מידע על עדכון האבטחה 2008-007
מסמך זה מתאר את עדכון האבטחה 2008-007, שניתן להוריד ולהתקין באמצעות העדפות עדכוני תוכנה, או מתוך הורדות של Apple.
מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד לביצוע חקירה מלאה בנושא ולהפצת מהדורות או רכיבי Patch חיוניים. למידע נוסף בנושא אבטחת מוצר של Apple, עיינו באתר האינטרנט אבטחת מוצר של Apple.
למידע על מפתח PGP לאבטחת מוצר של Apple, עיינו בנושא "כיצד להשתמש במפתח PGP לאבטחת מוצר של Apple".
היכן שניתן, מזהי CVE משמשים כסימוכין לפגיעויות לצורך קבלת מידע נוסף.
כדי ללמוד על עדכוני אבטחה נוספים, עיינו בנושא "עדכוני אבטחה של Apple."
עדכון אבטחה 2008-007
Apache
CVE-ID: CVE-2007-6420, CVE-2008-1678, CVE-2008-2364
זמין עבור: Mac OS X v10.5.5, Mac OS X Server v10.5.5
השפעה: מספר פגיעויות ב-Apache 2.2.8
תיאור: Apache מתעדכן לגרסה 2.2.9 כדי לטפל בכמה פגיעויות, שהחמורה שבהן עלולה להוביל לזיוף בקשות בין אתרים. גרסה 2 של Apache אינה מצורפת לחבילה של מערכות Mac OS X Client הקודמות לגרסה 10.5. גרסה 2 של Apache כן מצורפת לחבילה של מערכות Mac OS X Server v10.4.x, אולם כברירת מחדל היא אינה מופעלת. מידע נוסף זמין באתר של Apache בכתובת http://httpd.apache.org/
Certificates
זמין עבור: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5, Mac OS X Server v10.5.5
השפעה: אישורי בסיס עודכנו
תיאור: מספר אישורים מהימנים נוספו לרשימת בסיסי המערכת. מספר אישורים קיימים עודכנו לגרסתם החדשה ביותר. את הרשימה המלאה של בסיסי המערכת המזוהים ניתן להציג דרך היישום 'גישה לצרור מפתחות'.
ClamAV
CVE-ID: CVE-2008-1389, CVE-2008-3912, CVE-2008-3913, CVE-2008-3914
זמין עבור: Mac OS X Server v10.4.11, Mac OS X Server v10.5.5
השפעה: מספר פגיעויות ב-ClamAV 0.93.3
תיאור: קיימות מספר פגיעויות ב-ClamAV 0.93.3, שהחמורה שבהן עלולה להוביל להפעלת קוד שרירותי. עדכון זה פותר את הבעיות על-ידי עדכון לגרסה ClamAV 0.94. ClamAV אינה מצורפת לחבילה של מערכות Mac OS X Client. מידע נוסף זמין באתר ClamAV בכתובת http://www.clamav.net/
ColorSync
CVE-ID: CVE-2008-3642
זמין עבור: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5, Mac OS X Server v10.5.5
השפעה: הצגת תמונת בעלת מבנה זדוני עלולה להוביל לסיום בלתי צפוי של אפליקציה או להפעלת קוד שרירותי
תיאור: יש גלישת אחסון זמני בטיפול בתמונות עם פרופיל ICC מוטבע. פתיחת תמונה בעלת מבנה זדוני עם פרופיל ICC מוטבע עלולה לגרום לסגירה לא צפויה של היישום או להפעלת קוד שרירותי. עדכון זה מטפל בבעיה על ידי ביצוע אימות נוסף של פרופילי ICC בתמונות. קרדיט: Apple.
