על אודות תוכן האבטחה של עדכון Mac OS X 10.5.1 (לקוח ושרת)
מסמך זה מתאר את תוכן האבטחה של עדכון Mac OS X 10.5.1 (לקוח ושרת)10.4.11, שאפשר להוריד ולהתקין באמצעות העדפות 'עדכון תוכנה' מההורדות של Apple.
מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד לביצוע חקירה מלאה בנושא ולהפצת מהדורות או רכיבי Patch חיוניים. למידע נוסף בנושא אבטחת מוצר של Apple, עיינו באתר האינטרנט אבטחת מוצר של Apple.
למידע על מפתח PGP לאבטחת מוצר של Apple, עיינו בנושא "כיצד להשתמש במפתח PGP לאבטחת מוצר של Apple."
היכן שאפשר, מזהי CVE ID משמשים כסימוכין לפגיעויות לצורך קבלת מידע נוסף.
כדי ללמוד על עדכוני אבטחה נוספים, עיינו בנושא "עדכוני האבטחה של Apple".
עדכון ל-Mac OS X v10.5.1
חומת אש של יישומים
CVE-ID: CVE-2007-4702
זמין עבור: Mac OS X v10.5, Mac OS X Server v10.5
השפעה: ההגדרה 'חסום את כל החיבורים הנכנסים' עבור חומת האש מטעה.
תיאור: ההגדרה 'חסום את כל החיבורים הנכנסים' עבור חומת האש של יישום מאפשרת לכל תהליך שפועל כ'שורש 'של המשתמשים (UID 0) לקבל את החיבורים הנכנסים, וכן מאפשרת ל-mDNSResponder לקבל את החיבורים. הבעיה עלולה לגרום לחשיפה בלתי צפויה של שירותי הרשת. העדכון מטפל בבעיה על ידי תיאור מדויק יותר של האפשרות 'אפשר שירותים חיוניים בלבד', ועל ידי הגבלת התהליכים המותרים לקבלת החיבורים הנכנסים במסגרת הגדרה זו לקבוצה קטנה וקבועה של שירותי מערכת: configd (עבור DHCP ופרוטוקולי תצורת רשת אחרים), mDNSResponder (עבור Bonjour) ו-racoon (עבור IPSec). תוכן ה'עזרה' עבור חומת האש של היישום מעודכן גם הוא כדי לספק מידע נוסף. בעיה זו אינה משפיעה על מערכות קודמות ל-Mac OS X v10.5.
חומת אש של יישומים
CVE-ID: CVE-2007-4703
זמין עבור: Mac OS X v10.5, Mac OS X Server v10.5
השפעה: לא ניתן לחסום תהליכים הפועלים כ'שורש' של המשתמשים (UID 0) כאשר חומת האש מוגדרת ל'הגדרת גישה עבור שירותים ויישומים ספציפיים'.
תיאור: ההגדרה 'הגדרת גישה עבור שירותים ויישומים ספציפיים' עבור חומת אש של יישומים מאפשרת לכל תהליך שפועל כ'שורש' משתמשים (UID 0) לקבל את החיבורים הנכנסים, גם אם קובץ ההרצה מתווסף במיוחד לרשימת התוכניות והערך שלה ברשימה מסומן כ-'חסום חיבורים נכנסים'. הבעיה עלולה לגרום לחשיפה בלתי צפויה של שירותי הרשת. העדכון מתקן את הבעיה כך שכל קובץ הרצה שסומן כך נחסם. בעיה זו אינה משפיעה על מערכות קודמות ל-Mac OS X v10.5.
חומת אש של יישומים
CVE-ID: CVE-2007-4704
זמין עבור: Mac OS X v10.5, Mac OS X Server v10.5
השפעה: שינויים בהגדרות חומת אש של יישומים אינם משפיעים על תהליכים שהלו באמצעות startd עד שיופעלו מחדש.
תיאור: כאשר ההגדרות של חומת אש של יישומים משתנות, תהליך פועל שהחל באמצעות launchd לא יושפע עד שיופעל מחדש. ייתכן שהמשתמשים יצפו שהשינויים ייכנסו לתוקף באופן מיידי, ולכן ישאירו את המערכת חשופה לגישה לרשת. העדכון מתקן את הבעיה כך שהשינויים ייכנסו לתוקף באופן מיידי. בעיה זו אינה משפיעה על מערכות קודמות ל-Mac OS X v10.5.