עדכוני אבטחה של Apple (03 באוקטובר 2003 עד 11 בינואר 2005)

מסמך זה מתאר עדכוני אבטחה עבור מוצרי Apple שפורסמו בין 03 באוקטובר 2003 ל-11 בינואר 2005.

חשוב: למידע על עדכוני אבטחה מאוחרים יותר (חדשים יותר), עיינו ב-'עדכוני אבטחה של Apple'.

לקבלת מידע על עדכוני אבטחה קודמים, עיינו ב-'עדכוני אבטח של Apple: אוגוסט 2003 וגרסאות קודמות'.

מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד שחקירה בנושא מתבצעת ויש גרסאות חדשות או תיקונים זמינים. למידע נוסף על אבטחת המוצר של Apple, עיינו באתר תגובה לתקריות אבטחה של מוצר.

מפתח PGP לאבטחת מוצר של Apple

לקבלת מידע, עיינו ב-'כיצד להשתמש במפתח PGP לאבטחת מוצר של Apple'.

עדכוני אבטחה

עדכוני האבטחה מפורטים בהמשך בהתאם למהדורת התוכנה שבה הם הופיעו לראשונה. היכן שניתן, מזהי CVE משמשים כסימוכין לפגיעויות לצורך קבלת מידע נוסף.

iTunes 4.7.1

זמין עבור: Mac OS X, Microsoft Windows XP, Microsoft Windows 2000

מזהה CVE‏: CAN-2005-0043

השפעה: פלייליסטים זדוניים עלולים לגרום לקריסת iTunes ולהפעלת קוד שרירותי.

תיאור: iTunes תומך במספר פורמטים נפוצים של פלייליסט. iTunes 4.7.1 מתקן גלישת חוצץ בניתוח קובצי פלייליסט של m3u ו-pls, העלולה לאפשר לגרסאות קודמות של iTunes לקרוס ולהפעיל קוד שרירותי. קרדיט ל-Sean de Regge (seanderegge[at]hotmail.com) עבור גילוי הבעיה, ול-iDEFENSE Labs עבור הדיווח עליה לנו.

עדכון אבטחה 2004-12-02

Apache

זמין עבור: Mac OS X Server גרסה 10.3.6, Mac OS X Server גרסה 10.2.8

מזהה CVE‏: CAN-2004-1082

השפעה: האימות Apache mod_digest_apple חשוף להתקפות 'שליחה מחדש'.

תיאור: ה-mod_digest_apple הספציפי לשרת Mac OS X מבוסס על mod_digest של Apache. מספר תיקונים עבור בעיית 'שליחה מחדש' ב-mod_digest בוצעו בגרסאות 1.3.31 ו-1.3.32 של Apache (CAN-2003-0987). עדכון זה מתקן את בעיית 'שליחה מחדש' באימות mod_digest_apple באמצעות השינויים שבוצעו ב-Apache 1.3.32.

Apache

זמין עבור: Mac OS X גרסה 10.3.6, Mac OS X Server גרסה 10.3.6, Mac OS X גרסה 10.2.8, Mac OS X Server גרסה 10.2.8

מזהה CVE‏: CAN-2003-0020, CAN-2003-0987, CAN-2004-0174, CAN-2004-0488, CAN-2004-0492, CAN-2004-0885, CAN-2004-0940

השפעה: מספר פגיעויות ב-Apache וב-mod_SSL, כולל הסלמת הרשאות מקומיות, מניעת שירות מרחוק ובחלק מהתצורות שהשתנו, ביצוע קוד שרירותי.

תיאור: קבוצת Apache תיקנה מספר פגיעויות בין גרסאות 1.3.29 ו-1.3.33. עמוד האבטחה של קבוצת Apache עבור Apache 1.3 נמצא בכתובת http://www.apacheweek.com/features/security-13. הגרסה של Apache שהותקנה קודם לכן הייתה 1.3.29. התקנת ברירת המחדל של Apache אינה מפעילה את mod_SSL. עדכון זה פותר את כל הבעיות הרלוונטיות על ידי עדכון Apache לגרסה 1.3.33 ועל ידי עדכון ה-mod_SSL הנלווה לגרסה 2.8.22.

Apache

זמין עבור: Mac OS X גרסה 10.3.6, Mac OS X Server גרסה 10.3.6, Mac OS X גרסה 10.2.8, Mac OS X Server גרסה 10.2.8

מזהה CVE‏: CAN-2004-1083

השפעה: תצורות Apache לא חסמו באופן מלא את הגישה לקובצי '.DS_Store' או לקבצים שמתחילים ב-'.ht'.

תיאור: תצורת Apache המוגדרת כברירת מחדל חוסמת גישה לקבצים שמתחילים ב-'.ht' תוך רגישות לרישיות. מערכת הקבצים +HFS של Apple מבצעת גישה לקבצים באופן שאינו רגיש לרישיות. Finder עשוי גם ליצור קובצי .DS_Store המכילים את שמות הקבצים במיקומים המשמשים להצגת עמודי אינטרנט. עדכון זה משנה את תצורת Apache כך שתגביל את הגישה לכל הקבצים המתחילים ב-'.ht' או '.DS_S' ללא קשר לרישיות. מידע נוסף...

Apache

זמין עבור: Mac OS X גרסה 10.3.6, Mac OS X Server גרסה 10.3.6, Mac OS X גרסה 10.2.8, Mac OS X Server גרסה 10.2.8

מזהה CVE‏: CAN-2004-1084

השפעה: ניתן לאחזר נתוני קבצים ותוכן של מזלג משאבים באמצעות HTTP תוך עקיפת מטפלים רגילים בקבצים של Apache.

תיאור: מערכת הקבצים +HFS של Apple מאפשרת לקבצים לכלול מספר זרמי נתונים. ניתן לגשת לזרמי נתונים אלה ישירות באמצעות שמות קבצים מיוחדים. בקשת HTTP בעלת מבנה מיוחד יכולה לעקוף מטפל בקבצים של Apache ולגשת ישירות לנתוני קבצים או לתוכן של מזלג משאבים. עדכון זה משנה את תצורת Apache כך שתדחה בקשות לנתוני קבצים או לתוכן של מזלג משאבים באמצעות שמות הקבצים המיוחדים שלהם. לקבלת מידע נוסף, עיינו במסמך זה . קרדיט ל-NetSec עבור הדיווח על הבעיה.

Apache 2

זמין עבור: Mac OS X Server גרסה 10.3.6, Mac OS X Server גרסה 10.2.8

מזהה CVE‏: CAN-2004-0747, CAN-2004-0786, CAN-2004-0751, CAN-2004-0748

השפעה: תצורות Apache 2 ששונו עלולות לאפשר הסלמה של הרשאות עבור משתמשים מקומיים ומניעת שירות מרחוק.

תיאור: תצורת Apache 2 שעברה שינוי לקוח, שבה AllowOverride הופעלה, עלולה לאפשר למשתמש מקומי לבצע קוד שרירותי כמשתמש Apache (‏www). תצורה שאינה משתנה אינה פגיעה לבעיה זו. עדכון זה מטפל גם בבאגים ב-Apache העלולים לאפשר לסוגים מסוימים של בקשות לגרום לקריסת השרת. Apache מעודכנת לגרסה 2.0.52. Apache 2 משווקת רק עם Mac OS X Server, והיא כבויה כברירת מחדל.

Appkit

זמין עבור: Mac OS X גרסה 10.3.6, Mac OS X Server גרסה 10.3.6, Mac OS X גרסה 10.2.8, Mac OS X Server גרסה 10.2.8

מזהה CVE‏: CAN-2004-1081

השפעה: תווים שהוזנו בשדה טקסט מאובטח ניתנים לקריאה על ידי יישומים אחרים באותה הפעלת חלון.

תיאור: בנסיבות מסוימות, שדה קלט טקסט מאובטח לא יאפשר קלט מאובטח כראוי. פעולה זו יכולה לאפשר ליישומים אחרים באותה הפעלת חלון לראות מספר תווי קלט ואירועי מקלדת. הקלט לשדות טקסט מאובטחים מופעל כעת באופן שימנע דליפה של מידע לגבי הקשה על מקש.

Appkit

זמין עבור: Mac OS X גרסה 10.3.6, Mac OS X Server גרסה 10.3.6, Mac OS X גרסה 10.2.8, Mac OS X Server גרסה 10.2.8

מזהה CVE‏: CAN-2004-0803, CAN-2004-0804, CAN-2004-0886

השפעה: גלישת מספרים שלמים וטיפול ב-TIFF בטווח ירוד עלולים לאפשר ביצוע קוד שרירותי או מניעת שירות.

תיאור: פגמים בפענוח תמונות Tiff עלולים להחליף זיכרון, לגרום לשגיאות אריתמטיות שיגרמו להתנגשות או לאפשר ביצוע קוד שרירותי. עדכון זה מתקן את הבעיות בטיפול בתמונות TIFF.

Cyrus IMAP

זמין עבור: Mac OS X Server גרסה 10.3.6

מזהה CVE‏: CAN-2004-1089

השפעה: בעת שימוש באימות Kerberos עם Cyrus IMAP, משתמש מאומת עלול לקבל גישה לא מורשית לתיבות דואר אחרות באותה מערכת.