CUPS
CVE-ID: CVE-2008-3641
זמין עבור: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5, Mac OS X Server v10.5.5
השפעה: תוקף מרוחק עלול להיות מסוגל לגרום להפעלה שרירותית של קוד עם ההרשאות של משתמש ה-'lp'
תיאור: קיימת בעיית בדיקת טווח במסנן Hewlett-Packard Graphics Language (HPGL), אשר עלולה לגרום למחיקה של זיכרון שרירותי והחלפתו בנתונים מבוקרים. אם 'שיתוף מדפסות' מופעל, תוקף מרוחק עלול להיות מסוגל לגרום להפעלה שרירותית של קוד עם ההרשאות של משתמש ה-'lp'. אם 'שיתוף מדפסות' אינו מופעל, משתמש מקומי עלול להיות מסוגל להשיג הרשאות מורחבות. העדכון נותן מענה לבעיה באמצעות בדיקת חסמים נוספת. תודה ל-regenrecht, בעבודה עם Zero Day Initiative של TippingPoint, על הדיווח על הבעיה.
Finder
CVE-ID: CVE-2008-3643
זמין עבור: Mac OS X v10.5.5, Mac OS X Server v10.5.5
השפעה: קובץ בשולחן העבודה עלול להוביל למניעת שירות
תיאור: קיימת בעיית שחזור שגיאות ב-Finder. קובץ בעל מבנה זדוני בשולחן העבודה, שגורם ל-Finder להפסיק את פעולתו באופן בלתי צפוי בעת יצירת האייקון שלו, יגרום ל-Finder לעצור את פעולתו ולבצע הפעלה מחדש ברצף. לא תתאפשר גישה לחשבון המשתמש דרך ממשק המשתמש של Finder עד שהקובץ יוסר. עדכון זה מטפל בבעיה על-ידי יצירת אייקונים בתהליך נפרד. בעיה זו אינה משפיעה על מערכות קודמות ל-Mac OS X v10.5. תודה ל-Sergio 'shadown' Alvarez מ-n.runs AG על הדיווח על הבעיה.
launchd
השפעה: ייתכן שיישומים לא יצליחו להיכנס לארגז החול כאשר יתבקשו
זמין עבור: Mac OS X v10.5.5, Mac OS X Server v10.5.5
תיאור: עדכון זה מטפל בבעיה שהחלה ב-Mac OS X v10.5.5. בעיית הטמעה ב-launchd עלולה לגרום לכך שבקשת כניסה של יישום לארגז חול תיכשל. בעיה זו לא משפיעה על תוכניות שמשתמשות ב-API המתועד sandbox_init. עדכון זה מטפל בבעיה על-ידי אספקת גרסה מעודכנת של launchd. הבעיה אינה משפיעה על מערכות קודמות ל-Mac OS X v10.5.5.
libxslt
CVE-ID: CVE-2008-1767
זמין עבור: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5, Mac OS X Server v10.5.5
השפעה: עיבוד מסמך XML עלול להוביל לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי
תיאור: קיימת בעיה של גלישת חוצץ בערימה בספרייה libxslt. הצגת עמוד אינטרנט בעל מבנה זדוני עלולה להוביל לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי. מידע נוסף על התיקון שהוחל זמין ב-http://xmlsoft.org/XSLT/ תודה ל-Anthony de Almeida Lopes מ-Outpost24 AB ול-Chris Evans מ-Google Security Team שדיווחו על הבעיה.
MySQL Server
CVE-ID: CVE-2007-2691, CVE-2007-5969, CVE-2008-0226, CVE-2008-0227, CVE-2008-2079
זמין עבור: Mac OS X Server v10.5.5
השפעה: מספר פגיעויות ב-MySQL 5.0.45
תיאור: MySQL מתעדכן לגרסה 5.0.67 כדי לטפל בכמה פגיעויות, שהחמורה שבהן עלולה להוביל להפעלת קוד שרירותי. הבעיה משפיעה על מערכות Mac OS X Server בלבד. מידע נוסף זמין באתר האינטרנט של MySQL, בכתובת http://dev.mysql.com/doc/refman/5.0/en/news-5-0-67.html
Networking
CVE-ID: CVE-2008-3645
זמין עבור: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5, Mac OS X Server v10.5.5
השפעה: משתמש מקומי עשוי לקבל הרשאות מערכת
תיאור: קיימת גלישת חוצץ בערימה ברכיב ה-IPC המקומי של התוסף EAPOLController של configd, אשר עלולה לאפשר למשתמש מקומי להשיג הרשאות מערכת. עדכון זה מטפל בבעיה באמצעות בדיקת טווח משופרת. קרדיט: Apple.
