Informacije o sigurnosnom sadržaju sigurnosnog ažuriranja 2009-001

U ovom se dokumentu opisuje sigurnosno ažuriranje 2009-001, koje se može preuzeti i instalirati putem postavki za ažuriranje softvera ili putem stranice Apple Downloads.

Radi zaštite svojih klijenata tvrtka Apple ne otkriva sigurnosne probleme, ne razgovara o njima niti ih potvrđuje do provođenja cjelovite istrage te dok potrebne zakrpe i izdanja ne postanu dostupni. Da biste saznali više o sigurnosti Appleovih proizvoda, posjetite web-mjesto Sigurnost Appleovih proizvoda.

Informacije o PGP ključu za sigurnost Appleovih proizvoda potražite na web-mjestu „Upotreba PGP ključa za sigurnost Appleovih proizvoda."

Kada je to moguće, CVE ID-jevi služe kao referenca za dodatne informacije o slabim točkama.

Da biste saznali više o sigurnosnim ažuriranjima, posjetite web-mjesto „Appleova sigurnosna ažuriranja."

Sigurnosno ažuriranje 2009-001

• AFP Server

  CVE-ID: CVE-2009-0142

  Dostupno za: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: korisnik s mogućnošću povezivanja s AFP poslužiteljem možda će moći pokrenuti uskraćivanje usluge

  Opis: stanje nadmetanja na AFP poslužitelju može dovesti do beskonačne petlje. Enumeracija datoteka na AFP poslužitelju može dovesti do uskraćivanja usluge. Ovo ažuriranje rješava taj problem poboljšanom logikom enumeracije datoteka. Taj problem utječe samo na sustave s verzijom Mac OS X v10.5.6.

• Apple Pixlet Video

  CVE-ID: CVE-2009-0009

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: otvaranje zlonamjerne filmske datoteke može uzrokovati neočekivano zatvaranje aplikacije ili izvršavanje proizvoljnog koda

  Opis: postoji problem s oštećenjem memorije pri rukovanju filmskim datotekama uz pomoć kodeka Pixlet. Otvaranje zlonamjerno stvorene filmske datoteke može uzrokovati neočekivano zatvaranje aplikacije ili izvršavanje proizvoljnog koda. Ovo ažuriranje rješava taj problem poboljšanom provjerom ograničenja. Zasluge: Apple.

• CarbonCore

  CVE-ID: CVE-2009-0020

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: otvaranje datoteke sa zlonamjernom kopijom sadržaja resursa može dovesti do neočekivanog zatvaranja aplikacije ili izvršavanja proizvoljnog koda

  Opis: postoji problem s oštećenjem memorije u načinu na koji upravitelj resursa rukuje kopijama sadržaja resursa. Učinak: otvaranje datoteke sa zlonamjernom kopijom sadržaja može dovesti do neočekivanog zatvaranja aplikacije ili izvršavanja proizvoljnog koda. Ovo ažuriranje rješava taj problem poboljšanom potvrdom valjanosti kopija resursa sadržaja. Zasluge: Apple.

• CFNetwork

  Dostupno za: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: omogućuje ponovni ispravni rad kolačića s vremenom istjecanja postavljenim na nulu

  Opis: ovim ažuriranjem rješava se problem nesigurnosne regresije koja se pojavila u verziji sustava Mac OS X 10.5.6. Kolačići se možda neće ispravno postaviti ako web-mjesto pokuša postaviti kolačić sesije navođenjem vrijednosti nula u polju „istječe” umjesto zanemarivanja polja. Ovo ažuriranje rješava taj problem zanemarivanjem polja „istječe” ako je u njemu navedena vrijednost nula.

• CFNetwork

  Dostupno za: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: omogućuje ponovni ispravni rad kolačića sesije u aplikacijama

  Opis: ovim ažuriranjem rješava se problem s nesigurnosnom regresijom koja se pojavila u verziji sustava Mac OS X 10.5.6. CFNetwork možda neće spremati kolačiće na disk ako više otvorenih aplikacija pokušava spremiti kolačiće sesije. Ovo ažuriranje rješava taj problem tako što se svaka aplikacija zasebno sprema svoje kolačiće sesije.

• Certificate Assistant

  CVE-ID: CVE-2009-0011

  Dostupno za: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: lokalni korisnik može manipulirati datotekama koristeći ovlasti drugog korisnika koji upotrebljava Asistent za certifikate

  Opis: rad s datotekama nije siguran u načinu na koji Asistent za certifikate rukuje privremenim datotekama. To može omogućiti lokalnom korisniku da prebriše datoteke ovlastima drugog korisnika koji upotrebljava Asistent za certifikate. Ovo ažuriranje rješava taj problem poboljšanim rukovanjem privremenim datotekama. Taj problem ne utječe na sustave starije od sustava Mac OS X v10.5. Zasluge: Apple.