תיאור: בעת שימוש במנגנון האימות Kerberos עם שרת IMAP של Cyrus, משתמש עלול לעבור תיבות דואר לאחר אימות ולקבל גישה לתיבות דואר אחרות באותה מערכת. עדכון זה קושר את תיבת הדואר למשתמש המאומת. בעיית השרת הספציפית הזו אינה קיימת ב-Mac OS X Server גרסה 10.2.8. קרדיט ל-johan.gradvall@gothia.se עבור הדיווח על הבעיה.

HIToolbox

זמין עבור: Mac OS X גרסה 10.3.6, Mac OS X Server גרסה 10.3.6

מזהה CVE‏: CAN-2004-1085

השפעה: משתמשים יכולים לצאת מיישומים במצב 'קיוסק'.

תיאור: שילוב מקשים מיוחד איפשר למשתמשים להעלות את חלון כפיית יציאה אפילו במצב 'קיוסק'. עדכון זה יחסום את כל שילובי המקשים של כפיית יציאה שלא יפעלו במצב 'קיוסק'. בעיה זו אינה קיימת ב-Mac OS X גרסה 10.2.8 או ב-Mac OS X Server גרסה 10.2.8. קרדיט ל-Glenn Blauvelt מ-University of Colorado at Boulder עבור הדיווח על הבעיה.

Kerberos

זמין עבור: Mac OS X גרסה 10.3.6, Mac OS X Server גרסה 10.3.6, Mac OS X גרסה 10.2.8, Mac OS X Server גרסה 10.2.8

מזהה CVE‏: CAN-2004-0642, CAN-2004-0643, CAN-2004-0644, CAN-2004-0772

השפעה: חשיפה לאפשרות של מניעת שירות בעת שימוש באימות Kerberos.

תיאור: MIT פרסמה גרסה חדשה של Kerberos שמטפלת במניעת שירות ובשלוש שגיאות שחרור כפול. Mac OS X מכיל הגנה מפני שגיאות שחרור כפול. עדכון זה מחיל תיקון עבור הבעיה של מניעת שירות. כאמצעי זהירות, הוחלו גם תיקונים בשחרור כפול. קרדיט ל-MIT Kerberos Development Team עבור הדיווח על הבעיה וביצוע תיקונים.

Postfix

זמין עבור: Mac OS X גרסה 10.3.6, Mac OS X Server גרסה 10.3.6

מזהה CVE‏: CAN-2004-1088

השפעה: Postfix המשתמש ב-CRAM-MD5 עלול לאפשר למשתמש מרוחק לשלוח דואר בלי לבצע אימות כראוי.

תיאור: שרתי Postfix שמשתמשים ב-CRAM-MD5 כדי לאמת שולחים היו פגיעים להתקפת 'שליחה מחדש'. בנסיבות מסוימות, ניתן להשתמש מחדש באישורים המשמשים לאימות מוצלח של משתמש לפרק זמן קצר. אלגוריתם CRAM-MD5 המשמש לאימות משתמשים עודכן כדי למנוע את חלון 'הפעלה מחדש'. בעיה זו אינה קיימת ב-Mac OS X גרסה 10.2.8 או ב-Mac OS X Server גרסה 10.2.8. קרדיט ל-Victor Duchovni מ-Morgan Stanley עבור הדיווח על הבעיה.

PSNormalizer

זמין עבור: Mac OS X גרסה 10.3.6, Mac OS X Server גרסה 10.3.6

מזהה CVE‏: CAN-2004-1086

השפעה: גלישת חוצץ בהמרת PostScript ל-PDF עלולה לאפשר ביצוע קוד שרירותי.

תיאור: גלישת חוצץ בטיפול בהמרת PostScript ל-PDF עלולה לאפשר ביצוע קוד שרירותי. עדכונים אלה מתקנים את קוד ההמרה של PostScript ל-PDF כדי למנוע גלישת החוצץ. בעיה זו אינה קיימת ב-Mac OS X גרסה 10.2.8 או ב-Mac OS X Server גרסה 10.2.8.

QuickTime Streaming Server

זמין עבור: Mac OS X Server גרסה 10.3.6, Mac OS X Server גרסה 10.2.8

מזהה CVE‏: CAN-2004-1123

השפעה: בקשות בעלות מבנה מיוחד עלולות לגרום למניעת שירות.

תיאור: QuickTime Streaming Server היה חשוף להתקפת מניעת שירות בעת טיפול בבקשות DESCRIBE. עדכון זה מתקן את הטיפול בבקשות אלה. קרדיט ל-iDEFENSE עבור הדיווח על הבעיה.

Safari

זמין עבור: Mac OS X גרסה 10.3.6, Mac OS X Server גרסה 10.3.6, Mac OS X גרסה 10.2.8, Mac OS X Server גרסה 10.2.8

מזהה CVE‏: CAN-2004-1121

השפעה: HTML בעל מבנה מיוחד יכול להציג URI מטעה בשורת המצב של Safari.

תיאור: ניתן לגרום ל-Safari להציג בשורת המצב URI שאינו זהה ליעד של קישור. עדכון זה מתקן את Safari כך שהוא מציג כעת את ה-URI שיופעל בעת הבחירה.

Safari

זמין עבור: Mac OS X גרסה 10.3.6, Mac OS X Server גרסה 10.3.6, Mac OS X גרסה 10.2.8, Mac OS X Server גרסה 10.2.8

מזהה CVE‏: CAN-2004-1122

השפעה: עם מספר חלונות דפדפן, משתמשים פעילים ב-Safari עלולים לטעות בנוגע לחלון שהפעיל חלון קופצני.

תיאור: כאשר מספר חלונות של Safari פתוחים, חלון קופצני שתוזמן בקפידה עלול להטעות את המשתמש ולגרום לו לחשוב שהוא הופעל על ידי אתר אחר. בעדכון זה, Safari מציב כעת חלון שמפעיל חלון קופצני מול כל חלונות הדפדפן האחרים. קרדיט ל-Secunia Research עבור הדיווח על הבעיה.

Terminal

זמין עבור: Mac OS X גרסה 10.3.6 ו-Mac OS X Server גרסה 10.3.6

מזהה CVE‏: CAN-2004-1087

השפעה: Terminal עשוי להצביע על כך ש-Secure Keyboard Entry פעילה כאשר היא אינה פעילה.

תיאור: הגדרת התפריט Secure Keyboard Entry לא שוחזרה כראוי בעת הפעלת Terminal.app. סימן ביקורת יוצג לצד Secure Keyboard Entry למרות שהיא לא הופעלה. עדכון זה מתקן את אופן הפעולה של Secure Keyboard Entry. בעיה זו אינה קיימת ב-Mac OS X גרסה 10.2.8 או ב-Mac OS X Server גרסה10.2.8. קרדיט ל-Jonathan 'Wolf' Rentzsch מ-Red Shed Software עבור הדיווח על הבעיה.

iCal 1.5.4

מזהה CVE‏: CAN-2004-1021

השפעה: לוחות שנה חדשים של iCal עשויים להוסיף התראות ללא אישור.

תיאור: לוחות שנה של iCal עשויים לכלול עדכון על אירועים באמצעות התראות. התראות אלה עשויות לפתוח תוכניות ולשלוח דוא"ל. iCal עודכן כדי להציג חלון התראה בעת ייבוא או פתיחה של לוחות שנה המכילים התראות. iCal 1.5.4 זמין עבור Mac OS X 10.2.3 ואילך. קרדיט ל-aaron@vtty.com עבור הדיווח על הבעיה.

עדכון אבטחה 2004-10-27

Apple Remote Desktop

זמין עבור: Apple Remote Desktop Client 1.2.4 עם Mac OS X 10.3.x

מזהה CVE‏: CAN-2004-0962

השפעה: ניתן להפעיל יישום ברקע 'חלון ההתחברות' והוא יפעל כ-Root.

תיאור: עבור מערכת עם התנאים הבאים:

  • Apple Remote Desktop Client מותקן

  • משתמש במערכת הלקוח הופעל עם ההרשאה 'לפתוח ולסיים יישומים'

  • שם המשתמש והסיסמה של משתמש ה-ARD ידועים

  • החלפת משתמשים מהירה הופעלה

  • משתמש מחובר, ו'חלון ההתחברות' פעיל באמצעות 'מעבר מהיר בין משתמשים'

אם היישום Apple Remote Desktop Administrator במערכת אחרת משמש להפעלת יישום GUI בלקוח, היישום GUI יפעל כ-Root ברקע חלון הכניסה. עדכון זה מונע מ-Apple Remote Desktop להפעיל יישומים כאשר 'חלון ההתחברות' פעיל. שיפור אבטחה זה קיים גם ב-Apple Remote Desktop גרסה 2.1. בעיה זו אינה משפיעה על מערכות לפני Mac OS X 10.3. קרדיט ל-Andrew Nakhla ול-Secunia Research עבור הדיווח על הבעיה.

QuickTime 6.5.2

מזהה CVE‏: CAN-2004-0988

זמין עבור: Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows Me ו-Microsoft Windows 98

השפעה: גלישת מספרים שלמים שעלולה להיות ניתנת לניצול בסביבת HTML.

