La mise à jour correspondante peut être téléchargée et installée via Mises à jour ou à partir de la page Téléchargements du site d’Apple.
Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Pour obtenir des informations supplémentaires sur la sécurité produit d’Apple, consultez le site Web Sécurité produit d’Apple.
Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article Comment utiliser la clé PGP du groupe de sécurité produit d’Apple.
Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.
Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article Mises à jour de sécurité Apple.
Remarque : OS X Mavericks 10.9.5 inclut les correctifs de sécurité de Safari 7.0.6.
OS X Mavericks 10.9.5 et mise à jour de sécurité 2014-004
apache_mod_php
Disponible pour : OS X Mavericks 10.9 à 10.9.4.
Conséquence : de multiples vulnérabilités affectent PHP 5.4.24.
Description : PHP 5.4.24 présentait plusieurs vulnérabilités, la plus grave pouvant entraîner l’exécution arbitraire de code. Ces problèmes ont été résolus par la mise à jour de PHP vers la version 5.4.30.
Référence CVE
CVE-2013-7345
CVE-2014-0185
CVE-2014-0207
CVE-2014-0237
CVE-2014-0238
CVE-2014-1943
CVE-2014-2270
CVE-2014-3478
CVE-2014-3479
CVE-2014-3480
CVE-2014-3487
CVE-2014-3515
CVE-2014-3981
CVE-2014-4049
Bluetooth
Disponible pour : OS X Mavericks 10.9 à 10.9.4.
Conséquence : une application malveillante peut exécuter un code arbitraire avec des privilèges système
Description : un problème de validation existait au niveau de la gestion des appels de l’API Bluetooth. Ce problème a été résolu par une meilleure vérification des limites.
Référence CVE
CVE-2014-4390 : Ian Beer de Google Project Zero.
CoreGraphics
Disponible pour : OS X Mavericks 10.9 à 10.9.4.
Conséquence : l’ouverture d’un fichier PDF malveillant peut entraîner la fermeture inopinée de l’application ou la divulgation d’informations.
Description : un problème de lecture mémoire hors limites existait au niveau de la gestion des fichiers PDF. Ce problème a été résolu par une meilleure vérification des limites.
Référence CVE
CVE-2014-4378 : Felipe Andres Manzano de Binamuse VRT en collaboration avec le programme iSIGHT Partners GVP.
CoreGraphics
Disponible pour : OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 et OS X Mavericks 10.9 à 10.9.4.
Conséquences : l’ouverture d’un fichier PDF malveillant peut entraîner l’arrêt inopiné d’applications ou l’exécution de code arbitraire
Description : un problème de dépassement d’entier existait au niveau de la gestion des fichiers PDF. Ce problème a été résolu par une meilleure vérification des limites.
Référence CVE
CVE-2014-4377 : Felipe Andres Manzano de Binamuse VRT en collaboration avec le programme iSIGHT Partners GVP.
Foundation
Disponible pour : OS X Mavericks 10.9 à 10.9.4.
Conséquence : une application faisant usage de NSXMLParser peut être utilisée pour divulguer des informations.
Description : un problème lié à une entité XML externe existait au niveau de la gestion, par NSXMLParser, des fichiers XML. Ce problème a été résolu par le non-chargement des entités externes au niveau des origines.
Référence CVE
CVE-2014-4374 : George Gal de VSR (http://www.vsecurity.com/).
Gestionnaire Intel Graphics
Disponible pour : OS X Mountain Lion 10.8.5, OS X Mavericks 10.9 à 10.9.4.
Conséquence : la compilation de shaders GLSL non fiables peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.
Description : un problème de dépassement de la mémoire utilisateur existait au niveau du compilateur de shaders. Ce problème a été résolu par une meilleure vérification des limites.
Référence CVE
CVE-2014-4393 : Apple.
Gestionnaire Intel Graphics
Disponible pour : OS X Mountain Lion 10.8.5, OS X Mavericks 10.9 à 10.9.4.
Conséquence : une application malveillante peut exécuter un code arbitraire avec des privilèges système.
Description : de multiples problèmes de validation existaient au niveau de certaines routines intégrées, liées à des gestionnaires graphiques. Ces problèmes ont été résolus par une meilleure vérification des limites.
Référence CVE
CVE-2014-4394 : Ian Beer de Google Project Zero.
CVE-2014-4395 : Ian Beer de Google Project Zero.
CVE-2014-4396 : Ian Beer de Google Project Zero.
CVE-2014-4397 : Ian Beer de Google Project Zero.
CVE-2014-4398 : Ian Beer de Google Project Zero.
CVE-2014-4399 : Ian Beer de Google Project Zero.
CVE-2014-4400 : Ian Beer de Google Project Zero.
CVE-2014-4401 : Ian Beer de Google Project Zero.
CVE-2014-4416 : Ian Beer de Google Project Zero.
IOAcceleratorFamily
Disponible pour : OS X Mountain Lion 10.8.5, OS X Mavericks 10.9 à 10.9.4.
Conséquence : une application malveillante peut exécuter un code arbitraire avec des privilèges système.
Description : un déréférencement de pointeurs null se produisait lors de la gestion d’arguments de l’API IOKit. Ce problème a été résolu par une meilleure validation des arguments de l’API IOKit.
Référence CVE
CVE-2014-4376 : Ian Beer de Google Project Zero.