• ClamAV

  CVE-ID: CVE-2008-5050, CVE-2008-5314

  Dostupno za: Mac OS X Server v10.4.11, Mac OS X Server v10.5.6

  Učinak: više slabih točaka u alatu ClamAV 0.94

  Opis: više slabih točaka postoji u alatu ClamAV 0.94, a najozbiljnija od njih može dovesti do izvršavanja proizvoljnog koda. Ovo ažuriranje rješava te probleme ažuriranjem alata ClamAV na verziju 0.95.2. ClamAV distribuira se samo sa sustavima Mac OS X Server. Dodatne informacije dostupne su na web-mjestu tvrtke ClamAV http://www.clamav.net/

• CoreText

  CVE-ID: CVE-2009-0012

  Dostupno za: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: prikaz zlonamjerno stvorenog Unicode sadržaja može dovesti do neočekivanog zatvaranja aplikacije ili izvršavanja proizvoljnog koda

  Opis: pri obradi Unicode nizova u sučelju CoreText može doći do prekoračenja međuspremnika gomile. Rukovanje zlonamjernim Unicode nizovima uz pomoć sučelja CoreText pri prikazu zlonamjerne web-stranice može rezultirati neočekivanim zatvaranjem aplikacije ili izvršavanjem proizvoljnog koda. Ovo ažuriranje rješava taj problem poboljšanom provjerom ograničenja. Taj problem ne utječe na sustave prije verzije Mac OS X v10.5. Na prijavi tog problema zahvaljujemo Rosyni iz tvrtke Unsanity.

• CUPS

  CVE-ID: CVE-2008-5183

  Dostupno za: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: otvaranje zlonamjernog web-mjesta može dovesti do neočekivanog zatvaranja aplikacije

  Opis: premašivanje maksimalnog broja RSS pretplata rezultira dereferencom pokazivača s vrijednošću null na web-sučelju sustava CUPS. To može dovesti do neočekivanog zatvaranja aplikacije pri otvaranju zlonamjernog web-mjesta. Kako bi se aktivirao taj problem, napadač mora poznavati valjane korisničke vjerodajnice ili one moraju biti predmemorirane u korisnikovom web-pregledniku. CUPS će se automatski ponovno pokrenuti nakon aktiviranja tog problema. Ovo ažuriranje rješava taj problem ispravnim rukovanjem nizom RSS pretplata. Taj problem ne utječe na sustave starije od sustava Mac OS X v10.5.

• DS Tools

  CVE-ID: CVE-2009-0013

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: lozinke unesene u dscl mogu se otkriti drugim lokalnim korisnicima

  Opis: naredbeni redak alata dscl zahtijevao je da se lozinke proslijede u njegovim argumentima, čime se lozinke potencijalno mogu otkriti drugim lokalnim korisnicima. Otkrivene lozinke uključuju one za korisnike i administratore. S ovim ažuriranjem parametar lozinki postaje izborni, a alat dscl tražit će lozinku ako je potrebno. Zasluge: Apple.

• fetchmail

  CVE-ID: CVE-2007-4565, CVE-2008-2711

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: više slabih točaka u 6.3.8

  Opis: u verziji programa Fetchmail 6.3.8 postoji više slabih točaka, a najozbiljnija od njih može dovesti do uskraćivanja usluge. Ovo ažuriranje rješava taj problem ažuriranjem na verziju 6.3.9. Dodatne informacije dostupne su putem web-mjesta Fetchmail na stranici http://fetchmail.berlios.de/

• Folder Manager

  CVE-ID: CVE-2009-0014

  Dostupno za: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: drugi lokalni korisnici mogu pristupiti mapi Downloads

  Opis: u upravitelju mapa postoji problem s dopuštenjima. Kada korisnik izbriše svoju mapu Preuzimanja, a upravitelj mapa je ponovno izradi, ta mapa svima dopušta čitanje. Ovo ažuriranje rješava taj problem time što upravitelj mapa ograničava dopuštenja tako da je mapa dostupna samo korisniku. Taj problem utječe samo na aplikacije koje upotrebljavaju upravitelj mapa. Taj problem ne utječe na sustave starije od sustava Mac OS X v10.5. Na prijavi tog problema zahvaljujemo Grahamu Perrinu (CENTRIM, Sveučilište u Brightonu).

• FSEvents

  CVE-ID: CVE-2009-0015

  Dostupno za: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: lokalni korisnik koji upotrebljava okvir FSEvents može vidjeti aktivnost datotečnog sustava koja inače ne bi bila dostupna

  Opis: u procesu fseventsd postoji problem s upravljanjem vjerodajnicama. U okviru FSEvents lokalni korisnik može vidjeti aktivnost datotečnog sustava koja inače ne bi bila dostupna. To uključuje naziv direktorija koji korisnik možda ne može vidjeti i otkrivanje aktivnosti u direktoriju u određeno vrijeme. Ovo ažuriranje rješava taj problem poboljšanom provjerom valjanosti vjerodajnica u procesu fseventsd. Taj problem ne utječe na sustave prije Mac OS X v10.5. Zahvaljujemo Marku Dalrympleu na prijavi tog problema.