תיאור: הרחבת סימן של מספר שלם קטן גולש עלולה לגרום למספר גדול מאוד לעבור לפונקציית הזזת הזיכרון. התיקון מונע את גלישת המספר השלם הקטן. בעיה זו אינה קיימת ב-QuickTime עבור מערכות Mac OS X. קרדיט ל-John Heasman מ-Next Generation Security Software Ltd. עבור הדיווח על הבעיה.

מזהה CVE‏: CAN-2004-0926

זמין עבור: Mac OS X גרסה 10.3.x, Mac OS X Server גרסה 10.3.x, Mac OS X גרסה 10.2.8, Mac OS X Server גרסה 10.2.8, Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows Me ו-Microsoft Windows 98

השפעה: גלישת חוצץ ערימה עלולה לאפשר לתוקפים לבצע קוד שרירותי.

תיאור: פגמים בפענוח תמונה מסוג BMP עלולים להחליף זיכרון ערימה ולאפשר ביצוע קוד שרירותי המוסתר בתמונה. זהו אותו שיפור אבטחה שהיה זמין בעדכון האבטחה 2004-09-30, וניתן לפרוס אותו בתצורות המערכת הנוספות המכוסות על ידי עדכון QuickTime זה.

עדכון אבטחה 2004-09-30 (פורסם ב-2004-10-04)

AFP Server

זמין עבור: Mac OS X גרסה 10.3.5 ו-Mac OS X Server גרסה 10.3.5

מזהה CVE‏: CAN-2004-0921

השפעה: מניעת שירות המאפשרת לאורחים לנתק מחיצות AFP

תיאור: מחיצות AFP המותקנות על ידי אורח יכולות לשמש כדי לסיים את ההרכבות של משתמשים מאומתים מאותו שרת על ידי שינוי מנות הנתונים של SessionDestroy. בעיה זו אינה משפיעה על מערכות לפני Mac OS X גרסה 10.3 או Mac OS X Server גרסה 10.3.

AFP Server

זמין עבור: Mac OS X גרסה 10.3.5 ו-Mac OS X Server גרסה 10.3.5

מזהה CVE‏: CAN-2004-0922

השפעה: ניתן להגדיר את ה-AFP Drop Box מסוג 'כתיבה בלבד' כ'קריאה-כתיבה'.

תיאור: לפעמים ניתן לקרוא ולכתוב Drop Box לכתיבה בלבד במחיצות AFP המורכבות על ידי אורח עקב הגדרה שגויה של מזהה קבוצת אורחים. בעיה זו אינה משפיעה על מערכות לפני Mac OS X גרסה 10.3 או Mac OS X Server גרסה 10.3.

CUPS

זמין עבור: Mac OS X גרסה 10.3.5, Mac OS X Server גרסה 10.3.5, Mac OS X גרסה 10.2.8, Mac OS X Server גרסה 10.2.8

מזהה CVE‏: CAN-2004-0558

השפעה: מניעת שירות שגורמת להשהיית מערכת ההדפסה

תיאור: ההטמעה של 'פרוטוקול הדפסת אינטרנט' (IPP) ב-CUPS יכולה להיתקע כאשר מנת UDP מסוימת נשלחת ליציאת ה-IPP.

CUPS

זמין עבור: Mac OS X גרסה 10.3.5, Mac OS X Server גרסה 10.3.5, Mac OS X גרסה 10.2.8, Mac OS X Server גרסה 10.2.8

מזהה CVE‏: CAN-2004-0923

השפעה: חשיפה מקומית של סיסמאות משתמש

תיאור: שיטות מסוימות של 'הדפסה מרחוק מאומתת' עלולות לחשוף סיסמאות משתמש בקובצי יומן מערכת ההדפסה. קרדיט ל-Gary Smith ממחלקת IT Services ב-Glasgow Caledonian University עבור הדיווח על הבעיה.

NetInfo Manager

זמין עבור: Mac OS X גרסה 10.3.5 ו-Mac OS X Server גרסה 10.3.5

מזהה CVE‏: CAN-2004-0924

השפעה: ציון שגוי של מצב החשבון

תיאור: כלי העזר NetInfo Manager יכול להפעיל את חשבון ה-'Root', אך לאחר התחברות אחת ל-'Root', כבר לא ניתן להשתמש ב-NetInfo Manager כדי להשבית את החשבון, ונראה שהוא מושבת באופן שגוי. בעיה זו אינה משפיעה על מערכות לפני Mac OS X גרסה 10.3 או Mac OS X Server גרסה 10.3.

postfix

זמין עבור: Mac OS X גרסה 10.3.5 ו-Mac OS X Server גרסה 10.3.5

מזהה CVE‏: CAN-2004-0925

השפעה: מניעת שירות כאשר SMTPD AUTH הופעלה

תיאור: כאשר התכונה SMTPD AUTH הופעלה ב-Postfix, חוצץ המכיל את שם המשתמש לא נמחק כראוי בין ניסיונות אימות. רק משתמשים בעלי שמות המשתמש הארוכים ביותר יוכלו לבצע אימות. בעיה זו אינה משפיעה על מערכות לפני Mac OS X גרסה 10.3 או Mac OS X Server גרסה 10.3. קרדיט ל-Michael Rondinelli מ-EyeSee360 עבור הדיווח על הבעיה.

QuickTime

זמין עבור: Mac OS X גרסה 10.3.5, Mac OS X Server גרסה 10.3.5, Mac OS X גרסה 10.2.8, Mac OS X Server גרסה 10.2.8

מזהה CVE‏: CAN-2004-0926

השפעה: גלישת חוצץ ערימה עלולה לאפשר לתוקפים לבצע קוד שרירותי.

תיאור: פגמים בפענוח תמונה מסוג BMP עלולים להחליף זיכרון ערימה ולאפשר ביצוע קוד שרירותי המוסתר בתמונה.

ServerAdmin

זמין עבור: Mac OS X Server גרסה 10.3.5 ו-Mac OS X Server גרסה 10.2.8

מזהה CVE‏: CAN-2004-0927

השפעה: ניתן לקרוא את התקשורת של הלקוח עם ServerAdmin על ידי פענוח הפעלות שנלכדו.

תיאור: תקשורת לקוח - תקשורת שרת עם ServerAdmin משתמשת ב-SSL. כל המערכות מגיעות מותקנות עם אותו אישור לדוגמה לחתימה עצמית. אם אישור זה לא הוחלף, ייתכן שתקשורת ServerAdmin תפוענח. התיקון מחליף את האישור בחתימה עצמית הקיים באישור שנוצר באופן מקומי וייחודי. קרדיט ל-Michael Bartosh מ-4AM Media, Inc. עבור הדיווח על הבעיה.

עדכון אבטחה 2004-09-16

iChat

מזהה CVE‏: CAN-2004-0873

השפעה: משתתפים מרוחקים ב-iChat יכולים לשלוח 'קישורים' שיכולים להפעיל תוכניות מקומיות אם לוחצים עליהם.

תיאור: משתתף מרוחק ב-iChat יכול לשלוח 'קישור' המפנה לתוכנית במערכת המקומית. אם ה'קישור' מופעל על ידי לחיצה עליו, וה'קישור' מצביע על תוכנית מקומית, התוכנית תפעל. iChat השתנה כך ש'קישורים' מסוג זה יפתחו חלון Finder המציג את התוכנית במקום להפעיל אותה. קרדיט ל-aaron@vtty.com עבור הדיווח על הבעיה.

זמינות: עדכון זה זמין עבור הגרסאות הבאות של iChat:

- iChat AV גרסה 2.1 (Mac OS X 10.3.5 ואילך)

- iChat AV גרסה 2.0 (Mac OS X 10.2.8)

- iChat 1.0.1 (Mac OS X 10.2.8‏)

עדכון אבטחה 2004-09-07

עדכון אבטחה זה זמין עבור גרסאות המערכת הבאות:

- Mac OS X 10.3.4

- Mac OS X 10.3.5

- Mac OS X Server 10.3.4

- Mac OS X Server 10.3.5

- Mac OS X 10.2.8

- Mac OS X Server 10.2.8

טיפ: למידע נוסף על מזהי CVE המוזכרים בהמשך, ראו (http://www.cve.mitre.org/).

רכיב: Apache 2

מזהה CVE‏: CAN-2004-0493, CAN-2004-0488

זמין עבור: Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

השפעה: חשיפה לאפשרות של 'מניעת שירות'

תיאור: ארגון Apache פרסם את הגרסה Apache 2.0.50. מהדורה זו מתקנת מספר פגיעויות של מניעת שירות. עדכנו את Apache לגרסה 2.0.50 שזמינה רק עם Mac OS X Server ומושבתת כברירת מחדל.

רכיב: CoreFoundation

מזהה CVE‏: CAN-2004-0821

זמין עבור: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

השפעה: ניתן לבצע תוכניות מורשות באמצעות CoreFoundation כדי לטעון ספריה שסופקה על-ידי משתמש.

תיאור: חבילות המשתמשות בהתקני CoreFoundation CFPlugin עלולות לכלול הוראות לטעינה אוטומטית של קובצי הפעלה של תוספים. עם חבילה בעלת מבנה מיוחד, הבעיה עלולה להתרחש גם עבור תוכניות עם הרשאות מיוחדות, ובכך לאפשר הסלמה של הרשאות מקומיות. CoreFoundation מונעת כעת טעינה אוטומטית של קבצים שכבר יש להם קובץ הפעלה טעון. קרדיט ל-Kikuchi Masashi (kik@ms.u-tokyo.ac.jp‏) עבור הדיווח על הבעיה.

