מידע על עדכון האבטחה 2006-003
מסמך זה מתאר את עדכון האבטחה 2006-003, שאפשר להוריד ולהתקין באמצעות העדפות 'עדכוני תוכנה' או מההורדות של Apple.
מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד שמתבצעת חקירה מלאה בנושא ויש גרסאות חדשות או תיקונים זמינים. למידע נוסף בנושא אבטחת מוצר של Apple, עיינו באתר האינטרנט אבטחת מוצר של Apple.
למידע על מפתח PGP לאבטחת מוצר של Apple, עיינו ב-"כיצד להשתמש במפתח PGP לאבטחת מוצר של Apple".
היכן שניתן, מזהי CVE משמשים כסימוכין לפגיעויות לצורך קבלת מידע נוסף.
כדי ללמוד על עדכוני אבטחה נוספים, עיינו ב-"עדכוני אבטחה של Apple".
עדכון אבטחה 2006-003
AppKit
CVE-ID: CVE-2006-1439
זמין עבור: Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: תווים שהוזנו בשדה טקסט מאובטח ניתנים לקריאה על ידי יישומים אחרים באותה הפעלת חלון
תיאור: בנסיבות מסוימות בעת מעבר בין שדות להזנת טקסט, NSSecureTextField עלול להיכשל בהפעלה מחדש של אירוע קלט מאובטח. דבר זה עלול לאפשר ליישומים אחרים באותה הפעלת חלון לראות מספר תווי קלט ואירועי מקלדת. עדכון זה מטפל בבעיה בכך שהוא מוודא שאירוע קלט מאובטח מופעל כהלכה. בעיה זו אינה משפיעה על מערכות לפני Mac OS X גרסה 10.4.
AppKit, ImageIO
CVE-ID: CVE-2006-1982, CVE-2006-1983, CVE-2006-1984
זמין עבור: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: הצגת תמונת GIF או TIFF בעלת מבנה זדוני עלולה לגרום להפעלת קוד שרירותי
תיאור: הטיפול בתמונת GIF או TIFF בעלת מבנה פגום עלול לגרום להפעלת קוד שרירותי בעת ניתוח המבנה של תמונה בעלת מבנה זדוני. דבר זה משפיע על יישומים שמשתמשים במסגרת ImageIO (Mac OS X v10.4 Tiger) או AppKit (Mac OS X v10.3 Panther) לקריאת תמונות. עדכון זה מטפל בבעיה על ידי ביצוע אימות נוסף של תמונות GIF ו-TIFF.
BOM
CVE-ID: CVE-2006-1985
זמין עבור: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: הרחבת ארכיון עלולה לגרום להפעלת קוד שרירותי
תיאור: בעקבות יצירה קפדנית של ארכיון (כגון ארכיון Zip) שמכיל שמות נתיב ארוכים, ייתכן שתוקף יוכל להפעיל גלישת חוצץ בערימה ב-BOM. כתוצאה מכך יכולה להיגרם הפעלת קוד שרירותי. BOM משמש לטיפול בארכיונים ב-Finder וביישומים אחרים. עדכון זה מטפל בבעיה באמצעות טיפול נכון בתנאי הגבולות.
BOM
CVE-ID: CVE-2006-1440
זמין עבור: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: הרחבת ארכיון זדוני עלולה לגרום ליצירת קבצים שרירותיים או להחלפתם
תיאור: בעיה בטיפול בקישורים סמליים חוצי-ספריות שנמצאים בארכיונים עלולה לגרום ל-BOM ליצור או להחליף קבצים במיקומים שרירותיים הנגישים למשתמש שמרחיב את הארכיון. BOM מטפל בארכיונים מטעם ה-Finder ויישומים אחרים. עדכון זה מטפל בבעיה בכך שהוא מוודא שקבצים שהורחבו מתוך ארכיון אינם ממוקמים מחוץ לספריית היעד.
