A 2009-001-es biztonsági frissítés biztonsági változásjegyzéke

Ez a dokumentum a 2009-001 biztonsági frissítést ismerteti, amelyet a Szoftverfrissítés segítségével vagy a Apple letöltési webhelyéről tölthet le és telepíthet.

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma teljes körű kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. Az Apple-termékekkel kapcsolatos biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

Az Apple termékbiztonsági PGP-kulcsáról „Az Apple termékbiztonsági PGP-kulcs használata” című cikkben talál bővebb információkat.

Ahol csak lehetséges, a cikk a CVE-azonosítójuk alapján hivatkozik az egyes biztonsági résekre.

Más biztonsági frissítésekről „Az Apple biztonsági frissítései” című cikkből tájékozódhat.

A 2009-001-es biztonsági frissítés

• AFP Server

  CVE-azonosító: CVE-2009-0142

  A következőhöz érhető el: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Azok a felhasználók, akik hozzáféréssel rendelkeztek az AFP Serverhez, szolgáltatásmegtagadást tudtak előidézni.

  Leírás: Az AFP Server egy versenyhelyzeti problémája végtelen hurkot idézhetett elő. Az AFP Serveren lévő fájlok számbavétele szolgáltatásmegtagadást tudott előidézni. A frissítés hatékonyabb számbavételi logikával hárítja el a problémát. Ez a probléma kizárólag a Mac OS X v10.5.6 operációs rendszert futtató rendszereket érintette.

• Apple Pixlet Video

  CVE-azonosító: CVE-2009-0009

  A következőhöz érhető el: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Az ártó szándékkal létrehozott filmfájlok megnyitásakor váratlan alkalmazásleállásra vagy tetszőleges kódvégrehajtásra kerülhetett sor.

  Leírás: A Pixlet kodeket használó fájlok kezelésekor egy memóriasérüléssel kapcsolatos probléma jelentkezett. Az ártó szándékkal létrehozott filmfájlok megtekintése esetén váratlan alkalmazásleállásra vagy tetszőleges programkód végrehajtására kerülhetett sor. Ez a frissítés hatékonyabb határérték-ellenőrzéssel hárítja el a problémát. A probléma elhárítását az Apple kezdeményezte.

• CarbonCore

  CVE-azonosító: CVE-2009-0020

  A következőhöz érhető el: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Ártó szándékkal létrehozott resource fork tartalmak megnyitása váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett

  Leírás: Memóriasérülési hiba merülhetett fel a resource fork tartalmak Resource Manager általi kezelésekor. Az ártó szándékkal létrehozott resource fork tartalmú fájlok megnyitása váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett. Ez a frissítés a resource fork tartalmak hatékonyabb ellenőrzésével hárítja el a problémát. A probléma elhárítását az Apple kezdeményezte.

• CFNetwork

  A következőhöz érhető el: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Helyreállítja a nullás lejárati idejű sütik megfelelő működését

  Leírás: Ez a frissítés egy, a Mac OS X 10.5.6-os verziójában bevezetett nem biztonsági jellegű problémát hárít el. Előfordulhat, hogy a sütik nem megfelelően kerültek beállításra, ha egy webhely úgy próbált munkamenetsütit beállítani, hogy a „lejárat” mezőben null értéket adott meg, ahelyett, hogy kihagyta volna a mezőt. Ez a frissítés a úgy oldja meg a problémát, hogy figyelmen kívül hagyja a „lejárat” mezőt, amennyiben a mező értéke nulla.

• CFNetwork

  A következőhöz érhető el: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Helyreállítja a munkamenetsütik megfelelő működését az alkalmazások között

  Leírás: Ez a frissítés egy, a Mac OS X 10.4.11-es verziójában bevezetett nem biztonsági jellegű problémát hárít el. Előfordulhatott, hogy a CFNetwork nem mentette a sütiket a lemezre, ha több megnyitott alkalmazás próbált munkamenetsütiket beállítani. Ez a frissítés oly módon hárítja el a problémát, hogy minden alkalmazás külön tárolja a munkamenetsütiket.

• Certificate Assistant

  CVE-azonosító: CVE-2009-0011

  A következőhöz érhető el: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: A helyi felhasználó manipulálhatjta a fájlokat a Certificate Assistantot futtató másik felhasználó jogosultságaival.