רכיב: CoreFoundation

מזהה CVE‏: CAN-2004-0822

זמין עבור: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

השפעה: ניתן לבצע מניפולציה במשתנה סביבה כדי לגרום לגלישת חוצץ, דבר שעלול לגרום להסלמה של הרשאות.

תיאור: על ידי מניפולציה של משתנה סביבה, תוקף מקומי עלול לגרום לתוכנית לבצע קוד שרירותי. ניתן לנצל זאת רק עם גישה לחשבון מקומי. בדיקות תוקף מחמירות יותר מבוצעות כעת עבור משתנה סביבה זה. קרדיט ל-aaron@vtty.com עבור הדיווח על הבעיה.

רכיב: IPSec

מזהה CVE‏: CAN-2004-0607

זמין עבור: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

השפעה: בעת שימוש באישורים, ייתכן שמארחים לא מאומתים יוכלו לנהל מו"מ על חיבור IPSec.

תיאור: כשקיימת הגדרה להשתמש באישורי X.509 לאימות מארחים מרוחקים, כשל באימות אישור אינו מבטל את החלפת המפתח. Mac OS X אינו משתמש באישורים עבור IPSec כברירת מחדל, ולכן בעיה זו משפיעה רק על תצורות שהוגדרו באופן ידני. IPsec מאמת ומבטל החלפת מפתחות אם מתרחש כשל באימות אישור.

רכיב: Kerberos

מזהה CVE‏: CAN-2004-0523

זמין עבור: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

השפעה: מספר גלישות חוצץ ב-krb5_aname_to_localname ב-MIT Kerberos 5 (krb5) 1.3.3 וגרסאות קודמות עלולות לאפשר לתוקפים מרחוק לבצע קוד שרירותי.

תיאור: ניתן לנצל את גלישת החוצץ רק אם התמיכה ב-'auth_to_local_names' או 'auth_to_local' מוגדרת גם בקובץ edu.mit.Kerberos. Apple אינה מאפשרת זאת כברירת מחדל. תיקון האבטחה עבר עדכון (Back Port) והוחל על גרסאות Mac OS X של Kerberos. גרסת Mac OS X ו-Mac OS X Server של Kerberos אינה חשופה לבעיה האחרונה של 'Double-Free' שדווחה בהערת הפגיעות VU#350792 של CERT (CAN-2004-0772‏). קרדיט לצוות הפיתוח של MIT Kerberos עבור הדיווח על הבעיה.

רכיב:lukemftpd

מזהה CVE‏: CAN-2004-0794

זמין עבור: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

השפעה: מצב Race שיכול לאפשר לתוקף מרוחק מאומת לגרום למניעת שירות או להפעלת קוד שרירותי.

תיאור: אם שירות ה-FTP הופעל ותוקף מרוחק יכול לבצע אימות נכון, תנאי Race יאפשר לו להפסיק את שירות ה-FTP או להפעיל קוד שרירותי. התיקון נועד להחליף את שירות ה-FTP Lukemftpd ב-tnftpd. Lukemftp מותקן אך לא מופעל ב-Mac OS X Server, שמשתמש במקום זאת ב-xftp. קרדיט ל-Luke Mewburn מ-NetBSD Foundation על הדיווח על הבעיה.

רכיב:OpenLDAP

מזהה CVE‏: CAN-2004-0823

זמין עבור: Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

השפעה: ניתן להשתמש בסיסמת הצפנה כאילו הייתה סיסמת טקסט רגילה.

תיאור: 'תאימות לאחור' עם יישומים ישנים יותר של LDAP מאפשרת אחסון של סיסמת הצפנה בתכונה UserPassword. ערכות אימות מסוימות יכולות להשתמש בערך זה כאילו היה סיסמת טקסט רגילה. התיקון מסיר את העמימות ומשתמש תמיד בשדה מסוג זה כסיסמת הצפנה. בעיה זו אינה מתרחשת ב-Mac OS X 10.2.8. קרדיט ל-Steve Revilak מ-Kayak Software Corporation עבור הדיווח על הבעיה.

רכיב:OpenSSH

מזהה CVE‏: CAN-2004-0175

זמין עבור: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

השפעה: שרת ssh/scp זדוני יכול להחליף קבצים מקומיים.

תיאור: פגיעות של חציית ספריות בתוכנית scp מאפשרת לשרת מרוחק זדוני להחליף קבצים מקומיים. תיקון האבטחה עבר עדכון (Back Port) והוחל על גרסאות Mac OS X של OpenSSH.

רכיב:PPPDialer

מזהה CVE‏: CAN-2004-0824

זמין עבור: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

השפעה: משתמש זדוני יכול להחליף קובצי מערכת וכתוצאה מכך חלה הסלמה בהרשאות מקומיות.

תיאור: רכיבי PPP ביצעו גישה לא מאובטחת לקובץ המאוחסן במיקום המאפשר הרשאת 'כתיבה גלובלית'. התיקון מעביר את קובצי היומן למיקום שאינו ניתן ל'כתיבה גלובלית'.

רכיב:QuickTime Streaming Server

זמין עבור: Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

מזהה CVE‏: CAN-2004-0825

השפעה: מניעת שירות המחייבת הפעלה מחדש של QuickTime Streaming Server

תיאור: רצף מסוים של פעולות לקוח עלול לגרום למבוי סתום ב-QuickTime Streaming Server. התיקון מעדכן את הקוד כדי לבטל את תנאי ה'קיפאון'.

רכיב:rsync

מזהה CVE‏: CAN-2004-0426

זמין עבור: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

השפעה: כאשר rsync מופעל במצב Daemon, תוקף מרוחק יכול לכתוב מחוץ לנתיב המודול, אלא אם כן האפשרות chroot הוגדרה.

תיאור: rsync לפני גרסה 2.6.1 אינו מטהר כראוי נתיבים בעת הפעלת Daemon של קריאה/כתיבה כשהאפשרות chroot כבויה. התיקון מתעדכן ב-rsync עם גרסה 2.6.2.

רכיב:Safari

מזהה CVE‏: CAN-2004-0361

זמין עבור: Mac OS X 10.2.8, Mac OS X Server 10.2.8

השפעה: מערך JavaScript בגודל שלילי יכול לגרום ל-Safari לגשת לזיכרון מחוץ לטווח ולגרום לקריסת יישומים.

תיאור: אחסון אובייקטים במערך JavaScript שהוקצה עם גודל שלילי יכול להחליף זיכרון. Safari מפסיק כעת לעבד תוכניות JavaScript אם הקצאת מערך נכשלת. שיפור אבטחה זה היה זמין בעבר ב-Safari 1.0.3, והוא מוחל בתוך מערכת ההפעלה Mac OS X 10.2.8 כשכבה נוספת של הגנה עבור לקוחות שלא התקינו גרסה זו של Safari. זהו תיקון ספציפי עבור Mac OS X 10.2.8 והבעיה אינה קיימת ב-Mac OS X 10.3 ואילך.

רכיב:Safari

מזהה CVE‏: CAN-2004-0720

זמין עבור: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

השפעה: אתר לא מהימן יכול להזריק תוכן למסגרת המיועדת לשימוש על ידי דומיין אחר.

תיאור: אתר שמשתמש במספר פריימים יכול להחליף חלק מהמסגרות שלו בתוכן מאתר זדוני אם האתר הזדוני יבוקר תחילה. התיקון כופה סדרה של כללי הורה/ילד המונעים את ההתקפה.

רכיב:SquirrelMail

מזהה CVE‏: CAN-2004-0521

זמין עבור: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

השפעה: SquirrelMail לפני 1.4.3 RC1 מאפשר לתוקפים מרחוק לבצע הצהרות SQL לא מורשות.

תיאור: SquirrelMail לפני 1.4.3 RC1 חשוף להזרקת SQL המאפשרת הפעלה של משפטי SQL לא מורשים. התיקון מעדכן את SquirrelMail לגרסה 1.4.3a

רכיב:tcpdump

מזהה CVE‏: CAN-2004-0183, CAN-2004-0184

זמין עבור: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

השפעה: מנות נתונים בעלות מבנה זדוני עלולות לגרום להתנגשות של tcpdump פועל.

תיאור: פונקציות ההדפסה המפורטות עבור מנות ISAKMP אינן מבצעות בדיקת גבולות נכונה וגורמות לקריאה מחוץ לתחום שתוצאתה קריסה. התיקון מעדכן את tcpdump לגרסה 3.8.3.

Mac OS X 10.3.5

טיפ: למידע נוסף על מזהי CVE המוזכרים בהמשך, ראו (http://www.cve.mitre.org/).

libpng (Portable Network Graphics)

מזהה CVE‏: CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599

השפעה: תמונות PNG זדוניות עלולות לגרום לקריסות יישומים ולביצוע קוד שרירותי.