CFNetwork
CVE-ID: CVE-2006-1441
זמין עבור: Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: כניסה לאתרי אינטרנט זדוניים עלולה לגרום להפעלת קוד שרירותי
תיאור: גלישה נומרית בטיפול של קידוד מעבר מקוטע עלולה לגרום להפעלת קוד שרירותי. CFNetwork משמש את Safari ויישומים אחרים. עדכון זה מטפל בבעיה באמצעות ביצוע אימות נוסף. בעיה זו אינה משפיעה על מערכות שקדמו ל-Mac OS X v10.4.
ClamAV
CVE-ID: CVE-2006-1614, CVE-2006-1615, CVE-2006-1630
זמין עבור: Mac OS X Server v10.4.6
השפעה: עיבוד הודעות דוא"ל בעלות מבנה זדוני באמצעות ClamAV עלול לגרום להפעלת קוד שרירותי
תיאור: התוכנה לסריקת וירוסים ClamAV עודכנה לשילוב תיקוני אבטחה במהדורה האחרונה. ClamAV הוצגה ב-Mac OS X Server v10.4 לסריקת דוא"ל. החמורה מבין בעיות אלה עלולה לגרום להפעלת קוד שרירותי עם ההרשאות של ClamAV. למידע נוסף, עיינו באתר האינטרנט של הפרויקט בכתובת http://www.clamav.net.
CoreFoundation
CVE-ID: CVE-2006-1442
זמין עבור: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: רישום של חבילה לא מהימנה עלול לגרום להפעלת קוד שרירותי
תיאור: בנסיבות מסוימות, מתבצע רישום במשתמע על ידי יישומים או על ידי המערכת. תכונה של ה-API של החבילה מאפשרת טעינה והפעלה של ספריות דינמיות בעת רישום חבילה, גם אם יישום הלקוח אינו מבקש זאת במפורש. כתוצאה מכך, ייתכן שיופעל קוד שרירותי מחבילה לא מהימנה ללא אינטראקציה מפורשת של משתמש. עדכון זה מטפל בבעיה באמצעות טעינה והפעלה של ספריות מחבילה רק בזמן הנכון.
CoreFoundation
CVE-ID: CVE-2006-1443
זמין עבור: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: המרות של מחרוזות לתצוגת מערכת קבצים עלולות לגרום להפעלת קוד שרירותי
תיאור: גלישה נומרית מלמטה במהלך עיבוד תנאי גבול ב-CFStringGetFileSystemRepresentation עלולה לגרום להפעלת קוד שרירותי. יישומים שמשתמשים ב-API זה או באחד מממשקי ה-API הקשורים, כגון getFileSystemRepresentation:maxLength:withPath: של NSFileManager עלולים לעורר את הבעיה ולגרום להפעלת קוד שרירותי. עדכון זה מטפל בבעיה באמצעות טיפול נכון בתנאי הגבולות.
CoreGraphics
CVE-ID: CVE-2006-1444
זמין עבור: Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: תווים המוזנים בשדה טקסט מאובטח עלולים להיקרא על ידי יישומים אחרים באותה הפעלת חלון
תיאור: האוסף Quartz Event Services מספק ליישומים את היכולת לצפות באירועי קלט משתמש ברמה נמוכה ולשנות אותם. בדרך כלל, יישומים אינם יכולים ליירט אירועים כאשר אירוע קלט מאובטח מופעל. יחד עם זאת, אם האפשרות 'אפשר גישה למכשירי סיוע' מופעלת, ניתן להשתמש ב-Quartz Event Services ליירוט אירועים גם כאשר אירוע קלט מאובטח מופעל. עדכון זה מטפל בבעיה באמצעות סינון אירועים כאשר אירוע קלט מאובטח מופעל. בעיה זו אינה משפיעה על מערכות שקדמו ל-Mac OS X v10.4. תודה ל-Damien Bobillot שדיווח על הבעיה.