• Network Time

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: konfiguracija usluge Network Time je ažurirana

  Opis: kao proaktivna sigurnosna mjera, ovo ažuriranje mijenja zadanu konfiguraciju za uslugu Network Time. Informacije o vremenu i verziji sustava više neće biti dostupne u zadanoj konfiguraciji ntpd. U sustavima Mac OS X v10.4.11 nova konfiguracija stupa na snagu nakon ponovnog pokretanja sustava kad je omogućena usluga Network Time.

• perl

  CVE-ID: CVE-2008-1927

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: upotreba regularnih izraza koji sadrže znakove UTF-8 može dovesti do neočekivanog zatvaranja aplikacije ili izvršavanja proizvoljnog koda

  Opis: postoji problem s oštećenjem memorije pri rukovanju određenih znakova UTF-8 u regularnim izrazima. Raščlanjivanjem zlonamjernih regularnih izraza može doći do neočekivanog zatvaranja aplikacije ili izvršavanja proizvoljnog koda. Ovo ažuriranje rješava problem izvođenjem dodatne provjere valjanosti regularnih izraza.

• Printing

  CVE-ID: CVE-2009-0017

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: lokalni korisnik može dobiti sistemske ovlasti

  Opis: postoji problem s upravljanjem pogreškama u programu csregprinter, što može dovesti do prekoračenja međuspremnika gomile. To može omogućiti lokalnom korisniku da dobije sistemske ovlasti. Ovo ažuriranje rješava taj problem poboljšanim upravljanjem pogreškama. Zahvaljujemo Larsu Haulinu na prijavi tog problema.

• python

  CVE-ID: CVE-2008-1679, CVE-2008-1721, CVE-2008-1887, CVE-2008-2315, CVE-2008-2316, CVE-2008-3142, CVE-2008-3144, CVE-2008-4864, CVE-2007-4965, CVE-2008-5031

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: više slabih točaka u pythonu

  Opis: u pythonu postoji više slabih točaka, a najozbiljnija od njih može dovesti do izvršavanja proizvoljnog koda. Ovo ažuriranje rješava probleme primjenom zakrpa iz projekta python.

• Remote Apple Events

  CVE-ID: CVE-2009-0018

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: slanje udaljenih Apple događaja može dovesti do otkrivanja osjetljivih informacija

  Opis: postoji problem s neinicijaliziranim međuspremnikom na poslužitelju za udaljene Apple događaje, što može dovesti do otkrivanja memorijskog sadržaja mrežnim klijentima. Ovo ažuriranje rješava problem ispravnom inicijalizacijom memorije. Zasluge: Apple.

• Remote Apple Events

  CVE-ID: CVE-2009-0019

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: omogućivanje udaljenih Apple događaja može dovesti do neočekivanog zatvaranja aplikacije ili otkrivanja osjetljivih informacija

  Opis: u udaljenim Apple događajima postoji problem s pristupom memoriji izvan dopuštenog opsega. Omogućivanje udaljenih Apple događaja može dovesti do neočekivanog zatvaranja aplikacije ili otkrivanja osjetljivih informacija mrežnim klijentima. Ovo ažuriranje rješava taj problem poboljšanom provjerom ograničenja. Zasluge: Apple.

• Safari RSS

  CVE-ID: CVE-2009-0137

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: pristupanje zlonamjernom feed URL-u može dovesti do izvršavanja proizvoljnog koda

  Opis: postoji više problema s provjerom valjanosti u načinu na koji Safari rukuje feed URL-ovima. Ti problemi omogućuju izvršavanje proizvoljnog JavaScripta u lokalnom sigurnosnom području. Ažuriranje rješava probleme poboljšanim rukovanjem ugrađenog JavaScripta unutar feed URL-ova. Zahvaljujemo Clintu Ruohou iz tvrtke Laconic Security, Billyju Riosu iz tvrtke Microsoft i Brianu Mastenbrooku na prijavi tih problema.

• servermgrd

  CVE-ID: CVE-2009-0138

  Dostupno za: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: udaljeni napadači mogu pristupiti upravitelju poslužitelja bez valjanih vjerodajnica

  Opis: problem s provjerom valjanosti vjerodajnica za potvrdu autentičnosti u upravitelju poslužitelja može omogućiti udaljenom napadaču da promijeni konfiguraciju sustava. Ovo ažuriranje rješava problem putem dodatne provjere valjanosti vjerodajnica za potvrdu autentičnosti. Taj problem ne utječe na sustave starije od sustava Mac OS X v10.5. Zasluge: Apple.