תיאור: מספר גלישות חוצץ, ביטולי הפניות לערך מצביע Null וגלישות של מספרים שלמים נתגלו בספריית ההפניה לקריאה ולכתיבה של תמונות PNG. פגיעויות אלה תוקנו ב-libpng, המשמש את המסגרות CoreGraphics ו-AppKit ב-Mac OS X. לאחר התקנת העדכון, יישומים המשתמשים בתבנית התמונה PNG דרך מסגרות אלה יהיו מוגנים מפני פגמים אלה.

Safari:

מזהה CVE‏: CAN-2004-0743

השפעה: במצב מיוחד, ניווט באמצעות הכפתורים קדימה/אחורה עלול לשלוח מחדש נתוני טופס לכתובת אינטרנט בשיטת GET.

תיאור: זה עבור מצב שבו טופס אינטרנט נשלח לשרת באמצעות שיטת POST שמבצעת ניתוב מחדש של HTTP לכתובת אינטרנט בשיטת GET. שימוש בכפתורים קדימה/אחורה יגרום ל-Safari לפרסם מחדש את נתוני הטופס בכתובת האינטרנט בשיטת Get. Safari השתנה כך שבמצב זה, ניווט קדימה/אחורה יביא לשיטת GET בלבד. קרדיט ל-Rick Osterberg מ-Harvard University FAS Computer Services עבור הדיווח על הבעיה.

TCP/IP Networking:

מזהה CVE‏: CAN-2004-0744

השפעה: קטעי IP בעלי מבנה זדוני יכולים להשתמש ביותר מדי משאבי מערכת כדי למנוע הפעלה רגילה של הרשת.

תיאור: 'Rose Attack' מתאר רצף מיוחד של קטעי IP שנועדו לצרוך משאבי מערכת. הטמעת ה-TCP/IP שונתה כדי להגביל את המשאבים הנצרכים ולמנוע התקפה זו של מניעת שירות. קרדיט ל-Ken Hollis (gandalf@digital.net‏) ול-Chuck McAuley (chuck-at-lemure-dot-net‏), מתוך דיון על 'Rose Attack'.

עדכון אבטחה 2004-08-09 (Mac OS X 10.3.4 ו-10.2.8)

טיפ: למידע נוסף על מזהי CVE המוזכרים בהמשך, ראו (http://www.cve.mitre.org/).

libpng (Portable Network Graphics)

מזהה CVE‏: CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599

השפעה: תמונות PNG זדוניות עלולות לגרום לקריסות יישומים ולביצוע קוד שרירותי.

תיאור: מספר גלישות חוצץ, ביטולי הפניות לערך מצביע Null וגלישות של מספרים שלמים נתגלו בספריית ההפניה לקריאה ולכתיבה של תמונות PNG. פגיעויות אלה תוקנו ב-libpng, המשמש את המסגרות CoreGraphics ו-AppKit ב-Mac OS X. לאחר התקנת העדכון, יישומים המשתמשים בתבנית התמונה PNG דרך מסגרות אלה יהיו מוגנים מפני פגמים אלה.

עדכון אבטחה 2004-06-07 (Mac OS X 10.3.4 ו-10.2.8)

עדכון האבטחה 2004-06-07 מספק מספר שיפורי אבטחה והוא מומלץ לכל משתמשי Macintosh. מטרת עדכון זה היא להגביר את האבטחה על ידי התראה בעת פתיחת יישום בפעם הראשונה באמצעות מיפויי מסמכים או כתובת אינטרנט (URL). עיינו במאמר זה לקבלת פרטים נוספים, כולל תיאור של תיבת הדו-שיח החדשה של ההתראה. עדכון האבטחה 2004-06-07 זמין עבור גרסאות המערכת הבאות:

- Mac OS X 10.3.4 'Panther'

- Mac OS X Server 10.3.4 'Panther'

- Mac OS X 10.2.8 'Jaguar'

- Mac OS X Server 10.2.8 'Jaguar'

LaunchServices

מזהה CVE‏: CAN-2004-0538

השפעה: LaunchServices רושם באופן אוטומטי יישומים, שיכולים לשמש כדי לגרום למערכת להפעיל יישומים בלתי צפויים.

דיון: LaunchServices הוא רכיב מערכת שמזהה ופותח יישומים. רכיב מערכת זה השתנה רק ליישומים פתוחים שקודם לכן פעלו באופן מפורש במערכת. ניסיונות להפעיל יישום שלא הופעל בעבר באופן מפורש יגרמו להתראת משתמש. מידע נוסף זמין במאמר זה.

רכיב: DiskImageMounter

מזהה CVE‏: לא נשמר מזהה CVE, מכיוון שזהו אמצעי מניעה נוסף בלבד.

השפעה: סוג כתובת האינטרנט disk:// מרכיב מערכת קבצים מרחוקת אנונימית באמצעות פרוטוקול http.

דיון: הרישום של סוג כתובת האינטרנט disk:// מוסר מהמערכת כאמצעי מניעה כנגד ניסיונות להרכיב מערכות קובצי תמונה של כונן מרוחק באופן אוטומטי.

Safari

מזהה CVE‏: CAN-2004-0539

השפעה: הכפתור 'הצגה ב-Finder' יפתח קבצים מסוימים שהורדו, ובמקרים מסוימים יפעיל יישומים שהורדו.

דיון: הכפתור 'הצגה ב-Finder' יחשוף כעת קבצים בחלון Finder ולא ינסה עוד לפתוח אותם. שינוי זה זמין רק עבור Mac OS X 10.3.4 'Panther' ו-Mac OS X Server 10.3.4 'Panther' מכיוון שהבעיה אינה חלה על Mac OS X 10.2.8 'Jaguar' או על Mac OS X Server 10.2.8 'Jaguar'.

Terminal

מזהה CVE: לא רלוונטי

השפעה: ניסיונות להשתמש בכתובת אינטרנט מסוג Telnet:// עם מספר יציאה חלופי נכשלים.

דיון: נעשה שינוי כדי לאפשר את המפרט של מספר יציאה חלופי בכתובת אינטרנט מסוג Telnet:///. פעולה זו משחזרת פונקציונליות שהוסרה עם התיקון האחרון עבור CAN-2004-0485.

Mac OS X 10.3.4

  • NFS: מתקן את CAN-2004-0513 כדי לשפר את הרישום בעת מעקב אחר שיחות מערכת. קרדיט ל-David Brown (dave@spoonguard.org‏) עבור הדיווח על הבעיה.

  • LoginWindow: מתקן את CAN-2004-0514 כדי לשפר את הטיפול בבדיקות מידע של שירותי מדריך ספריה.

  • LoginWindow: מתקן את CAN-2004-0515 כדי לשפר את הטיפול בקבצי רישום של לוח הבקרה. קרדיט ל-aaron@vtty.com עבור הדיווח על הבעיה.

  • Packaging: מתקן את CAN-2004-0516 כדי לשפר את קובצי התסריט של התקנת החבילה. קרדיט ל-aaron@vtty.com עבור הדיווח על הבעיה.

  • Packaging: מתקן את CAN-2004-0517 כדי לשפר את הטיפול במזהי תהליך במהלך התקנת החבילה. קרדיט ל-aaron@vtty.com עבור הדיווח על הבעיה.

  • TCP/IP: מתקן את CAN-2004-0171 כדי לשפר את הטיפול במנות TCP שאינן ברצף.

  • AppleFileServer: מתקן את CAN-2004-0518 כדי לשפר את השימוש ב-SSH ושגיאות דיווח.

  • Terminal: מתקן את CAN-2004-0485 כדי לשפר את הטיפול בכתובות אינטרנט. קרדיט ל-RenÌ © Puls (rpuls@gmx.net‏) עבור הדיווח על הבעיה.

הערה: Mac OS X 10.3.4 כולל את עדכון אבטחה 2004-04-05 ועדכון אבטחה 2004-05-03.

עדכון אבטחה 2004-05-24 עבור Mac OS X 10.3.3 'Panther' ו-Mac OS X 10.3.3 Server

  • HelpViewer: מתקן את CAN-2004-0486 כדי להבטיח ש-HelpViewer יעבד רק סקריפטים שהוא הפעיל. קרדיט ל-lixlpixel הערה: ניתן להתקין עדכון זה גם ב-Mac OS X 10.3.4 וב-Mac OS X 10.3.4 Server

עדכון אבטחה 2004-05-24 עבור Mac OS X 10.2.8 'Jaguar' ו-Mac OS X 10.2.8 Server

  • HelpViewer: מתקן את CAN-2004-0486 כדי להבטיח ש-HelpViewer יעבד רק סקריפטים שהוא הפעיל. קרדיט ל-lixlpixel

  • Terminal: מתקן את CAN-2004-0485 כדי לשפר את עיבוד כתובות האינטרנט בתוך המסוף. קרדיט ל-RenÌ © Puls

עדכון אבטחה 2004-05-03 עבור Mac OS X 10.3.3 'Panther' ו-Mac OS X 10.3.3 Server

  • AppleFileServer: מתקן את CAN-2004-0430 כדי לשפר את הטיפול בסיסמאות ארוכות. קרדיט ל-Dave G. מ-@stake עבור הדיווח על הבעיה.

  • Apache 2: מתקן את CAN-2003-0020, CAN-2004-0113 ו-CAN-2004-0174 על ידי עדכון Apache 2 לגרסה 2.0.49.

  • CoreFoundation: מתקן את CAN-2004-0428 כדי לשפר את הטיפול במשתנה סביבה. קרדיט ל-aaron@vtty.com עבור הדיווח על הבעיה.