IOAcceleratorFamily
Disponible pour : OS X Mavericks 10.9 à 10.9.4.
Conséquence : une application malveillante peut exécuter un code arbitraire avec des privilèges système.
Description : un problème de lecture hors limites existait au niveau de la gestion d’une fonction IOAcceleratorFamily. Ce problème a été résolu par une meilleure vérification des limites.
Référence CVE
CVE-2014-4402 : Ian Beer de Google Project Zero.
IOHIDFamily
Disponible pour : OS X Mountain Lion 10.8.5, OS X Mavericks 10.9 à 10.9.4.
Conséquence : un utilisateur local peut être en mesure de lire des pointeurs du noyau, et ainsi faire fi de la randomisation de la disposition de l’espace d’adressage applicable au noyau.
Description : un problème de lecture hors limites existait au niveau de la gestion d’une fonction IOHIDFamily. Ce problème a été résolu par une meilleure vérification des limites.
Référence CVE
CVE-2014-4379 : Ian Beer de Google Project Zero.
IOKit
Disponible pour : OS X Mountain Lion 10.8.5, OS X Mavericks 10.9 à 10.9.4.
Conséquence : une application malveillante peut exécuter un code arbitraire avec des privilèges système.
Description : un problème de validation existait au niveau de la gestion de certains champs de métadonnées, associés à des objets IODataQueue. Il a été résolu par une meilleure validation des métadonnées.
Référence CVE
CVE-2014-4388 : @PanguTeam.
IOKit
Disponible pour : OS X Mountain Lion 10.8.5, OS X Mavericks 10.9 à 10.9.4.
Conséquence : une application malveillante peut exécuter un code arbitraire avec des privilèges système.
Description : un problème de dépassement d’entier existait au niveau de la gestion des fonctions IOKit. Ce problème a été résolu par une meilleure vérification des limites.
Référence CVE
CVE-2014-4389 : Ian Beer de Google Project Zero.
Noyau
Disponible pour : OS X Mavericks 10.9 à 10.9.4.
Conséquence : un utilisateur local peut obtenir des adresses de noyau et déterminer si un processus de randomisation de la disposition de l’espace d’adressage, applicable au noyau, est mis en place.
Description : dans certains cas, la table globale de descripteurs applicable au processeur était associée à une adresse prédictible. Ce problème a été résolu par l’association permanente de la table globale de descripteurs à des adresses aléatoires.
Référence CVE
CVE-2014-4403 : Ian Beer de Google Project Zero.
Libnotify
Disponible pour : OS X Mountain Lion 10.8.5, OS X Mavericks 10.9 à 10.9.4.
Conséquence : une application malveillante peut exécuter un code arbitraire avec des privilèges racine.
Description : un problème d’écriture hors limites existait au niveau de Libnotify. Ce problème a été résolu par une meilleure vérification des limites
Référence CVE
CVE-2014-4381 : Ian Beer de Google Project Zero.
OpenSSL
Disponible pour : OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 et OS X Mavericks 10.9 à 10.9.4.
Description : OpenSSL 0.9.8y présentait plusieurs vulnérabilités, l’une d’elles pouvant entraîner l’exécution arbitraire de code.
Description : OpenSSL 0.9.8y présentait plusieurs vulnérabilités. Ce problème a été résolu par la mise à jour d’OpenSSL vers la version 0.9.8za.
Référence CVE
CVE-2014-0076
CVE-2014-0195
CVE-2014-0221
CVE-2014-0224
CVE-2014-3470
QT Media Foundation
Disponible pour : OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 et OS X Mavericks 10.9 à 10.9.4.
Conséquence : la lecture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.
Description : un problème de corruption de la mémoire existait au niveau de la gestion des fichiers vidéo encodés au format RLE. Ce problème a été résolu par une meilleure vérification des limites.
Référence CVE
CVE-2014-1391 : Fernando Munoz en collaboration avec iDefense VCP, Tom Gallagher et Paul Bates en collaboration avec le programme Zero Day Initiative d’HP.
QT Media Foundation
Disponible pour : OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 et OS X Mavericks 10.9 à 10.9.4.
Conséquence : la lecture d’un fichier MIDI malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.
Description : un problème de dépassement de la mémoire tampon existait au niveau de la gestion des fichiers MIDI. Ce problème a été résolu par une meilleure vérification des limites.
Référence CVE
CVE-2014-4350 : s3tm3m en collaboration avec le programme Zero Day Initiative d’HP.
QT Media Foundation
Disponible pour : OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 et OS X Mavericks 10.9 à 10.9.4.
Conséquence : la lecture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.
Description : un problème de corruption de la mémoire existait au niveau de la gestion des atomes mvhd. Ce problème a été résolu par une meilleure vérification des limites.
Référence CVE
CVE-2014-4979 : Andrea Micalizzi (alias « rgod ») en collaboration avec le programme Zero Day Initiative d’HP.
ruby
Disponible pour : OS X Mavericks 10.9 à 10.9.4.
Conséquence : un attaquant distant peut provoquer l’exécution arbitraire de code.
Description : un problème de dépassement de mémoire tampon existait au niveau de la gestion, par LibYAML, des caractères encodés d’un URI. Ce problème a été résolu par une meilleure vérification des limites. Ce problème a été résolu par la mise à jour de LibYAML vers la version 0.1.6.
Référence CVE
CVE-2014-2525