• SMB

  CVE-ID: CVE-2009-0139

  Dostupno za: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: povezivanje sa zlonamjernim SMB datotečnim sustavom može dovesti do neočekivanog zatvaranja sustava ili izvršavanja proizvoljnog koda uz sistemske ovlasti

  Opis: prekoračenje cijelog broja u SMB datotečnom sustavu može dovesti do prekoračenja međuspremnika gomile. Povezivanje sa zlonamjernim SMB datotečnim sustavom može dovesti do neočekivanog isključivanja sustava ili izvršavanja proizvoljnog koda uz sistemske ovlasti. Ovo ažuriranje rješava taj problem poboljšanom provjerom ograničenja. Taj problem ne utječe na sustave starije od sustava Mac OS X v10.5. Zasluge: Apple.

• SMB

  CVE-ID: CVE-2009-0140

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: povezivanje sa zlonamjernim SMB datotečnim poslužiteljem može dovesti do neočekivanog isključivanja sustava

  Opis: problem iscrpljivanja memorije postoji u načinu na koji SMB datotečni sustav rukuje nazivima datotečnog sustava. Povezivanje zlonamjernog SMB datotečnog poslužitelja može dovesti do neočekivanog isključivanja sustava. Ovo ažuriranje rješava taj problem ograničavanjem količine memorije koju je klijent dodijelio nazivima datotečnog sustava. Zasluge: Apple.

• SquirrelMail

  CVE-ID: CVE-2008-2379, CVE-2008-3663

  Dostupno za: Mac OS X Server v10.4.11, Mac OS X Server v10.5.6

  Učinak: više slabih točaka u aplikaciji SquirrelMail

  Opis: SquirrelMail je ažuriran na verziju 1.4.17 radi rješavanja nekoliko slabih točaka, a najozbiljnija od njih je problem sa skriptiranjem na više stranica. Dodatne informacije dostupne su na web-mjestu za SquirrelMail na adresi http://www.SquirrelMail.org/

• X11

  CVE-ID: CVE-2008-1377, CVE-2008-1379, CVE-2008-2360, CVE-2008-2361, CVE-2008-2362

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: više slabih točaka na poslužitelju X11

  Opis: više slabih točaka na poslužitelju X11. Najozbiljnija od njih može dovesti do izvršavanja proizvoljnog koda s ovlastima korisnika koji upotrebljava poslužitelj X11 ako napadač može potvrditi autentičnost na poslužitelju X11. Ovo ažuriranje rješava te probleme primjenom ažuriranih zakrpa za X.Org. Dodatne informacije dostupne su putem web-mjesta X.Org na adresi http://www.x.org/wiki/Development/Security

• X11

  CVE-ID: CVE-2006-1861, CVE-2006-3467, CVE-2007-1351, CVE-2008-1806, CVE-2008-1807, CVE-2008-1808

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11

  Učinak: veći broj slabih točaka u komponenti FreeType v2.1.4

  Opis: u komponenti FreeType v2.1.4 postoji veći broj slabih točaka od kojih najozbiljnija može prouzročiti izvršavanje proizvoljnog koda pri obradi zlonamjernog fonta. Ovo ažuriranje rješava te probleme uvrštavanjem sigurnosnih popravaka iz verzije 2.3.6 komponente FreeType. Dodatne informacije dostupne su putem web-mjesta komponente FreeType na adresi http://www.freetype.org/ Ti su problemi već riješeni u sustavima s verzijom Mac OS X v10.5.6.

• X11

  CVE-ID: CVE-2007-1351, CVE-2007-1352, CVE-2007-1667

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11

  Učinak: veći broj slabih točaka u komponenti LibX11

  Opis: postoji više slabih točaka u komponenti LibX11, a najozbiljnija od njih može dovesti do izvršavanja proizvoljnog koda pri obradi zlonamjernog fonta. Ovo ažuriranje rješava te probleme primjenom ažuriranih zakrpa za X.Org. Dodatne informacije dostupne su putem web-mjesta X.Org na adresi http://www.x.org/wiki/Development/Security Ti problemi ne utječu na sustave s verzijom Mac OS X v10.5 ili novijom.

• XTerm

  CVE-ID: CVE-2009-0141

  Dostupno za: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Učinak: lokalni korisnik može poslati informaciju izravno u Xterm drugog korisnika

  Opis: A postoji problem s dopuštenjima u emulatoru Xterm. Kad se upotrebljava s naredbom luit, Xterm izrađuje tty uređaje kojima svi mogu pristupiti. Ovo ažuriranje rješava problem time što emulator Xterm ograničava dopuštenja tako da samo korisnik može pristupiti tty uređajima.