  • IPsec: מתקן את CAN-2004-0155 ו-CAN-2004-0403 כדי לשפר את האבטחה של מנהרות VPN. IPsec ב-Mac OS X אינו פגיע ל-CAN-2004-0392.

עדכון האבטחה 2004-04-05 שולב בעדכון אבטחה זה.

עדכון אבטחה 2004-05-03 עבור Mac OS X 10.2.8 'Jaguar' ו-Mac OS X 10.2.8 Server

  • AppleFileServer: מתקן את CAN-2004-0430 כדי לשפר את הטיפול בסיסמאות ארוכות. קרדיט ל-Dave G. מ-@stake עבור הדיווח על הבעיה.

  • Apache 2: מתקן את CAN-2003-0020, CAN-2004-0113 ו-CAN-2004-0174על ידי עדכון Apache 2 לגרסה 2.0.49.

  • CoreFoundation: מתקן את CAN-2004-0428 כדי לשפר את הטיפול במשתנה סביבה. קרדיט ל-aaron@vtty.com עבור הדיווח על הבעיה.

  • IPsec: מתקן את CAN-2004-0155 ו-CAN-2004-0403כדי לשפר את האבטחה של מנהרות VPN. IPsec ב-Mac OS X אינו פגיע ל-CAN-2004-0392.

  • Server Settings daemon: מתקן את CAN-2004-0429 כדי לשפר את הטיפול בבקשות גדולות.

עדכון האבטחה 2004-04-05 שולב בעדכון אבטחה זה.

QuickTime 6.5.1

  • מתקן את CAN-2004-0431כאשר הפעלת קובץ .mov (סרט) בעל מבנה פגום עלולה לגרום לסיום של QuickTime.

עדכון אבטחה 2004-04-05 עבור Mac OS X 10.3.3 'Panther' ו-Mac OS X 10.3.3 Server

  • CUPS Printing: מתקן את CAN-2004-0382 כדי לשפר את האבטחה של מערכת ההדפסה. זהו שינוי בקובץ תצורה שאינו משפיע על מערכת ההדפסה הבסיסית. קרדיט ל-aaron@vtty.com עבור הדיווח על הבעיה.

  • libxml2: מתקן את CAN-2004-0110 כדי לשפר את הטיפול במאתרי משאבים אחידים.

  • Mail: מתקן את CAN-2004-0383 כדי לשפר את הטיפול בדוא"ל בפורמט HTML. קרדיט ל-aaron@vtty.com עבור הדיווח על הבעיה.

  • OpenSSL: מתקן את CAN-2004-0079 ו-CAN-2004-0112 כדי לשפר את הטיפול באפשרויות הצפנה.

עדכון אבטחה 2004-04-05 עבור Mac OS X 10.2.8 'Jaguar' ו-Mac OS X 10.2.8 Server

  • CUPS Printing: מתקן את CAN-2004-0382 כדי לשפר את האבטחה של מערכת ההדפסה. קרדיט ל-aaron@vtty.com עבור הדיווח על הבעיה.

עדכון האבטחה 2004-01-26 שולב בעדכון אבטחה זה. שיפורי האבטחה הנוספים שסופקו עבור Panther בעדכון האבטחה 2004-04-05 אינם משפיעים על פלטפורמה 10.2.

עדכון אבטחה 2004-02-23 עבור Mac OS X 10.3.2 'Panther' ו-Mac OS X 10.3.2 Server

  • CoreFoundation: מתקן את CAN-2004-0168 כדי לשפר את דו"חות העדכונים. קרדיט ל-aaron@vtty.com עבור הדיווח על הבעיה.

  • DiskArbitration: מתקן את CAN-2004-0167 כדי לטפל בצורה בטוחה יותר באתחול של מדיה נשלפת הניתנת לכתיבה. קרדיט ל-aaron@vtty.com עבור הדיווח על הבעיה.

  • IPsec: מתקן את CAN-2004-0164 כדי לשפר את בדיקת החלפת מפתחות.

  • Point-to-Point-Protocol: מתקן את CAN-2004-0165 כדי לשפר את הטיפול בהודעות שגיאה. קרדיט ל-Dave G. מ-@stake ול-Justin Tibbs מ-Secure Network Operations (SRT) עבור הדיווח על הבעיה.

  • tcpdump: מתקן את CAN-2003-0989, CAN-2004-0055 ו-CAN-2004-0057 על ידי עדכון tcpdump לגרסה 3.8.1 ו-libpcap לגרסה 0.8.1

  • QuickTime Streaming Server: מתקן את CAN-2004-0169 כדי לשפר את בדיקת נתוני הבקשה. קרדיט ל-iDEFENSE Labs עבור הדיווח על הבעיה. עדכוני Streaming Server עבור פלטפורמות אחרות זמינים באתר http://developer.apple.com/darwin/.

עדכון אבטחה 2004-02-23 עבור Mac OS X 10.2.8 'Jaguar' ו-Mac OS X 10.2.8 Server

  • DiskArbitration: מתקן את CAN-2004-0167 כדי לטפל בצורה בטוחה יותר באתחול של מדיה נשלפת הניתנת לכתיבה. קרדיט ל-aaron@vty.comec עבור דיווח על הבעיה.

  • IPsec: מתקן את CAN-2004-0164כדי לשפר את בדיקת החלפת מפתחות.

  • Point-to-Point-Protocol: מתקן את CAN-2004-0165 כדי לשפר את הטיפול בהודעות שגיאה. קרדיט ל-Dave G. מ-@stake ול-Justin Tibbs מ-Secure Network Operations (SRT) עבור הדיווח על הבעיה.

  • Safari: מתקן את CAN-2004-0166 כדי לשפר את התצוגה של כתובות אינטרנט בשורת המצב.

  • QuickTime Streaming Server: מתקן את CAN-2004-0169 כדי לשפר את בדיקת נתוני הבקשה. קרדיט ל-iDEFENSE Labs עבור הדיווח על הבעיה. עדכוני Streaming Server עבור פלטפורמות אחרות זמינים באתר http://developer.apple.com/darwin/.

עדכון האבטחה 2004-01-26 עבור Mac OS X 10.2.8 Server שולב בעדכון אבטחה זה.

עדכון אבטחה 2004-01-26 עבור Mac OS X 10.1.5 'Puma' ו-Mac OS X 10.1.5 Server

  • Mail: מתקן את CAN-2004-0085 כדי לספק שיפורי אבטחה ביישום הדואר של Apple.

עדכון אבטחה 2004-01-26 עבור Mac OS X 10.2.8 'Jaguar' ו-Mac OS X 10.2.8 Server

  • AFP Server: משפר את AFP באמצעות עדכון האבטחה 2003-12-19.

  • Apache 1.3: מתקן את CAN-2003-0542, גלישת חוצץ במודולי mod_alias ו-mod_rewrite בשרת האינטרנט של Apache.

  • Apache 2: (מותקן רק בשרת) מתקן את CAN-2003-0542 ו-CAN-2003-0789 על ידי עדכון Apache 2.0.47 ל-2.0.48. לפרטים על העדכון, ראו: http://www.apache.org/dist/httpd/Announcement2.html

  • Classic: מתקן את CAN-2004-0089 כדי לשפר את הטיפול במשתני סביבה. קרדיט ל-Dave G. מ-@stake עבור הדיווח על הבעיה.

  • Mail: מתקן את CAN-2004-0085 כדי לספק שיפורי אבטחה ביישום הדואר של Apple.

  • Safari: מתקן את CAN-2004-0092 על-ידי העברת שיפורי אבטחה לדפדפן האינטרנט Safari.

  • System Configuration: מתקן את CAN-2004-0087 ו-CAN-2004-0088 שבו מערכת המשנה של 'תצורת מערכת' אפשרה למשתמשים שאינם מנהלי מערכת מרחוק לשנות את הגדרת הרשת ולבצע שינויים בתצורה ב-Confd. קרדיט ל-Dave G. מ-@stake עבור הדיווח על בעיות אלה.

עדכון האבטחה 2003-12-19 שולב בעדכון אבטחה זה. שיפורים נוספים באבטחה הכלולים בעדכון האבטחה 2004-01-26 עבור Mac OS X 10.3.2 'Panther' אינם כלולים בעדכון זה עבור Jaguar מכיוון ש-Jaguar אינו מושפע מבעיות אלה.

עדכון אבטחה 2004-01-26 עבור Mac OS X 10.3.2 'Panther' ו-Mac OS X Server 10.3.2

  • Apache 1.3: מתקן את CAN-2003-0542, גלישת חוצץ במודולי mod_alias ו-mod_rewrite בשרת האינטרנט של Apache.

  • Apache 2: (מותקן רק בשרת) מתקן את CAN-2003-0542 ו-CAN-2003-0789 על ידי עדכון Apache 2.0.47 ל-2.0.48. לפרטים על העדכון, ראו http://www.apache.org/dist/httpd/Announcement2.html.

  • Classic: מתקן את CAN-2004-0089 כדי לשפר את הטיפול במשתני סביבה. קרדיט ל-Dave G. מ-@stake עבור הדיווח על הבעיה.