PHP
CVE-ID: CVE-2007-4850, CVE-2008-0674, CVE-2008-2371
זמין עבור: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X Server v10.5.5
השפעה: קיימות פגיעויות מרובות ב-PHP 4.4.8
תיאור: PHP מתעדכן לגרסה 4.4.9 כדי לטפל בכמה פגיעויות, שהחמורה שבהן עלולה להוביל להפעלת קוד שרירותי. מידע נוסף זמין באתר האינטרנט של PHP, בכתובת http://www.php.net/ בעיות אלו משפיעות רק על מערכות שפועלות עם Mac OS X v10.4.x, Mac OS X Server v10.4.x או Mac OS X Server v10.5.x.
Postfix
CVE-ID: CVE-2008-3646
זמין עבור: Mac OS X v10.5.5
השפעה: תוקף מרוחק עלול להצליח לשלוח דואר ישירות למשתמשים מקומיים
תיאור: קיימת בעיה בקובצי התצורה של Postfix. למשך דקה אחת אחרי שכלי שורת פקודה מקומי שולח דואר, postfix יהיה נגיש מהרשת. במהלך פרק זמן זה, ישות מרוחקת שעשויה להתחבר ליציאת ה-SMTP עלולה לשלוח דואר למשתמשים מקומיים, ולעשות שימוש אחר בפרוטוקול SMTP. בעיה זו אינה גורמת למערכת להפוך לממסר דואר פתוח. בעיה זו מטופלת על-ידי שינוי של תצורת ה-Postfix כדי למנוע חיבורים ל-SMTP ממכשירים מרוחקים. בעיה זו אינה משפיעה על מערכות קודמות ל-Mac OS X v10.5 ואינה משפיעה על Mac OS X Server. תודה ל-Pelle Johansson על הדיווח על הבעיה.
PSNormalizer
CVE-ID: CVE-2008-3647
זמין עבור: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5, Mac OS X Server v10.5.5
השפעה: הצגת קובץ PostScript בעל מבנה זדוני עלולה להוביל לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי
תיאור: קיימת גלישת חוצץ בערימה בטיפול של PSNormalizer בהערת bounding box בקובצי PostScript. צפייה בקובץ PostScript בעל מבנה זדוני יכולה להוביל לסגירה לא צפויה של היישום או להפעלת קוד שרירותי. עדכון זה מטפל בבעיה על-ידי ביצוע אימות נוסף של קובצי PostScript.
קרדיט: Apple.
QuickLook
CVE-ID: CVE-2008-4211
זמין עבור: Mac OS X v10.5.5, Mac OS X Server v10.5.5
השפעה: הורדה או הצגה של קובץ Microsoft Excel בעל מבנה זדוני עלולה להוביל לסיום בלתי צפוי של אפליקציה או להפעלת קוד שרירותי
תיאור: בעיית חתימה (signedness) בטיפול של QuickLook בעמודות בקובצי Microsoft Excel עלולה לגרום לגישה לזיכרון מחוץ לטווח. הורדה או הצגה של קובץ Microsoft Excel בעל מבנה זדוני עלולה להוביל לסיום בלתי צפוי של אפליקציה או להפעלת קוד שרירותי. עדכון זה מטפל בבעיה על ידי ביצוע אימות נוסף של קובצי Microsoft Excel. בעיה זו אינה משפיעה על מערכות הקודמות ל-Mac OS X גרסה 10.5. קרדיט: Apple.
rlogin
CVE-ID: CVE-2008-4212
זמין עבור: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5, Mac OS X Server v10.5.5
השפעה: מערכות שתצורתן הוגדרה ידנית לשימוש ב-rlogin וב-host.equiv עלולות לאפשר התחברות לבסיס באופן בלתי צפוי
תיאור: ה-manpage של קובץ התצורה hosts.equiv מציין שכניסות אינן חלות על הבסיס. עם זאת, בעיית הטמעה ב-rlogind גורמת גם לכניסות אלו לחול על הבסיס. עדכון זה מטפל בבעיה בכך שבאופן תקין מונע שימוש של משתמש הבסיס ב-rlogin כאשר המערכת המרוחקת היא hosts.equiv. השירות rlogin אינו מופעל כברירת מחדל במערכת Mac OS X, והכרחי להגדיר את תצורתו באופן ידני כדי שיפעל. תודה ל-Ralf Meyer על הדיווח על הבעיה.
Script Editor
CVE-ID: CVE-2008-4214
זמין עבור: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5, Mac OS X Server v10.5.5
השפעה: משתמש מקומי עלול לקבל את ההרשאות של משתמש אחר שמשתמש ב-Script Editor
תיאור: קיימת בעיה של הפעלת קובץ לא בטוחה ביישום Script Editor כאשר פותחים מילוני סקריפט של היישום. משתמש מקומי עלול לגרום לכתיבה של מילון הסקריפט בנתיב שרירותי אשר נגיש למשתמש שמפעיל את היישום. עדכון זה מטפל בבעיה על-ידי יצירת הקובץ הזמני במיקום מאובטח. קרדיט: Apple.
Single Sign-On
זמין עבור: Mac OS X v10.5.5, Mac OS X Server v10.5.5
השפעה: הפקודה sso_util מקבלת כעת סיסמאות מקובץ
תיאור: הפקודה sso_util מקבלת כעת סיסמאות מקובץ בעל שם במשתנה הסביבה SSO_PASSWD_PATH. מצב זה מאפשר לסקריפטים אוטומטיים להשתמש ב-sso_util בצורה מאובטחת יותר.
Tomcat
CVE-ID: CVE-2007-6286, CVE-2008-0002, CVE-2008-1232, CVE-2008-1947, CVE-2008-2370, CVE-2008-2938, CVE-2007-5333, CVE-2007-5342, CVE-2007-5461
זמין עבור: Mac OS X Server v10.5.5
השפעה: קיימות פגיעויות מרובות ב-Tomcat 6.0.14
תיאור: Tomcat במערכות Mac OS X v10.5 מתעדכן לגרסה 6.0.18 כדי לטפל בכמה פגיעויות, שהחמורה שבהן עלולה להוביל להתקפת Scripting בין אתרים. הבעיה משפיעה על מערכות Mac OS X Server בלבד. מידע נוסף זמין באתר Tomcat בכתובת http://tomcat.apache.org/
vim
CVE-ID: CVE-2008-2712, CVE-2008-4101, CVE-2008-2712, CVE-2008-3432, CVE-2008-3294
זמין עבור: Mac OS X v10.5.5, Mac OS X Server v10.5.5
השפעה: מספר פגיעויות ב-vim 7.0
תיאור: קיימות מספר פגיעויות ב-vim 7.0, שהחמורה שבהן עלולה להוביל להפעלת קוד שרירותי בזמן עבודה עם קבצים בעלי מבנה זדוני. עדכון זה מטפל בבעיות על-ידי עדכון ל-vim 7.2.0.22. מידע נוסף זמין באתר האינטרנט של vim, בכתובת http://www.vim.org/
Weblog
CVE-ID: CVE-2008-4215
זמין עבור: Mac OS X Server גרסה 10.4.11
השפעה: בקרת גישה בפרסומי weblog עלולה לא להיאכף
תיאור: קיים מצב שגיאה שלא נבדקה בשרת weblog. הוספת משתמש עם מספר שמות קצרים לרשימת בקשת הגישה לצורך פרסום weblog עלולה לגרום לכך ששרת Weblog לא יאכוף את בקרת הגישה. בעיה זו מטופלת על-ידי שיפור אופן השמירה של רשימות בקרת הגישה. בעיה זו משפיעה רק על מערכות הפועלות עם Mac OS X Server v10.4. קרדיט: Apple.