מידע על תוכן האבטחה של העדכון Mac OS X 10.4.8 ועדכון האבטחה 2006-006
מסמך זה מתאר את עדכון האבטחה 2006-006 ואת תוכן האבטחה של העדכון Mac OS X 10.4.8, שניתן להוריד ולהתקין באמצעות העדפות 'עדכוני תוכנה' או מתוך 'הורדות' של Apple.
מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד לביצוע חקירה מלאה בנושא ולהפצת מהדורות או רכיבי Patch חיוניים. למידע נוסף בנושא אבטחת מוצר של Apple, עיינו באתר האינטרנט אבטחת מוצר של Apple.
למידע על מפתח PGP לאבטחת מוצר של Apple, עיינו ב-"כיצד להשתמש במפתח PGP לאבטחת מוצר של Apple".
היכן שניתן, מזהי CVE משמשים כסימוכין לפגיעויות לצורך קבלת מידע נוסף.
כדי ללמוד על עדכוני אבטחה נוספים, עיינו ב"עדכוני אבטחה של Apple".
Mac OS X גירסה 10.4.8 ועדכון אבטחה 2006-006
CFNetwork
CVE-ID: CVE-2006-4390
זמין עבור: Mac OS X גירסה 10.3.9, Mac OS X Server גירסה 10.3.9, Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7
השפעה: תוכנות לקוח כגון Safari שפועלות במסגרת CFNetwork עלולות לאפשר לאתרי SSL לא מאומתים להופיע כמאומתים
תיאור: חיבורים שנוצרו באמצעות SSL הם בדרך כלל מאומתים ומוצפנים. כאשר הצפנה מיושמת ללא אימות, אתרים זדוניים עלולים להצליח להתחזות לאתרים מהימנים. במקרה של Safari, הדבר עלול להוביל להצגת אייקון המנעול בעוד שלא ניתן לסמוך על זהותו של אתר מרוחק. עדכון זה מטפל בבעיה זו על-ידי מניעה של חיבורי SSL אנונימיים כברירת מחדל. תודה לאדם בריזק מ-Queensland University of Technology עבור הדיווח על בעיה זו.
Flash Player
CVE-ID: CVE-2006-3311, CVE-2006-3587, CVE-2006-3588, CVE-2006-4640
זמין עבור: Mac OS X גירסה 10.3.9, Mac OS X Server גירסה 10.3.9, Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7
השפעה: הפעלת תוכן Flash עלולה להוביל להפעלת קוד שרירותי
תיאור: Adobe Flash Player מכיל פגיעויות קריטיות שעלולות להוביל להפעלת קוד שרירותי בעת טיפול בתוכן בעל מבנה זדוני. עדכון זה מטפל בבעיות על-ידי שילוב של Flash Player גירסה 9.0.16.0 ב-Mac OS X גירסה 10.3.9 ושל Flash Player גירסה 9.0.20.0 במערכות Mac OS X גירסה 10.4.
מידע נוסף זמין באתר האינטרנט של Adobe בכתובת http://www.adobe.com/support/security/bulletins/apsb06-11.html.
ImageIO
CVE-ID: CVE-2006-4391
זמין עבור: Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7
השפעה: הצגה של תמונת JPEG2000 בעלת מבנה זדוני עלולה להוביל לקריסת יישום או להפעלת קוד שרירותי
תיאור: על-ידי יצירה קפדנית של תמונת JPEG2000 פגומה, תוקף יכול להפעיל גלישת חוצץ, שעלולה להוביל לקריסה של יישום או להפעלת קוד שרירותי. עדכון זה מטפל בתמונה על ידי ביצוע אימות נוסף של תמונות JPEG2000. בעיה זו אינה משפיעה על מערכות לפני Mac OS X גירסה 10.4. תודה לטום סקסטון מ-Idle Loop Software Design עבור הדיווח על הבעיה.