Finder
CVE-ID: CVE-2006-1448
זמין עבור: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: הפעלת פריט מיקום באינטרנט עלולה לגרום להפעלת קוד שרירותי
תיאור: פריטי מיקום באינטרנט הם גורמים מכילים פשוטים של כתובות URL שעשויים להפנות לכתובות URL מסוג http://, ftp:// ו-file://, כמו גם למספר סכימות URL אחרות. סוגים שונים אלה של פריטי מיקום באינטרנט מתאפיינים במראה שונה ונועדו להיות בטוחים להפעלה באופן מפורש. יחד עם זאת, סכימת ה-URL עשויה להיות שונה מסוג המיקום באינטרנט. כתוצאה מכך, ייתכן שתוקף יוכל לשכנע משתמש להפעיל פריט בלתי מזיק לכאורה (כגון 'מיקום באינטרנט', http://), כאשר התוצאה היא שבפועל נעשה שימוש בסכימת URL אחרת. בנסיבות מסוימות, פעולה זו עלולה לגרום להפעלת קוד שרירותי. עדכון זה מטפל בבעיות באמצעות הגבלת סכימת ה-URL בהתבסס על הסוג של 'מיקום באינטרנט'.
FTPServer
CVE-ID: CVE-2006-1445
זמין עבור: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: פעולות FTP של משתמשי FTP מאומתים עלולות לגרום להפעלת קוד שרירותי
תיאור: כתוצאה ממספר בעיות בטיפול בשם של נתיב שרת FTP, עלולה להיגרם גלישת חוצץ. ייתכן שמשתמש מאומת זדוני יוכל להפעיל את הגלישה הזאת שעלולה לגרום להפעלת קוד שרירותי עם ההרשאות של שרת ה-FTP. עדכון זה מטפל בבעיה באמצעות טיפול נכון בתנאי הגבולות.
Flash Player
CVE-ID: CVE-2005-2628, CVE-2006-0024
זמין עבור: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: הפעלת תוכן Flash עלולה לגרום להפעלת קוד שרירותי
תיאור: Adobe Flash Player מכיל פגיעויות קריטיות שעלולות לגרום להפעלת קוד שרירותי בעת טעינת קבצים בעלי מבנה מיוחד. מידע נוסף זמין באתר האינטרנט של Adobe בכתובת http://www.adobe.com/devnet/security/security_zone/apsb06-03.html. עדכון זה מטפל בבעיה באמצעות שילוב Flash Player גרסה 8.0.24.0.
ImageIO
CVE-ID: CVE-2006-1552
זמין עבור: Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: הצגת תמונת JPEG בעלת מבנה זדוני עלולה לגרום להפעלת קוד זדוני
תיאור: גלישה נומרית בעיבוד מטא-נתונים של JPEG עלולה לגרום לגלישת חוצץ בערימה. באמצעות בנייה קפדנית של תמונה עם מטא-נתונים של JPEG בעלי מבנה פגום, ייתכן שתוקף יוכל לגרום להפעלת קוד שרירותי בעת הצגת התמונה. העדכון מטפל בבעיה על ידי ביצוע אימות נוסף לתמונות. עדכון זה אינו משפיע על מערכות שקדמו ל-Mac OS X v10.4. תודה ל-Brent Simmons מ-NewsGator Technologies, Inc. שדיווח על הבעיה.
Keychain
CVE-ID: CVE-2006-1446
זמין עבור: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: ייתכן שיישום יוכל להשתמש בפריטי צרור מפתחות בזמן שצרור המפתחות נעול
תיאור: כאשר צרור מפתחות נעול, יישומים אינם יכולים לגשת אל הפריטים שהוא מכיל לפני שביקשו לפתוח את הנעילה שלו. יחד עם זאת, יישום שהשיג הפניה לפריט צרור מפתחות לפני נעילת צרור המפתחות עשוי בנסיבות מסוימות, להיות מסוגל להמשיך להשתמש באותו פריט צרור מפתחות בין אם צרור המפתחות נעול ובין אם הוא פתוח. עדכון זה מטפל בבעיה באמצעות דחיית בקשות לשימוש בפריטי צרור מפתחות כאשר צרור המפתחות נעול. תודה ל-Tobias Hahn מ-HU Berlin שדיווח על הבעיה.