  • 'דואר': מתקן את CAN-2004-0086 כדי לספק שיפורי אבטחה ביישום הדואר של Apple. קרדיט ל-Jim Roepcke עבור הדיווח על הבעיה.

  • Safari: מתקן את CAN-2004-0092 על-ידי העברת שיפורי אבטחה לדפדפן האינטרנט Safari.

  • System Configuration: מתקן את CAN-2004-0087 שבו תת-המערכת של 'תצורת מערכת' אפשרה למשתמשים שאינם מנהלי מערכת מרחוק לשנות הגדרות רשת. קרדיט ל-Dave G. מ-@stake עבור הדיווח על בעיות אלה.

  • Windows File Sharing: מתקן CAN-2004-0090 שבו 'שיתוף הקבצים עם Windows' לא נסגר כראוי.

  • עדכון האבטחה 2003-12-19 שולב בעדכון אבטחה זה. שיפורים נוספים באבטחה הכלולים בעדכון האבטחה 2004-01-26 עבור Mac OS X 10.2.8 'Jaguar' אינם כלולים בעדכון זה עבור Panther מכיוון ש-Panther אינו מושפע מהבעיות האלה.

עדכון אבטחה 2003-12-19 עבור Mac OS X 10.2.8 'Jaguar' ו-Mac OS X 10.2.8 Server

  • AppleFileServer: מתקן את CAN-2003-1007 כדי לשפר את הטיפול בבקשות בעלות מבנה פגום.

  • cd9660.util: מתקן את CAN-2003-1006, פגיעות של גלישת חוצץ בכלי העזר של מערכת הקבצים cd9660.util. קרדיט ל-KF מ-Secure Network Operations עבור הדיווח על הבעיה.

  • Directory Services: מתקן את CAN-2003-1009. הגדרות ברירת המחדל משתנות כדי למנוע חיבור לא מכוון במקרה של שרת DHCP זדוני ברשת המשנה המקומית של המחשב. מידע נוסף ניתן במאמר בסיס הידע של Apple: http://docs.info.apple.com/article.html?artnum=32478. קרדיט ל-William A. Carrel עבור הדיווח על הבעיה.

  • Fetchmail: מתקן את CAN-2003-0792. עדכונים מבוצעים ל-Fetch Mail כדי לשפר את היציבות שלו בתנאים מסוימים.

  • fs_usage: מתקן את CAN-2003-1010. הכלי fs_usage שופר כדי למנוע פגיעות של הסלמת הרשאות מקומיות. כלי זה משמש לאיסוף מידע על ביצועי המערכת ודורש הרשאות ניהול כדי להפעיל אותו. קרדיט ל-Dave G. מ-@stake עבור הדיווח על הבעיה.

  • rsync: מטפל ב-CAN-2003-0962 על ידי שיפור האבטחה של ה-rsyncserver.

  • System initialization: מתקן את CAN-2003-1011. תהליך האתחול של המערכת שופר כדי להגביל גישה ל-Root במערכת שמשתמשת במקלדת USB.

הערה: התיקונים הבאים המופיעים ב'עדכון אבטחה 2003-12-19 עבור Panther' אינם כלולים ב'עדכון אבטחה 2003-12-19 עבור Jaguar' מכיוון שגרסאות Jaguar של Mac OS X ו-Mac OS X Server אינן חשופות לבעיות הבאות:

- CAN-2003-1005: פענוח ASN.1 עבור PKI

- CAN-2003-1008: גזירי טקסט של 'שומר מסך'

עדכון אבטחה 2003-12-19 עבור Mac OS X 10.3.2 'Panther' ו-Mac OS X 10.3.2 Server

  • ASN.1 Decoding for PKI: מתקן את CAN-2003-1005 שעלול לגרום למניעת שירות פוטנציאלית בעת קבלת רצפי ASN.1 בעלי מבנה פגום. זה קשור ל-CAN-2003-0851 אך נפרד ממנו.

  • AppleFileServer: מתקן את CAN-2003-1007 כדי לשפר את הטיפול בבקשות בעלות מבנה פגום.

  • cd9660.util: מתקן את CAN-2003-1006, פגיעות של גלישת חוצץ בכלי העזר של מערכת הקבצים cd9660.util. קרדיט ל-KF מ-Secure Network Operations עבור הדיווח על הבעיה.

  • Directory Services: מתקן את CAN-2003-1009. הגדרות ברירת המחדל משתנות כדי למנוע חיבור לא מכוון במקרה של שרת DHCP זדוני ברשת המשנה המקומית של המחשב. מידע נוסף ניתן במאמר בסיס הידע של Apple: http://docs.info.apple.com/article.html?artnum=32478. קרדיט ל-William A. Carrel עבור הדיווח על הבעיה.

  • Fetchmail: מתקן את CAN-2003-0792. עדכונים מבוצעים ל-Fetchmail לשיפור היציבות שלו בתנאים מסוימים.

  • fs_usage: מתקן את CAN-2003-1010. הכלי fs_usage שופר כדי למנוע פגיעות של הסלמת הרשאות מקומיות. כלי זה משמש לאיסוף מידע על ביצועי המערכת ודורש הרשאות ניהול כדי להפעיל אותו. קרדיט ל-Dave G. מ-@stake עבור הדיווח על הבעיה.

  • rsync: מטפל ב-CAN-2003-0962 על ידי שיפור האבטחה של ה-rsyncserver.

  • Screen Saver: מתקן את CAN-2003-1008. כאשר חלון ההתחברות של 'שומר מסך' פעיל, לא ניתן עוד לכתוב גזירי טקסט לשולחן העבודה או ליישום. קרדיט ל-Benjamin Kelly עבור הדיווח על הבעיה.

  • System initialization: מתקן את CAN-2003-1011. תהליך האתחול של המערכת שופר כדי להגביל גישה ל-Root במערכת שמשתמשת במקלדת USB.

עדכון אבטחה 2003-12-05

  • Safari: מתקן את CAN-2003-0975 כדי להבטיח ש-Safari יספק גישה לפרטי קובצי 'עוגיה' של משתמש רק לאתרים מורשים. העדכון זמין הן עבור Mac OS X 10.3.1 והן עבור Mac OS X 10.2.8.

עדכון אבטחה 2003-11-19 עבור 10.2.8

המדיניות של Apple היא לטפל במהירות בפגיעויות משמעותיות במהדורות קודמות של Mac OS X בכל מקום אפשרי. עדכון האבטחה 2003-11-19 כולל עדכונים למספר רכיבים של Mac OS X 10.2 שעומדים בקריטריונים אלה.

  • gm4: מתקן את CAN-2001-1411 פגיעות של מחרוזת פורמט בכלי העזר Gm4. אין תוכניות Root מסוג uid מוגדר המסתמכות על gm4 ותיקון זה הוא אמצעי מניעה נגד ניצול אפשרי בעתיד.

  • groff: מתקן את CVE-2001-1022 היכן שה-pic של רכיב ה-Groff הכילה פגיעות של מחרוזת פורמט.

  • Mail: מתקן את CAN-2003-0881 היישום Mac OS X Mail לא יחזור עוד לכניסה לטקסט רגיל כאשר חשבון מוגדר לשימוש ב-MD5 Challenge Response.

  • OpenSSL: מתקן את CAN-2003-0851 ניתוח רצפי ASN.1 מסוימים בעלי מבנה פגום מטופלים כעת באופן מאובטח יותר.

  • Personal File Sharing: מתקן את CAN-2003-0878 כאשר התכונה 'שיתוף קבצים פרטי' מופעלת, תהליך הרקע של Slpd אינו יכול עוד ליצור קובץ שנמצא בבעלות Root בספריית /tmp כדי לקבל הרשאות גבוהות.

  • QuickTime for Java: מתקן את CAN-2003-0871 פגיעות פוטנציאלית שעלולה לאפשר גישה בלתי מורשית למערכת.

  • zlib: מטפל ב-CAN-2003-0107. אף על פי שלא היו פונקציות ב-MacOS X שהשתמשו בפונקציית gzprintf() הפגועה, הבעיה הבסיסית ב-zlib תוקנה כדי להגן על יישומי צד שלישי שעשויים להשתמש בספריה זו.

עדכון אבטחה 2003-11-19 עבור Panther 10.3.1

  • OpenSSL: מתקן את CAN-2003-0851 ניתוח רצפי ASN.1 מסוימים בעלי מבנה פגום מטופלים כעת באופן מאובטח יותר.

  • zlib: מטפל ב-CAN-2003-0107. אף על פי שלא היו פונקציות ב-MacOS X שהשתמשו בפונקציית gzprintf() הפגועה, הבעיה הבסיסית ב-zlib תוקנה כדי להגן על יישומי צד שלישי שעשויים להשתמש בספריה זו.

עדכון אבטחה 2003-11-04

  • Terminal: מטפל ב-CAN-2003-0913 פגיעות פוטנציאלית ביישום Terminal ב-Mac OS X 10.3 וב-Mac OS X Server 10.3, שעלולה לאפשר גישה בלתי מורשית למערכת. גרסאות Mac OS X שקדמו ל-10.3 אינן מושפעות.

עדכון אבטחה 2003-10-28

  • מתקן את CAN-2003-0871 פגיעות פוטנציאלית ביישום QuickTime Java ב-Mac OS X 10.3 וב-Mac OS X Server 10.3 שעלולה לאפשר גישה בלתי מורשית למערכת.