Kernel
CVE-ID: CVE-2006-4392
זמין עבור: Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7
השפעה: משתמשים מקומיים עלולים להצליח להפעיל קוד שרירותי עם הרשאות מוגברות
תיאור: מנגנון טיפול בשגיאות בליבה, שידוע גם כיציאות חריגה של Mach, מספק את היכולת לשלוט בתוכנות כאשר המערכת נתקלת בסוגים מסוימים של שגיאות. משתמשים מקומיים בעלי כוונת זדון מסוגלים להשתמש במנגנון זה כדי להפעיל קוד שרירותי בתוכנות בעלות הרשאות, אם המערכת נתקלת בשגיאה. עדכון זה מטפל בבעיה זו על-ידי הגבלת הגישה ליציאות חריגה של Mach עבור תוכנות עם הרשאות. תודה לדינו דאי זווי מ-Matasano Security עבור הדיווח על בעיה זו.
LoginWindow
CVE-ID: CVE-2006-4397
זמין עבור: Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7
השפעה: לאחר ניסיון לא מוצלח להתחבר לחשבון רשת, ייתכן שחבילות נתונים של Kerberos יהיו נגישות למשתמשים מקומיים אחרים
תיאור: עקב מצב של שגיאות שלא נבדקו, ייתכן שחבילות הנתונים של Kerberos לא יושמדו כראוי לאחר ניסיון לא מוצלח להתחבר לחשבון רשת דרך loginwindow. דבר זה עלול להוביל לגישה בלתי מורשית של משתמשים מקומיים אחרים לחבילות נתונים של Kerberos שמקורן הוא משתמש קודם. עדכון זה מטפל בבעיה על-ידי ניקוי מטמון האישורים לאחר ניסיונות התחברות שנכשלו. בעיה זו אינה משפיעה על מערכות לפני Mac OS X גירסה 10.4. תודה לפטריק גאלגאר מ-Digital Peaks Corporation עבור הדיווח על הבעיה.
LoginWindow
CVE-ID: CVE-2006-4393
זמין עבור: Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7
השפעה: ייתכן שחבילות נתונים של Kerberos יהיו נגישות למשתמשים מקומיים אחרים, אם התכונה 'מעבר מהיר בין משתמשים' מופעלת
תיאור: שגיאה בטיפול ב'מעבר מהיר בין משתמשים' עלולה לאפשר למשתמש מקומי לקבל גישה לחבילות נתונים של Kerberos שמקורן הוא משתמשים מקומיים אחרים. התכונה 'מעבר מהיר בין משתמשים' עודכנה כדי למנוע מצב זה. בעיה זו לא משפיעה על מערכות לפני Mac OS X גירסה 10.4. תודה לראגנר סונדבלאד מ-Royal Institute of Technology, שטוקהולם, שוודיה, עבור הדיווח על בעיה זו.
LoginWindow
CVE-ID: CVE-2006-4394
זמין עבור: Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7
השפעה: ייתכן שחשבונות רשת יוכלו לעקוף את בקרות הגישה לשירות loginwindow
תיאור: ניתן להשתמש בבקרות גישה לשירות כדי להגביל את המשתמשים שיהיו רשאים להיכנס למערכת באמצעות loginwindow. שגיאה לוגית ב-loginwindow מאפשרת לחשבונות רשת ללא מאפייני GUID לעקוף את בקרות הגישה לשירות. בעיה זו משפיעה רק על מערכות שהוגדרו להשתמש בבקרות הגישה לשירות עבור loginwindow ולאפשר לחשבונות רשת לאמת משתמשים ללא GUID. הבעיה נפתרה על-ידי טיפול נכון בבקרות הגישה לשירות ב-loginwindow. בעיה זו אינה משפיעה על מערכות לפני Mac OS X גרסה 10.4.
Preferences
CVE-ID: CVE-2006-4387
זמין עבור: Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7
השפעה: לאחר הסרת הרשאות מנהל מערכת של החשבון, החשבון עדיין עשוי לנהל יישומי WebObjects
תיאור: מחיקת הסימון מתיבת הסימון 'לאפשר למשתמש/ת לנהל את המחשב' ב'העדפות המערכת' עלולה שלא להסיר את החשבון מקבוצות appserveradm או appserverusr. קבוצות אלה מאפשרות לחשבון לנהל יישומי WebObjects. עדכון זה מטפל בבעיה זו על-ידי כך שהוא מבטיח את הסרת החשבון מהקבוצות המתאימות. בעיה זו לא משפיעה על מערכות לפני Mac OS X גירסה 10.4. תודה לפיליפ טג'אדה מ-Fruit Bat Software עבור הדיווח על בעיה זו.
QuickDraw Manager
CVE-ID: CVE-2006-4395
זמין עבור: Mac OS X גירסה 10.3.9, Mac OS X Server גירסה 10.3.9, Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7
השפעה: פתיחה של תמונת PICT זדונית ביישומים מסוימים עלולה להוביל לקריסת יישום או להפעלת קוד שרירותי
תיאור: יישומים מסוימים מפעילים פעולה של QuickDraw שאינה נתמכת, כדי להציג תמונות PICT. באמצעות יצירה מוקפדת של תמונת PICT פגומה, תוקף יכול לגרום להשחתת זיכרון ביישומים אלה, מה שעלול להוביל לקריסה של היישום או להפעלת קוד שרירותי. עדכון זה מטפל בבעיה זו על-ידי מניעתה של הפעולה הלא-נתמכת.
SASL
CVE-ID: CVE-2006-1721
זמין עבור: Mac OS X גירסה 10.3.9, Mac OS X Server גירסה 10.3.9, Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7
השפעה: ייתכן שתוקפים מרחוק יהיו מסוגלים לגרום למניעת שירות של שרת IMAP
תיאור: בעיה בתמיכת המשא ומתן של DIGEST-MD5 ב-Cyrus SASL עלולה להוביל לשגיאת מקטעי דיסק בשרת IMAP עם כותרת של קבוצת דפים (תחום) בעלת מבנה זדוני. עדכון זה מטפל בבעיה באמצעות טיפול משופר בכותרות של קבוצות דפים (תחום) בניסיונות אימות.
WebCore
CVE-ID: CVE-2006-3946
זמין עבור: Mac OS X גירסה 10.3.9, Mac OS X Server גירסה 10.3.9, Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7
השפעה: הצגה של דף אינטרנט בעל מבנה זדוני עלולה להוביל להפעלת קוד שרירותי
תיאור: שגיאת ניהול זיכרון בטיפול של WebKit ב-HTML מסוים עלולה לאפשר לאתר אינטרנט זדוני לגרום לקריסה או אולי להפעיל קוד שרירותי בזמן שהמשתמש מציג את האתר. עדכון זה מטפל בבעיה זו על-ידי מניעת המצב שגורם לגלישת החוצץ. תודה לז'נס קוטילק מ-Netzallee, ללורן גרנייר – מהנדס מחקר בכיר ב-Sourcefire VRT, ולחוזה אוויה III – אנליסט אבטחה ב-ONZRA עבור הדיווח על בעיה זו.
Workgroup Manager
CVE-ID: CVE-2006-4399
זמין עבור: Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7
השפעה: חשבונות בתחום-האב של NetInfo שנראים כאילו הם משתמשים בסיסמאות קובץ ShadowHash, עלולים עדיין להשתמש בתבנית crypt
תיאור: נראה כאילו Workgroup Manager מאפשר את ההחלפה של סוג האימות – מסיסמאות בתבנית crypt לסיסמאות בקובץ ShadowHash בתחום-האב של NetInfo – אך בפועל הוא לא מאפשר זאת. רענון התצוגה של חשבון בתחום-האב של NetInfo יצביע כראוי על כך שתבנית crypt עדיין נמצאת בשימוש. עדכון זה מטפל בבעיה זו בכך שהוא מונע ממנהלי מערכת לבחור סיסמאות קובץ ShadowHash עבור חשבונות בתחום-האב של NetInfo. תודה לכריס פפר מ-The Rockefeller University עבור הדיווח על בעיה זו.
הערת התקנה
'עדכוני תוכנה' יציגו את העדכון שמתאים לתצורת המערכת שלכם. צריך עדכון אחד בלבד.
עדכון אבטחה 2006-006 יותקן במערכות Mac OS X גירסה 10.3.9 ו-Mac OS X Server גירסה 10.3.9.
Mac OS X גירסה 10.4.8 מכילה את תיקוני האבטחה הקיימים בעדכון האבטחה 2006-006 והיא תותקן ב-Mac OS X גירסה 10.4 ואילך, כמו גם במערכות Mac OS X Server גירסה 10.4 ואילך.
חשוב: מידע על מוצרים שאינם מיוצרים על ידי Apple ניתן למטרות מידע בלבד ואינו מהווה המלצה או תמיכה של Apple. יש ליצור קשר עם הספק לקבלת מידע נוסף.