מידע על תוכן האבטחה של העדכון Mac OS X 10.4.8 ועדכון האבטחה 2006-006

מסמך זה מתאר את עדכון האבטחה 2006-006 ואת תוכן האבטחה של העדכון Mac OS X 10.4.8, שניתן להוריד ולהתקין באמצעות העדפות 'עדכוני תוכנה' או מתוך 'הורדות' של Apple.

מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד לביצוע חקירה מלאה בנושא ולהפצת מהדורות או רכיבי Patch חיוניים. למידע נוסף בנושא אבטחת מוצר של Apple, עיינו באתר האינטרנט אבטחת מוצר של Apple.

למידע על מפתח PGP לאבטחת מוצר של Apple, עיינו ב-"כיצד להשתמש במפתח PGP לאבטחת מוצר של Apple".

היכן שניתן, מזהי CVE משמשים כסימוכין לפגיעויות לצורך קבלת מידע נוסף.

כדי ללמוד על עדכוני אבטחה נוספים, עיינו ב"עדכוני אבטחה של Apple".

Mac OS X גירסה 10.4.8 ועדכון אבטחה 2006-006

• CFNetwork

  ‏CVE-ID: ‏CVE-2006-4390

  זמין עבור: Mac OS X גירסה 10.3.9, ‏Mac OS X Server גירסה 10.3.9, ‏Mac OS X גירסה 10.4 עד וכולל ‏Mac OS X גירסה 10.4.7, ‏Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7

  השפעה: תוכנות לקוח כגון Safari שפועלות במסגרת CFNetwork עלולות לאפשר לאתרי SSL לא מאומתים להופיע כמאומתים

  תיאור: חיבורים שנוצרו באמצעות SSL הם בדרך כלל מאומתים ומוצפנים. כאשר הצפנה מיושמת ללא אימות, אתרים זדוניים עלולים להצליח להתחזות לאתרים מהימנים. במקרה של Safari, הדבר עלול להוביל להצגת אייקון המנעול בעוד שלא ניתן לסמוך על זהותו של אתר מרוחק. עדכון זה מטפל בבעיה זו על-ידי מניעה של חיבורי SSL אנונימיים כברירת מחדל. תודה לאדם בריזק מ-Queensland University of Technology עבור הדיווח על בעיה זו.

• Flash Player

  ‏CVE-ID: ‏CVE-2006-3311, ‏CVE-2006-3587, ‏CVE-2006-3588, ‏CVE-2006-4640

  זמין עבור: Mac OS X גירסה 10.3.9, ‏Mac OS X Server גירסה 10.3.9, ‏Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, ‏Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7

  השפעה: הפעלת תוכן Flash עלולה להוביל להפעלת קוד שרירותי

  תיאור: Adobe Flash Player מכיל פגיעויות קריטיות שעלולות להוביל להפעלת קוד שרירותי בעת טיפול בתוכן בעל מבנה זדוני. עדכון זה מטפל בבעיות על-ידי שילוב של Flash Player גירסה 9.0.16.0 ב-Mac OS X גירסה 10.3.9 ושל Flash Player גירסה 9.0.20.0 במערכות Mac OS X גירסה 10.4.

  מידע נוסף זמין באתר האינטרנט של Adobe בכתובת http://www.adobe.com/support/security/bulletins/apsb06-11.html.

• ImageIO

  ‏CVE-ID: ‏CVE-2006-4391

  זמין עבור: Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, ‏Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7

  השפעה: הצגה של תמונת JPEG2000 בעלת מבנה זדוני עלולה להוביל לקריסת יישום או להפעלת קוד שרירותי

  תיאור: על-ידי יצירה קפדנית של תמונת JPEG2000 פגומה, תוקף יכול להפעיל גלישת חוצץ, שעלולה להוביל לקריסה של יישום או להפעלת קוד שרירותי. עדכון זה מטפל בתמונה על ידי ביצוע אימות נוסף של תמונות JPEG2000. בעיה זו אינה משפיעה על מערכות לפני Mac OS X גירסה 10.4. תודה לטום סקסטון מ-Idle Loop Software Design עבור הדיווח על הבעיה.