LaunchServices
CVE-ID: CVE-2006-1447
זמין עבור: Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: צפייה באתר אינטרנט זדוני עלולה לגרום להפעלת קוד שרירותי
תיאור: סיומות ארוכות של שמות קבצים עלולות לגרום לכך ש'אימות הורדה' לא יוכל לקבוע בצורה נכונה באמצעות איזה יישום ניתן לפתוח פריט כלשהו. כתוצאה מכך, ייתכן שתוקף יוכל לעקוף את 'אימות הורדה' ולגרום ל-Safari לפתוח באופן אוטומטי תוכן שאינו בטוח, אם האפשרות 'פתח קבצים "בטוחים" אחרי ההורדה' מופעלת ויישומים מסוימים אינם מותקנים. עדכון זה מטפל בבעיה באמצעות בדיקה משופרת של סיומת שם הקובץ. בעיה זו אינה משפיעה על מערכות לפני Mac OS X גרסה 10.4.
libcurl
CVE-ID: CVE-2005-4077
זמין עבור: Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: טיפול בכתובות URL ב-libcurl עלול לגרום להפעלת קוד שרירותי
תיאור: ספריית HTTP בעלת הקוד הפתוח libcurl מכילה גלישות חוצץ בטיפול בכתובות URL. יישומים שמשתמשים ב-curl לצורך טיפול בכתובות URL עלולים לעורר את הבעיה ולגרום להפעלת קוד שרירותי. עדכון זה מטפל בבעיה באמצעות שילוב libcurl גרסה 7.15.1. בעיה זו אינה משפיעה על מערכות שקדמו ל-Mac OS X v10.4.
Mail
CVE-ID: CVE-2006-1449
זמין עבור: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: הצגת הודעת דוא"ל זדונית עלולה לגרום להפעלת קוד שרירותי
תיאור: תוקף עלול לגרום לגלישה נומרית על ידי הכנת הודעת דוא"ל במבנה מיוחד עם קבצים מצורפים סגורים של MacMIME. פעולה זו עלולה לגרום להפעלת קוד שרירותי עם ההרשאות של המשתמש שמפעיל את 'דואר'. עדכון זה מתקן את הבעיה באמצעות ביצוע אימות נוסף של ההודעות.
Mail
CVE-ID: CVE-2006-1450
זמין עבור: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: הצגת הודעת דוא"ל זדונית עלולה לגרום להפעלת קוד שרירותי
תיאור: הטיפול בנתוני צבע בלתי תקפים בהודעות דוא"ל בעלות טקסט מועשר עלול לגרום להקצאה ולאתחול של מחלקות שרירותיות. פעולה זו עלולה לגרום להפעלת קוד שרירותי עם ההרשאות של המשתמש שמפעיל את 'דואר'. עדכון זה מטפל בבעיה באמצעות טיפול נכון בנתוני טקסט מועשר בעלי מבנה פגום.
MySQL Manager
CVE-ID: CVE-2006-1451
זמין עבור: Mac OS X Server v10.4.6
השפעה: ייתכן שתושג גישה אל מסד הנתונים של MySQL באמצעות סיסמה ריקה
תיאור: במהלך ההגדרה הראשונית של מסד הנתונים של MySQL באמצעות MySQL Manager, ייתכן שלא תסופק "סיסמת ה-Root החדשה של MySQL". עם זאת, לא נעשה שימוש בפועל בסיסמה זו. כתוצאה מכך, סיסמת ה-Root של MySQL תישאר ריקה. משתמש מקומי יוכל אז לקבל גישה למסד הנתונים של MySQL עם הרשאות מלאות. עדכון זה מטפל בבעיה בכך שהוא מוודא שהסיסמה שהוזנה נשמרת. בעיה זו אינה משפיעה על מערכות שקדמו ל-Mac OS X Server v10.4. תודה ל-Ben Low מאוניברסיטת ניו סאות' ויילס שדיווח על הבעיה.
Preview
CVE-ID: CVE-2006-1452
זמין עבור: Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: ניווט בהיררכיית ספריות בעלת מבנה זדוני עלול לגרום להפעלת קוד שרירותי
תיאור: בעת ניווט בהיררכיות מאוד עמוקות של ספריות ב'תצוגה מקדימה', עלולה להיגרם גלישת חוצץ בערימה. על ידי בנייה קפדנית של היררכיית ספריות שכזאת, ייתכן שיתאפשר לתוקף לגרום להפעלת קוד שרירותי אם הספריות פתוחות ב'תצוגה מקדימה'. בעיה זו אינה משפיעה על מערכות לפני Mac OS X גרסה 10.4.