Mac OS X 10.3 Panther

  • Finder: מתקן את CAN-2003-0876 שבו ייתכן שהרשאות התיקיות לא יישמרו בעת העתקת תיקיה ממחיצה מורכבת, כגון DiskImage. קרדיט ל-Dave G. מ-@stake, Inc. עבור גילוי הבעיה.

  • Kernel: מתקן את CAN-2003-0877 שבו אם מערכת פועלת עם קובצי ליבה מופעלים, משתמש עם גישה אינטראקטיבית למעטפת יכול להחליף קבצים שרירותיים ולקרוא קובצי ליבה שנוצרו על ידי תהליכים בבעלות Root. הבעיה עלולה לגרום לפגיעה במידע רגיש, כגון אישורי אימות. יצירת קובצי ליבה מושבתת כברירת מחדל ב-Mac OS X. קרדיט ל-Dave G. מ-@stake, Inc. עבור גילוי הבעיה.

  • slpd: מתקן את CAN-2003-0878 כאשר התכונה 'שיתוף קבצים פרטי' מופעלת, תהליך הרקע של Slpd עשוי ליצור קובץ שנמצא בבעלות Root בספריית /tmp. פעולה זו עלולה להחליף קובץ קיים ולאפשר למשתמש לקבל הרשאות גבוהות. התכונה 'שיתוף קבצים פרטי' מושבתת כברירת מחדל ב-Mac OS X. קרדיט ל-Dave G. מ-@stake, Inc. עבור גילוי הבעיה.

  • Kernel: מתקן את CAN-2003-0895 כאשר משתמש מקומי עלול לגרום ל-Kernel ב-Mac OS X לקרוס על ידי ציון ארגומנט שורת פקודה ארוכה. המכשיר יאותחל בעצמו לאחר מספר דקות. קרדיט ל-Dave G. מ-@stake, Inc. עבור גילוי הבעיה.

  • ktrace: מתקן את CVE-2002-0701 ניצול תיאורטי כאשר ktrace מופעל דרך האפשרות KTRACE Kernel, משתמש מקומי עלול להצליח להשיג מידע רגיש. לא ידוע כרגע על כלי עזר ספציפי שפגיע לבעיה הספציפית הזו.

  • nfs: מתקן את CVE-2002-0830 עבור 'מערכת קבצי רשת', שבה משתמש מרוחק עלול להצליח לשלוח הודעות RPC שגורמות למערכת להינעל.

  • zlib: מטפל ב-CAN-2003-0107. אף על פי שלא היו פונקציות ב-Mac OSX שהשתמשו בפונקציית gzprintf() הפגיעה, הבעיה הבסיסית ב-inzlib תוקנה.

  • gm4: מתקן את CAN-2001-1411 פגיעות של מחרוזת פורמט בכלי העזר Gm4. אין תוכניות Root מסוג uid מוגדר המסתמכות על gm4 ותיקון זה הוא אמצעי מניעה נגד ניצול אפשרי בעתיד.

  • OpenSSH: מתקן את CAN-2003-0386 כאשר הגבלות 'from=' ו-'user@hosts' עשויות להיות מזויפות באמצעות DNS הפוך עבור כתובות IP שצוינו מספרית. Mac OS X 10.3 כולל גם תיקונים קודמים שפורסמו עבור OpenSSH, והגרסה של OpenSSH כפי שהושגה באמצעות הפקודה 'sh -V' היא: OpenSSH_3.6.1p1+CAN-2003-0693, פרוטוקולי SSH 1.5/2.0, OpenSSL 0x0090702f

  • nidump: מתקן את CAN-2001-1412 היכן שתוכנית העזר nidump מספקת גישה לסיסמאות המוצפנות המשמשות לאימות התחברות.

  • System Preferences: מתקן את CAN-2003-0883 שבו לאחר אימות באמצעות סיסמת מנהל מערכת, המערכת תמשיך לאפשר גישה ל'חלוניות העדפות' מאובטחות לפרק זמן קצר. דבר זה עלול לאפשר למשתמש מקומי לגשת ל'חלוניות העדפות' שבדרך כלל הוא לא יוכל להשתמש בהן. בהעדפות האבטחה של Mac OS X 10.3, יש כעת אפשרות 'לדרוש סיסמה כדי לבטל את הנעילה של כל העדפות המערכת המאובטחות'. קרדיט ל-Anthony Holder עבור הדיווח על הבעיה.

  • TCP timestamp: מתקן את CAN-2003-0882 היכן שחותמת הזמן של TCP מופעלת במספר קבוע. דבר זה עלול לאפשר לאדם לגלות כמה זמן המערכת פועלת על סמך המזהה במנות TCP. ב-Mac OS X 10.3, חותמת הזמן של TCP מופעלת כעת באמצעות מספר אקראי. קרדיט ל-Aaron Linville עבור הדיווח על הבעיה והגשת תיקון באמצעות תוכנית הקוד הפתוח של Darwin.

  • Mail: מתקן את CAN-2003-0881 ביישום 'דואר' של Mac OS X, אם חשבון מוגדר לשימוש ב-MD5 Challenge Response, הוא ינסה להתחבר באמצעות CRAM-MD5 אך ייסוג בשקט חזרה לטקסט רגיל אם ההתחברות המקוצרת תיכשל. קרדיט ל-Chris Adams עבור הדיווח על הבעיה.

  • Dock: מתקן את CAN-2003-0880 כאשר התכונה 'גישה מלאה מהמקלדת' מופעלת דרך חלונית המקלדת ב'העדפות המערכת', ניתן לגשת לפונקציות Dock באופן עיוור מאחורי Screen Effects.

Mac OS X 10.2.8

  • OpenSSL: מתקן את CAN-2003-0543, CAN-2003-0544, CAN-2003-0545 כדי לטפל בבעיות פוטנציאליות במבנים מסוימים של ASN.1 ובקוד אימות אישורים. כדי להעביר את העדכון באופן מהיר ואמין, רק התיקונים עבור מזהי CVE המפורטים לעיל הוחלו, ולא כל ספריית OpenSSL האחרונה. לפיכך, גרסת OpenSSL ב-Mac OS X 10.2.8, כפי שהושגה באמצעות הפקודה 'openssl version', היא: OpenSSL 0.9.6i Feb 19 2003

  • OpenSSH: מטפל ב-CAN-2003-0693, ב-CAN-2003-0695 וב-CAN-2003-0682 באמצעות תיקון שגיאות ניהול חוצץ בגרסאות ה-sshd של OpenSSH לפני 3.7.1. כדי להעביר את העדכון באופן מהיר ואמין, רק התיקונים עבור מזהי CVE המפורטים לעיל הוחלו, ולא כל קבוצת התיקונים עבור OpenSSH 3.7.1. לפיכך, גרסת OpenSSH ב-Mac OS X 10.2.8, כפי שהושגה באמצעות הפקודה 'sh -V', היא: הפרוטוקלים OpenSSH_3.4p1+CAN-2003-0693, 1.5/2.0, OpenSSL 0x0090609f

  • sendmail: מטפל ב-CAN-2003-0694 ו-CAN-2003-0681 באמצעות תיקון גלישת חוצץ בניתוח כתובות, וכן גלישת חוצץ פוטנציאלית בניתוח.

  • fb_realpath(): מתקן את CAN-2003-0466 שהוא שגיאה מסוג Off-by-One בפונקציית FB_REALPATH() שעלולה לאפשר לתוקפים להפעיל קוד שרירותי.

  • arplookup(): תיקונים CAN-2003-0804. הפונקציה Arplookup() מאחסנת במטמוני בקשות ARP עבור מסלולים בקישור מקומי. ברשת משנה מקומית בלבד, תוקף יכול לשלוח מספר מספיק של בקשות ARP מזויפות, אשר ימצו את זיכרון הליבה, מה שיוביל למניעת שירות.

לקבלת מידע על עדכוני אבטחה קודמים, עיינו ב-'עדכוני אבטח של Apple: אוגוסט 2003 וגרסאות קודמות'.

חשוב: מידע על מוצרים שאינם מיוצרים על ידי Apple ניתן למטרות מידע בלבד ואינו מהווה המלצה או תמיכה של Apple. יש ליצור קשר עם הספק לקבלת מידע נוסף.

חשוב: אזכור של אתרי אינטרנט ומוצרים של צד שלישי מיועד למטרות מידע בלבד ואינו מהווה המלצה או תמיכה. Apple אינה נוטלת על עצמה כל אחריות בנוגע לבחירה, לביצועים או לשימוש במידע או במוצרים שנמצאים באתרי צד שלישי. Apple מספקת זאת רק לנוחות המשתמשים שלנו. Apple לא בדקה את המידע שנמצא באתרים אלה ולא הציגה שום מצג לגבי הדיוק או האמינות שלה. קיימים סיכונים הטמונים בשימוש במידע או במוצרים הנמצאים באינטרנט, ו-Apple אינה נוטלת על עצמה כל אחריות בנושא זה. עליכם להבין שאתר של צד שלישי אינו תלוי ב-Apple ושל-Apple אין שליטה על התוכן באתר זה. יש ליצור קשר עם הספק לקבלת מידע נוסף.

Published Date: