מידע על תוכן האבטחה של עדכון האבטחה 2009-001

במסמך זה מתואר את עדכון האבטחה 2009-001, שאפשר להוריד ולהתקין באמצעות העדפות 'עדכוני תוכנה' או דרך ה'הורדות של Apple'.

מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד לביצוע חקירה מלאה בנושא ולהפצת מהדורות או רכיבי Patch חיוניים. למידע נוסף בנושא אבטחת מוצר של Apple, עיינו באתר האינטרנט אבטחת מוצר של Apple.

למידע על מפתח PGP לאבטחת מוצר של Apple, עיינו בנושא "כיצד להשתמש במפתח PGP לאבטחת מוצר של Apple".

היכן שניתן, מזהי CVE משמשים כסימוכין לפגיעויות לצורך קבלת מידע נוסף.

כדי ללמוד על עדכוני אבטחה נוספים, עיינו בנושא "עדכוני אבטחה של Apple."

עדכון אבטחה 2009-001

• AFP Server

  ‏CVE-ID: CVE-2009-0142

  זמין עבור: Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: משתמש שיש לו אפשרות להתחבר אל AFP Server יוכל להפעיל מניעת שירות

  תיאור: מצב מירוץ ב-AFP Server עשוי לגרום ללולאה אינסופית. ספירת כל הקבצים בשרת AFP יכולה לגרום ללולאה אינסופית. העדכון מספק מענה לבעיה באמצעות לוגיקה משופרת של ספירת קבצים. בעיה זו משפיעה רק על מערכות שמותקן בהם גרסה 10.5.6‎.‎ של Mac OS X.

• Apple Pixlet Video

  CVE-ID: CVE-2009-0009

  זמין עבור: Mac OS X גרסה 10.4.11, Mac OS X Server גרסה 10.4.11, Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: פתיחת קובץ סרט שנוצר באופן זדוני עלולה להוביל לסיום בלתי צפוי של אפליקציה או להפעלת קוד שרירותי

  תיאור: קיימת בעיה של השחתת זיכרון במהלך טיפול בקובצי סרטים עם הקידוד של Pixlet. פתיחת קובץ סרט בעל מבנה זדוני עלולה להוביל לסגירה לא צפויה של יישום או להפעלת קוד שרירותי. עדכון זה מטפל בבעיה באמצעות בדיקת טווח משופרת. קרדיט: Apple.

• CarbonCore

  CVE-ID: CVE-2009-0020

  זמין עבור: Mac OS X גרסה 10.4.11, Mac OS X Server גרסה 10.4.11, Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: פתיחת קובץ בעל מבנה זדוני של מזלג משאבים עלולה להוביל לסגירה של יישום או להפעלת קוד שרירותי באופן בלתי צפוי.

  תיאור: קיימת בעיה של השחתת זיכרון באופן שבו 'מנהל המשאבים' מטפל במזלגי משאבים. פתיחת קובץ בעל מבנה זדוני של מזלג משאבים עלולה להוביל לסגירה של יישום או להפעלת קוד שרירותי באופן בלתי צפוי. עדכון זה מספק מענה לבעיה זו באמצעות אימות משופר של מזלגי משאבים. קרדיט: Apple.

• CFNetwork

  זמין עבור: Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: שחזור הפעילות התקינה של קובצי Cookie עם שעת פקיעת תוקף של Null

  תיאור: בעדכון זה ניתן מענה לרגרסיה שאינה קשורה לאבטחה, שהוצגה ב-Mac OS X גרסה 10.5.6. ייתכן שקובצי Cookie לא יוגדרו כראוי אם אתר מנסה להגדיר קובץ Cookie של הפעלה על ידי הזנת ערך Null בשדה "פג תוקף", במקום להשמיט את השדה. בעדכון זה ניתן מענה לבעיה זו על ידי הגדרת המערכת להתעלם מהשדה "פג תוקף" כאשר הוא כולל ערך Null.

• CFNetwork

  זמין עבור: Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: החזרת התפקוד התקין של קובצי Cookie של הפעלות בכל היישומים

  תיאור: בעדכון זה ניתן מענה לרגרסיה שאינה קשורה לאבטחה, שהוצגה ב-Mac OS X גרסה 10.5.6. ייתכן שקובצי Cookie לא יישמרו בכונן על ידי CFNetwork, כאשר מספר יישומים פתוחים מנסים להגדיר קובצי Cookie של הפעלה. בעדכון זה ניתן מענה לבעיה זו, כך שכל יישום יאחסן את קובצי ה-Cookie של ההפעלות שלו בנפרד.