QuickDraw
CVE-ID: CVE-2006-1453, CVE-2006-1454
זמין עבור: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: הצגת תמונת PICT בעלת מבנה זדוני עלולה לגרום להפעלת קוד שרירותי
תיאור: שתי בעיות משפיעות על QuickDraw בעת עיבוד תמונות PICT. נתוני גופנים בעלי מבנה פגום עלולים לגרום לגלישת חוצץ במחסנית, ונתוני תמונות בעלות מבנה פגום עלולים לגרום לגלישת חוצץ בערימה. באמצעות בנייה קפדנית של תמונת PICT זדונית, ייתכן שתוקף יוכל לגרום להפעלת קוד שרירותי בעת הצגת התמונה. עדכון זה מטפל בבעיה על ידי ביצוע אימות נוסף של תמונות PICT. תודה ל-Mike Price מ-McAfee AVERT Labs שדיווח על הבעיה.
QuickTime Streaming Server
CVE-ID: CVE-2006-1455
זמין עבור: Mac OS X Server v10.3.9, Mac OS X Server v10.4.6
השפעה: סרט QuickTime בעל מבנה פגום יכול לגרום לשרת הזרמת QuickTime לקרוס
תיאור: סרט QuickTime שחסר לו ערוץ עלול לגרום לביטול הפניה לערך מצביע Null, דבר שיגרום לתהליך השרת לקרוס. מצב זה גורם הפרעות לחיבורי לקוח פעילים. עם זאת, השרת מופעל מחדש באופן אוטומטי. עדכון זה מטפל בבעיה באמצעות יצירת שגיאה בעת היתקלות בסרטים בעלי מבנה פגום.
QuickTime Streaming Server
CVE-ID: CVE-2006-1456
זמין עבור: Mac OS X Server v10.3.9, Mac OS X Server v10.4.6
השפעה: בקשות RTSP בעלות מבנה זדוני עלולות לגרום לקריסות או להפעלת קוד שרירותי
תיאור: על ידי יצירה קפדנית של בקשת RTSP, ייתכן שתוקף יוכל לעורר גלישת חוצץ במהלך רישום הודעות. מצב זה עלול לגרום להפעלת קוד שרירותי עם הרשאות של שרת הזרמת QuickTime. עדכון זה מטפל בבעיה באמצעות טיפול נכון בתנאי הגבולות. תודה לצוות המחקר של Mu Security שדיווח על הבעיה.
Ruby
CVE-ID: CVE-2005-2337
זמין עבור: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: ייתכן שייעקפו הגבלות הרמה הבטוחה של Ruby
תיאור: שפת כתיבת התסריט Ruby כוללת מנגנון שנקרא "רמות בטוחות" ומשמש להגבלת פעולות מסוימות. השימוש הנפוץ במנגנון הוא בעת הפעלת יישומי Ruby בעלי הרשאות או יישומי רשת של Ruby. בנסיבות מסוימות, ייתכן שתוקף יוכל לעקוף את ההגבלות ביישומים כאלה. יישומים שאינם מסתמכים על רמות בטוחות אינם מושפעים מהבעיה. עדכון זה מטפל בבעיה בכך שהוא מוודא שלא ניתן יהיה לעקוף רמות בטוחות.
Safari
CVE-ID: CVE-2006-1457
זמין עבור: Mac OS X v10.4.6, Mac OS X Server v10.4.6
השפעה: כניסה לאתרי אינטרנט זדוניים עלולה לגרום למניפולציה של קבצים או להפעלת קוד שרירותי
תיאור: כשהאפשרות 'פתח קבצים "בטוחים" אחרי ההורדה' ב-Safari מופעלת, הארכיונים יורחבו באופן אוטומטי. אם הארכיון מכיל קישור סמלי, ייתכן ש-symlink היעד יועבר לשולחן העבודה של המשתמש ויופעל. עדכון זה מטפל בבעיה על ידי אי פענוח של קישורים סמליים שהורדו. בעיה זו אינה משפיעה על מערכות לפני Mac OS X גרסה 10.4.