accès du service loginwindow

  Description : les contrôles d’accès des services peuvent être utilisés pour restreindre les utilisateurs autorisés à se connecter à un système via loginwindow. Une erreur de logique dans loginwindow permet aux comptes réseau sans GUID de contourner les contrôles d’accès des services. Ce problème concerne uniquement les systèmes configurés pour utiliser les contrôles d’accès des services via loginwindow et pour permettre aux comptes réseau d’authentifier les utilisateurs sans GUID. Le problème a été résolu en gérant correctement les contrôles d’accès des services dans loginwindow. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.4.

• Preferences

  CVE-ID : CVE-2006-4387

  Disponible pour : Mac OS X 10.4 à 10.4.7, Mac OS X Server 10.4 à 10.4.7

  Problème : après avoir supprimé les droits d’administrateur d’un compte, ce dernier peut toujours gérer les applications WebObjects

  Description : si vous décochez la case « Autoriser cet utilisateur à administrer cet ordinateur » dans les Préférences Système, il est possible que le compte ne soit pas supprimé des groupes appserveradm ou appserverusr. Ces groupes permettent à un compte de gérer les applications WebObjects. Cette mise à jour résout le problème en s’assurant que le compte est supprimé des groupes appropriés. Ce problème ne concerne pas les systèmes antérieurs à Mac OS X 10.4. Merci à Phillip Tejada de Fruit Bat Software d’avoir signalé ce problème.

• QuickDraw Manager

  CVE-ID : CVE-2006-4395

  Disponible pour : Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4 à 10.4.7, Mac OS X Server 10.4 à 10.4.7

  Problème : l’ouverture d’une image PICT malveillante avec certaines applications peut entraîner un blocage de l’application ou une exécution de code arbitraire

  Description : certaines applications invoquent une opération QuickDraw non compatible pour afficher des images PICT. En créant soigneusement une image PICT corrompue, un attaquant peut corrompre la mémoire de ces applications, ce qui peut entraîner un blocage de l’application ou une exécution de code arbitraire. Cette mise à jour résout le problème en empêchant l’opération non compatible.

• SASL

  CVE-ID : CVE-2006-1721

  Disponible pour : Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4 à 10.4.7, Mac OS X Server 10.4 à 10.4.7

  Problème : les attaquants à distance peuvent provoquer un déni de service du serveur IMAP

  Description : un problème de compatibilité dans la négociation DIGEST-MD5 dans Cyrus SASL peut entraîner une erreur de segmentation dans le serveur IMAP avec un en-tête realm malveillant. Cette mise à jour résout le problème grâce à une meilleure gestion des en-têtes realm lors des tentatives d’authentification.

• WebCore

  CVE-ID : CVE-2006-3946

  Disponible pour : Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4 à 10.4.7, Mac OS X Server 10.4 à 10.4.7

  Problème : la consultation d’une page web malveillante peut entraîner une exécution de code arbitraire

  Description : une erreur de gestion de la mémoire dans le traitement de certains fichiers HTML par WebKit permet à un site web malveillant de provoquer un plantage ou d’exécuter potentiellement un code arbitraire lorsque l’utilisateur consulte le site. Cette mise à jour résout le problème en empêchant la condition à l’origine du dépassement. Merci à Jens Kutilek de Netzallee, à Lurene Grenier, ingénieur de recherche senior chez Sourcefire VRT, et à Jose Avila III, analyste en matière de sécurité chez ONZRA, d’avoir signalé ce problème.

• Workgroup Manager

  CVE-ID : CVE-2006-4399

  Disponible pour : Mac OS X Server 10.4 à 10.4.7

  Problème : les comptes d’un parent NetInfo semblent utiliser des mots de passe ShadowHash, alors qu’ils peuvent toujours utiliser des mots de passe chiffrés

  Description : Workgroup Manager semble autoriser le changement de type d’authentification des mots de passe chiffrés en mots de passe ShadowHash dans un parent NetInfo, alors qu’en réalité, ce n’est pas le cas. L’actualisation de l’affichage d’un compte dans un parent NetInfo indique correctement que le chiffrement est toujours utilisé. Cette mise à jour résout le problème en empêchant les administrateurs de sélectionner des mots de passe ShadowHash pour les comptes d’un parent NetInfo. Merci à Chris Pepper de l’Université Rockefeller d’avoir signalé ce problème.

Remarque relative à l’installation

La mise à jour logicielle propose la mise à jour qui s’applique à la configuration de votre système. Une seule est nécessaire.

La mise à jour de sécurité 2006-006 s’installe sur les systèmes Mac OS X 10.3.9 et Mac OS X Server 10.3.9.

Mac OS X 10.4.8 contient les correctifs de sécurité présents dans la mise à jour de sécurité 2006-006 et s’installe sur Mac OS X 10.4 ou version ultérieure, ainsi que sur Mac OS X Server 10.4 ou version ultérieure.