• מדריך האישורים

  CVE-ID: CVE-2009-0011

  זמין עבור: Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: משתמש מקומי יכול לבצע מניפולציות בקבצים באמצעות הרשאות של משתמש אחר שמפעיל את 'מדריך האישורים'

  תיאור: קיימת פעולת קובץ לא מאובטחת בטיפול של 'מדריך האישורים' בקבצים זמניים. פעולה זו עלולה לאפשר למשתמש מקומי להחליף קבצים עם ההרשאות של משתמש אחר שמפעיל את 'מדריך האישורים'. עדכון זה מטפל בבעיה באמצעות טיפול משופר בקבצים זמניים. בעיה זו אינה משפיעה על מערכות הקודמות ל-Mac OS X גרסה 10.5. קרדיט: Apple.

• ClamAV

  CVE-ID: CVE-2008-5050, CVE-2008-5314

  זמין עבור: Mac OS X Server גרסה 10.4.11, Mac OS X Server גרסה 10.5.6

  השפעה: מספר פגיעויות ב-ClamAV 0.94

  תיאור: מספר פגיעויות קיימות ב-ClamAV 0.94, שהחמורה מביניהן עלולה לגרום להפעלת קוד שרירותי. בעדכון זה ניתן מענה לבעיה זו על ידי עדכון הגרסה של ClamAV ל-0.94.2. הפצת ClamAV מתבצעת רק במערכות Mac OS X Server. מידע נוסף זמין באתר ClamAV בכתובת http://www.clamav.net/‎

• CoreText

  CVE-ID: CVE-2009-0012

  זמין עבור: Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: הצגת תוכן יוניקוד בעל מבנה זדוני עלולה לגרום לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי.

  תיאור: עשויה להתרחש גלישת חוצץ ערימה במהלך עיבוד מחרוזות יוניקוד ב-CoreText. שימוש ב-CoreText כדי לטפל במחרוזות יוניקוד בעל מבנה זדוני, למשל בעת צפייה בדף אינטרנט בעל מבנה זדוני, עשוי לגרום לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי. עדכון זה מטפל בבעיה באמצעות בדיקת טווח משופרת. בעיה זו אינה משפיעה על מערכות הקודמות ל-Mac OS X גרסה 10.5. תודה לרוסינה מ-Unsanity שדיווחה על הבעיה.

• CUPS

  CVE-ID: CVE-2008-5183

  זמין עבור: Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: ביקור באתר אינטרנט שנוצר באופן זדוני עלול לגרום לעצירה בלתי צפויה של יישום או להפעלה שרירותית של קוד

  תיאור: חריגה מהמספר המקסימלי של מינויי RSS גורם לביטול הפניה לערך מצביע Null בממשק האינטרנט של CUPS. פעולה זו יכולה לגרום לעצירה בלתי צפויה של יישום כאשר מבקרים באתר אינטרנט שנוצר באופן זדוני. כדי שתוקף יוכל לבצע התקפה זו, פרטי הכניסה התקפים של המשתמש צריכים להיות ידועים לו, או שמורים בזיכרון המטמון של דפדפן האינטרנט של המשתמש. שירות CUPS יופעל מחדש לאחר הופעת בעיה זו. בעדכון זה ניתן מענה לבעיה על ידי טיפול תקין מתאים במספר מינויי ה-RSS. בעיה זו אינה משפיעה על מערכות לפני Mac OS X גרסה 10.5.

• DS Tools

  CVE-ID: CVE-2009-0013

  זמין עבור: Mac OS X גרסה 10.4.11, Mac OS X Server גרסה 10.4.11, Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: סיסמאות המסופקות ל-dscl חשופות למשתמשים מקומיים אחרים

  תיאור: כלי שורת הפקודה dscl חייב העברה של הסיסמאות אליו בארגומנטים שלו, וכתוצאה מכך אפשר חשיפה של הסיסמאות למשתמשים מקומיים אחרים. הסיסמאות שנחשפו כללו את הסיסמאות של המשתמשים ושל מנהלי המערכת. עדכון זה הופך את פרמטר הסיסמה לאופציונלי, ו-dscl יבקש את הסיסמה במידת הצורך. קרדיט: Apple.

• fetchmail

  CVE-ID: CVE-2007-4565, CVE-2008-2711

  זמין עבור: Mac OS X גרסה 10.4.11, Mac OS X Server גרסה 10.4.11, Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: מספר פגיעויות ב-fetchmail 6.3.8

  תיאור: מספר פגיעויות קיימות ב-fetchmail 6.3.8, שהחמורה מביניהן עלולה להוביל למניעת שירות. בעדכון ניתן מענה לבעיות על ידי עדכון לגרסה 6.3.9. מידע נוסף זמין דרך אתר fetchmail בכתובת ‏http://fetchmail.berlios.de/‎

• Folder Manager

  CVE-ID: CVE-2009-0014

  זמין עבור: Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: משתמשים מקומיים אחרים יוכלו לגשת לתיקיית ההורדות

  תיאור: בעיית הרשאות קיימת ב-Folder Manager. כאשר משתמש מוחק את תיקיית ההורדות שלו ו-Folder Manager יוצר אותה מחדש, התיקיה נוצרת כך שניתנות לכולם הרשאות קריאה. בעדכון ניתן מענה לבעיה זו על ידי הגבלת ההרשאות, כך שרק למשתמש תהיה גישה לתיקיה. הבעיה משפיעה רק על יישומים שמשתמשים ב-Folder Manager. בעיה זו אינה משפיעה על מערכות הקודמות ל-Mac OS X גרסה 10.5. תודה לגראהם פרין מ-CENTRIM, אוניברסיטת ברייטון עבור הדיווח על הבעיה.

• FSEvents

  CVE-ID: CVE-2009-0015

  זמין עבור: Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: באמצעות שימוש במסגרת FSEvents, משתמש מקומי יכול לראות פעילות במערכת הקבצים – אפשרות שלא הייתה זמינה לו ללא שימוש במסגרת

  תיאור: קיימת בעיית ניהול אישורים ב-fseventsd. באמצעות שימוש במסגרת FSEvents, משתמש מקומי יכול לראות פעילות במערכת הקבצים – אפשרות שלא הייתה זמינה לו ללא שימוש במסגרת. המשתמש יכול לראות את שם הספריה שלא הייתה לו אפשרות לראות אחרת, וכן לזהות פעילות בספריה בכל רגע נתון. עדכון זה מטפל בבעיה באמצעות שיפור אימות האישורים ב-fseventsd. בעיה זו אינה משפיעה על מערכות שקדמו ל-Mac OS X גרסה 10.5. תודה למארק דלרימפל עבור הדיווח על הבעיה.

• זמן רשת

  זמין עבור: Mac OS X גרסה 10.4.11, Mac OS X Server גרסה 10.4.11, Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: תצורת השירות של 'זמן רשת' עודכנה

  תיאור: כאמצעי פרוקאטיבי, בעדכון זה תצורת השירות של 'זמן רשת' שונתה. זמן המערכת ופרטי הגרסה לא יהיו זמינים יותר בתצורת ה-ntpd של ברירת המחדל. במערכות עם Mac OS X גרסה 10.4.11, התצורות החדשות יתחילו לפעול אחרי הפעלה מחדש של המערכת, כאשר השירות 'זמן רשת' מופעל.

• perl

  CVE-ID: CVE-2008-1927

  זמין עבור: Mac OS X גרסה 10.4.11, Mac OS X Server גרסה 10.4.11, Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  שימוש בביטויים רגולריים המכילים תווי UTF-8, עלול לגרום לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי

  תיאור: קיימת בעיה של השחתת בזמן טיפול בתווי UTF-8 מסוימים בביטויים רגולריים. ניתוח ביטויים רגולריים בעלי מבנה זדוני עלול להוביל לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי. עדכון זה מטפל בבעיה על ידי ביצוע אימות נוסף של ביטויים רגולריים של

• הדפסה

  CVE-ID: CVE-2009-0017

  זמין עבור: Mac OS X גרסה 10.4.11, Mac OS X Server גרסה 10.4.11, Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: משתמש מקומי יכול להשיג הרשאות מערכת

  תיאור: בעיה בטיפול בשגיאות קיימת ב-csregprinter, שעשויה לגרום לגלישת חוצץ ערימה. בעיה זו עשויה לאפשר למשתמש מקומי להשיג הרשאות מערכת. עדכון זה מטפל בבעיה באמצעות טיפול משופר בשגיאות. תוגה ללארס האולין עבור הדיווח על הבעיה.

• python

  CVE-ID: CVE-2008-1679, ‏CVE-2008-1721, ‏CVE-2008-1887, ‏CVE-2008-2315, ‏CVE-2008-2316, ‏CVE-2008-3142, ‏CVE-2008-3144, ‏CVE-2008-4864, ‏CVE-2007-4965, ‏CVE-2008-5031

  זמין עבור: Mac OS X גרסה 10.4.11, Mac OS X Server גרסה 10.4.11, Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: מספר פגיעויות ב-python

  תיאור: מספר פגיעויות קיימות ב-python, שהחמורה מביניהן עלולה לגרום להפעלת קוד שרירותי. העדכון מטפל בבעיות על ידי החלת תיקונים מפרויקט python.

• אירועי Apple מרוחקים

  CVE-ID: CVE-2009-0018

  זמין עבור: Mac OS X גרסת 10.4.11, Mac OS X Server גרסת 10.4.11, Mac OS X גרסת 10.5.6, Mac OS X Server גרסת 10.5.6

  השפעה: שליחת אירועי Apple מרוחקים עלולה לגרום לחשיפת מידע רגיש

  תיאור: בעיית חוצץ לא מאותחל קיימת בשרת אירועי Apple מרוחקים, שעשויה לגרום לחשיפת תוכן של הזיכרון ללקוחות הרשת. בעדכון זה ניתן מענה לבעיה על ידי הגדרת אתחול תקין של הזיכרון. קרדיט: Apple.

• אירועי Apple מרוחקים

  CVE-ID: CVE-2009-0019

  זמין עבור: Mac OS X גרסה 10.4.11, Mac OS X Server גרסה 10.4.11, Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: הפעלת 'אירועי Apple מרוחקים' עלולה לגרום לסיום בלתי צפוי של יישום או לחשיפת מידע רגיש

  תיאור: קיימת גישה לזיכרון מחוץ לטווח ב'אירועי Apple מרוחקים'. הפעלת 'אירועי Apple מרוחקים' עלולה לגרום לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי או לחשיפת מידע רגיש ללקוחות הרשת. עדכון זה מטפל בבעיה באמצעות בדיקת טווח משופרת. קרדיט: Apple.

• Safari RSS

  CVE-ID: CVE-2009-0137

  זמין עבור: Mac OS X גרסה 10.4.11, Mac OS X Server גרסה 10.4.11, Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: גישה לכתובת Feed בעלת מבנה זדוני עלולה לגרום להפעלת קוד שרירותי

  תיאור: בעיות מרובות של אימות קלט היו קיימות בטיפול של Safari בכתובות Feed. הבעיה מאפשרת הפעלה של קוד JavaScript שרירותי באזור האבטחה המקומי. בעדכון זה ניתן מענה לבעיה על ידי שיפור הטיפול בקוד JavaScript מובנה בכתובות Feed. ברצוננו להודות לקלינט רוהו מ-Laconic Security, לבילי ריוס מ-Microsoft ולבריאן מאסטנברוק עבור הדיווח על בעיות אלה.

• servermgrd

  CVE-ID: CVE-2009-0138

  זמין עבור: Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: תוקפים מרוחקים יכולים להשיג גישה ל-Server Manager ללא אישורים תקפים

  תיאור: בעיה באימות אישורי האימות של Server Manager עשויה לאפשר לתוקף מרוחק לשנות את תצורת המערכת. בעדכון זה ניתן מענה לבעיה באמצעות אימות נוסף של אישורי האימות. בעיה זו אינה משפיעה על מערכות הקודמות ל-Mac OS X גרסה 10.5. קרדיט: Apple.

• SMB

  CVE-ID: CVE-2009-0139

  זמין עבור: Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: חיבור למערכת קבצים של SMB עלול לגרום לכיבוי בלתי צפוי של המערכת או להפעלת קוד שרירותי עם הרשאות מערכת

  תיאור: כתוצאה מגלישה נומרית במערכת הקבצים של SMB תיתכן גלישת חוצץ בערימה. חיבור למערכת קבצים של SMB עלול לגרום לכיבוי בלתי צפוי של המערכת או להפעלת קוד שרירותי עם הרשאות מערכת. עדכון זה מטפל בבעיה באמצעות בדיקת טווח משופרת. בעיה זו אינה משפיעה על מערכות הקודמות ל-Mac OS X גרסה 10.5. קרדיט: Apple.

• SMB

  CVE-ID: CVE-2009-0140

  זמין עבור: Mac OS X גרסה 10.4.11, Mac OS X Server גרסה 10.4.11, Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: חיבור למערכת קבצים של SMB עלול לגרום לכיבוי בלתי צפוי של המערכת

  תיאור: בעיית מיצוי זיכרון קיימת באופן הטיפול בשמות מערכת הקבצים במערכת הקבצים של SMB. חיבור למערכת קבצים של SMB עלול לגרום לכיבוי בלתי צפוי של המערכת. בעדכון זה ניתן מענה לבעיה על ידי הגבלת כמות הזיכרון שמוקצה ללקוח עבור שמות מערכת קבצים. קרדיט: Apple.

• SquirrelMail

  CVE-ID: CVE-2008-2379, ‏CVE-2008-3663

  זמין עבור: Mac OS X Server גרסה 10.4.11, Mac OS X Server גרסה 10.5.6

  השפעה: מספר פגיעויות ב-SquirrelMail

  תיאור: SquirrelMail מתעדכן לגרסה 1.4.17 כדי לטפל בכמה פגיעויות, שהחמורה שבהן היא כתיבת תסריט בין אתרים. מידע נוסף זמין באתר SquirrelMail בכתובת http://www.SquirrelMail.org/

• X11

  CVE-ID: CVE-2008-1377, ‏CVE-2008-1379, ‏CVE-2008-2360, ‏CVE-2008-2361,‏ CVE-2008-2362

  זמין עבור: Mac OS X גרסה 10.4.11, Mac OS X Server גרסה 10.4.11, Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: מספר פגיעויות בשרת X11

  תיאור: מספר פגיעויות קיימות בשרת X11. הבעיה החמורה ביותר מביניהן עלולה לגרום להפעלת קוד שרירותי עם הרשאות ההפעלה של המשתמש שמפעיל את שרת ה-X11, אם התוקף הצליח להשלים את אימות בשרת ה-X11. בעדכון זה ניתן מענה לבעיות אלה על ידי החלת רכיבי ה-Patch המעודכנים של X.Org. מידע נוסף זמין באתר X.Org בכתובת ‏http://www.x.org/wiki/Development/Security

• X11

  CVE-ID: CVE-2006-1861, ‏CVE-2006-3467, ‏CVE-2007-1351, ‏CVE-2008-1806,‏ CVE-2008-1807, ‏CVE-2008-1808

  זמין עבור: Mac OS X גרסה 10.4.11, Mac OS X Server גרסה 10.4.11

  השפעה: מספר פגיעויות ב-FreeType גרסה 2.1.4

  תיאור: מספר פגיעויות קיימות ב-FreeType גרסה 2.1.4, שהחמורה מביניהן עלולה לגרום להפעלת קוד שרירותי במהלך עיבוד של גופן שנוצר באופן זדוני. בעדכון זה ניתן מענה לבעיות על ידי שילוב תיקוני האבטחה מגרסה 2.3.6 של FreeType. מידע נוסף זמין באתר FreeType בכתובת ‏http://www.freetype.org/‎ בעיות אלה כבר טופלו במערכות עם Mac OS X גרסה 10.5.6.

• X11

  CVE-ID: CVE-2007-1351, ‏CVE-2007-1352, ‏CVE-2007-1667

  זמין עבור: Mac OS X גרסה 10.4.11, Mac OS X Server גרסה 10.4.11

  השפעה: מספר פגיעויות ב-LibX11

  תיאור: מספר פגיעויות קיימות ב-LibX11, שהחמורה מביניהן עלולה לגרום להפעלת קוד שרירותי במהלך עיבוד של גופן שנוצר באופן זדוני. בעדכון זה ניתן מענה לבעיות אלה על ידי החלת רכיבי ה-Patch המעודכנים של X.Org. מידע נוסף זמין באתר X.Org בכתובת ‏http://www.x.org/wiki/Development/Security בעיות אלה לא משפיעות על מערכות עם Mac OS X גרסה 10.5 ומעלה.

• XTerm

  CVE-ID: CVE-2009-0141

  זמין עבור: Mac OS X גרסה 10.4.11, Mac OS X Server גרסה 10.4.11, Mac OS X גרסה 10.5.6, Mac OS X Server גרסה 10.5.6

  השפעה: משתמש מקומי יכול לשלוח מידע ישירות ל-Xterm של משתמש אחר

  תיאור: קיימת בעיית הרשאות ב-Xterm. במהלך שימוש ב-luit, מערכת Xterm יוצרת מכשירי tty שלכולם יש גישה אליהם. בעדכון זה ניתן מענה לבעיה זו על ידי הגבלת ההרשאות של Xterm, כך שרק למשתמש עצמו תהיה גישה למכשירי ה-tty.