• Kernel

  ‏CVE-ID: ‏CVE-2006-4392

  זמין עבור: Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, ‏Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7

  השפעה: משתמשים מקומיים עלולים להצליח להפעיל קוד שרירותי עם הרשאות מוגברות

  תיאור: מנגנון טיפול בשגיאות בליבה, שידוע גם כיציאות חריגה של Mach, מספק את היכולת לשלוט בתוכנות כאשר המערכת נתקלת בסוגים מסוימים של שגיאות. משתמשים מקומיים בעלי כוונת זדון מסוגלים להשתמש במנגנון זה כדי להפעיל קוד שרירותי בתוכנות בעלות הרשאות, אם המערכת נתקלת בשגיאה. עדכון זה מטפל בבעיה זו על-ידי הגבלת הגישה ליציאות חריגה של Mach עבור תוכנות עם הרשאות. תודה לדינו דאי זווי מ-Matasano Security עבור הדיווח על בעיה זו.

• LoginWindow

  ‏CVE-ID: ‏CVE-2006-4397

  זמין עבור: Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, ‏Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7

  השפעה: לאחר ניסיון לא מוצלח להתחבר לחשבון רשת, ייתכן שחבילות נתונים של Kerberos יהיו נגישות למשתמשים מקומיים אחרים

  תיאור: עקב מצב של שגיאות שלא נבדקו, ייתכן שחבילות הנתונים של Kerberos לא יושמדו כראוי לאחר ניסיון לא מוצלח להתחבר לחשבון רשת דרך loginwindow. דבר זה עלול להוביל לגישה בלתי מורשית של משתמשים מקומיים אחרים לחבילות נתונים של Kerberos שמקורן הוא משתמש קודם. עדכון זה מטפל בבעיה על-ידי ניקוי מטמון האישורים לאחר ניסיונות התחברות שנכשלו. בעיה זו אינה משפיעה על מערכות לפני Mac OS X גירסה 10.4. תודה לפטריק גאלגאר מ-Digital Peaks Corporation עבור הדיווח על הבעיה.

• LoginWindow

  ‏CVE-ID: ‏CVE-2006-4393

  זמין עבור: Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, ‏Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7

  השפעה: ייתכן שחבילות נתונים של Kerberos יהיו נגישות למשתמשים מקומיים אחרים, אם התכונה 'מעבר מהיר בין משתמשים' מופעלת

  תיאור: שגיאה בטיפול ב'מעבר מהיר בין משתמשים' עלולה לאפשר למשתמש מקומי לקבל גישה לחבילות נתונים של Kerberos שמקורן הוא משתמשים מקומיים אחרים. התכונה 'מעבר מהיר בין משתמשים' עודכנה כדי למנוע מצב זה. בעיה זו לא משפיעה על מערכות לפני Mac OS X גירסה 10.4. תודה לראגנר סונדבלאד מ-Royal Institute of Technology, שטוקהולם, שוודיה, עבור הדיווח על בעיה זו.

• LoginWindow

  ‏CVE-ID: ‏CVE-2006-4394

  זמין עבור: Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, ‏Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7

  השפעה: ייתכן שחשבונות רשת יוכלו לעקוף את בקרות הגישה לשירות loginwindow

  תיאור: ניתן להשתמש בבקרות גישה לשירות כדי להגביל את המשתמשים שיהיו רשאים להיכנס למערכת באמצעות loginwindow. שגיאה לוגית ב-loginwindow מאפשרת לחשבונות רשת ללא מאפייני GUID לעקוף את בקרות הגישה לשירות. בעיה זו משפיעה רק על מערכות שהוגדרו להשתמש בבקרות הגישה לשירות עבור loginwindow ולאפשר לחשבונות רשת לאמת משתמשים ללא GUID. הבעיה נפתרה על-ידי טיפול נכון בבקרות הגישה לשירות ב-loginwindow. בעיה זו אינה משפיעה על מערכות לפני Mac OS X גרסה 10.4.

• Preferences

  ‏CVE-ID: ‏CVE-2006-4387

  זמין עבור: Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, ‏Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7

  השפעה: לאחר הסרת הרשאות מנהל מערכת של החשבון, החשבון עדיין עשוי לנהל יישומי WebObjects

  תיאור: מחיקת הסימון מתיבת הסימון 'לאפשר למשתמש/ת לנהל את המחשב' ב'העדפות המערכת' עלולה שלא להסיר את החשבון מקבוצות appserveradm או appserverusr. קבוצות אלה מאפשרות לחשבון לנהל יישומי WebObjects. עדכון זה מטפל בבעיה זו על-ידי כך שהוא מבטיח את הסרת החשבון מהקבוצות המתאימות. בעיה זו לא משפיעה על מערכות לפני Mac OS X גירסה 10.4. תודה לפיליפ טג'אדה מ-Fruit Bat Software עבור הדיווח על בעיה זו.

• QuickDraw Manager

  ‏CVE-ID: ‏CVE-2006-4395

  זמין עבור: Mac OS X גירסה 10.3.9, Mac OS X Server גירסה 10.3.9, Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7

  השפעה: פתיחה של תמונת PICT זדונית ביישומים מסוימים עלולה להוביל לקריסת יישום או להפעלת קוד שרירותי

  תיאור: יישומים מסוימים מפעילים פעולה של QuickDraw שאינה נתמכת, כדי להציג תמונות PICT. באמצעות יצירה מוקפדת של תמונת PICT פגומה, תוקף יכול לגרום להשחתת זיכרון ביישומים אלה, מה שעלול להוביל לקריסה של היישום או להפעלת קוד שרירותי. עדכון זה מטפל בבעיה זו על-ידי מניעתה של הפעולה הלא-נתמכת.

• SASL

  ‏CVE-ID: ‏CVE-2006-1721

  זמין עבור: Mac OS X גירסה 10.3.9, ‏Mac OS X Server גירסה 10.3.9, ‏Mac OS X גירסה 10.4 עד וכולל ‏Mac OS X גירסה 10.4.7, ‏Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7

  השפעה: ייתכן שתוקפים מרחוק יהיו מסוגלים לגרום למניעת שירות של שרת IMAP

  תיאור: בעיה בתמיכת המשא ומתן של DIGEST-MD5 ב-Cyrus SASL עלולה להוביל לשגיאת מקטעי דיסק בשרת IMAP עם כותרת של קבוצת דפים (תחום) בעלת מבנה זדוני. עדכון זה מטפל בבעיה באמצעות טיפול משופר בכותרות של קבוצות דפים (תחום) בניסיונות אימות.

• WebCore

  ‏CVE-ID: ‏CVE-2006-3946

  זמין עבור: Mac OS X גירסה 10.3.9, Mac OS X Server גירסה 10.3.9, Mac OS X גירסה 10.4 עד וכולל Mac OS X גירסה 10.4.7, Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7

  השפעה: הצגה של דף אינטרנט בעל מבנה זדוני עלולה להוביל להפעלת קוד שרירותי

  תיאור: שגיאת ניהול זיכרון בטיפול של WebKit ב-HTML מסוים עלולה לאפשר לאתר אינטרנט זדוני לגרום לקריסה או אולי להפעיל קוד שרירותי בזמן שהמשתמש מציג את האתר. עדכון זה מטפל בבעיה זו על-ידי מניעת המצב שגורם לגלישת החוצץ. תודה לז'נס קוטילק מ-Netzallee, ללורן גרנייר – מהנדס מחקר בכיר ב-Sourcefire VRT, ולחוזה אוויה III – אנליסט אבטחה ב-ONZRA עבור הדיווח על בעיה זו.

• ‏Workgroup Manager

  ‏CVE-ID: ‏CVE-2006-4399

  זמין עבור: Mac OS X Server גירסה 10.4 עד וכולל Mac OS X Server גירסה 10.4.7

  השפעה: חשבונות בתחום-האב של NetInfo שנראים כאילו הם משתמשים בסיסמאות קובץ ShadowHash, עלולים עדיין להשתמש בתבנית crypt

  תיאור: נראה כאילו Workgroup Manager מאפשר את ההחלפה של סוג האימות – מסיסמאות בתבנית crypt לסיסמאות בקובץ ShadowHash בתחום-האב של NetInfo – אך בפועל הוא לא מאפשר זאת. רענון התצוגה של חשבון בתחום-האב של NetInfo יצביע כראוי על כך שתבנית crypt עדיין נמצאת בשימוש. עדכון זה מטפל בבעיה זו בכך שהוא מונע ממנהלי מערכת לבחור סיסמאות קובץ ShadowHash עבור חשבונות בתחום-האב של NetInfo. תודה לכריס פפר מ-The Rockefeller University עבור הדיווח על בעיה זו.

הערת התקנה

'עדכוני תוכנה' יציגו את העדכון שמתאים לתצורת המערכת שלכם. צריך עדכון אחד בלבד.

עדכון אבטחה 2006-006 יותקן במערכות Mac OS X גירסה 10.3.9 ו-Mac OS X Server גירסה 10.3.9.

Mac OS X גירסה 10.4.8 מכילה את תיקוני האבטחה הקיימים בעדכון האבטחה 2006-006 והיא תותקן ב-Mac OS X גירסה 10.4 ואילך, כמו גם במערכות Mac OS X Server גירסה 10.4 ואילך.