  Leírás: Nem biztonságos fájlművelet lépett fel a Certificate Assistant ideiglenes fájljainak kezelésekor. Ez lehetővé tehette egy helyi felhasználó számára, hogy egy másik, a Certificate Assistant eszközt futtató felhasználó jogosultságaival felülírja a fájlokat. A frissítés az ideiglenes fájlok hatékonyabb kezelésével hárítja el a problémát. A probléma nem érinti a Mac OS X 10.5-ös verziójánál korábbi rendszereket. Köszönjük az Apple-nek.

• ClamAV

  CVE-azonosító: CVE-2008-5050, CVE-2008-5314

  A következőhöz érhető el: Mac OS X Server v10.4.11, Mac OS X Server v10.5.6

  Érintett terület: Többszörös biztonsági rés az ClamAV 0.94 rendszerben

  Leírás: Több biztonsági rés volt a ClamAV 0.94 rendszerben, amelyek közül a legsúlyosabb tetszőleges kódvégrehajtást tett lehetővé. Ez a frissítés úgy hárítja el a hibákat, hogy a ClamAV-t a 0.94.2. verzióra frissíti. A ClamAV kizárólag a Mac OS X Server rendszerekkel kapható. További információkért keresse fel a ClamAV webhelyét: http://www.clamav.net/

• CoreText

  CVE-azonosító: CVE-2009-0012

  A következőhöz érhető el: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott Unicode-tartalmak feldolgozásakor váratlan alkalmazásleállásra vagy tetszőleges programkód végrehajtására került sor.

  Leírás: A CoreTextben lévő Unicode-sztringet feldolgozásakor a halommemória puffertúlcsordulása következhetett be. Ha a CoreText használatával próbált ártó szándékkal létrehozott Unicode-karakterláncokat szerkeszteni, például egy ártó szándékkal létrehozott weboldal megtekintésekor, váratlan alkalmazásleállásra vagy tetszőleges kódvégrehajtásra kerülhetett sor. Ez a frissítés hatékonyabb határérték-ellenőrzéssel hárítja el a problémát. A probléma nem érinti a Mac OS X 10.5-ös verziójánál korábbi rendszereket. Köszönet Rosynának (Unsanity), hogy jelentette a problémát.

• CUPS

  CVE-azonosító: CVE-2008-5183

  A következőkhöz érhető el: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Előfordult, hogy egy ártó szándékkal létrehozott webhely meglátogatása váratlan alkalmazásleálláshoz vezetett.

  Leírás: Az RSS-előfizetések maximális számának túllépése a CUPS webes felületén címke nélküli mutatófeloldási hibát eredményezett. Előfordult, hogy egy ártó szándékkal létrehozott webhely meglátogatása váratlan alkalmazásleálláshoz vezetett. A probléma kiváltásához a támadónak ismernie kellett az érvényes felhasználói hitelesítő adatokat, vagy azoknak mentve kellett lenniük a felhasználó webböngészőjében. A CUPS automatikusan újraindult a probléma megjelenését követően. Ez a frissítés az RSS-előfizetések számának megfelelő kezelésével orvosolja a problémát. A probléma nem érinti a Mac OS X 10.5-ös verziójánál korábbi rendszereket.

• DS Tools

  CVE-azonosító: CVE-2009-0013

  A következőkhöz érhető el: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Előfordult, hogy a dscl eszköznek biztosított jelszavak megjelentek más helyi felhasználóknak is.

  Leírás: Az dscl parancssori eszköz használatakor a jelszavakat az argumentumaiban kellett továbbítani számára, ami miatt esetenként a jelszavak más helyi felhasználóknak is megjelenhettek. A nyilvánosságra került jelszavak között a felhasználók és a rendszergazdák jelszavai is szerepeltek. A frissítés eredményeképpen a jelszó paraméter most már opcionális, és szükség esetén a dscl kérni fogja a jelszót. A probléma elhárítását az Apple kezdeményezte.

• fetchmail

  CVE-azonosító: CVE-2007-4565, CVE-2008-2711

  következőkhöz érhető el: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Többszörös biztonsági rés a fetchmail 6.3.8. verziójában

  Leírás: Több biztonsági rés volt a fetchmail 6.3.8. verziójában, amelyek közül a legsúlyosabb szolgáltatásmegtagadást tett lehetővé. Ez a frissítés a 6.3.9-es verzióra való frissítéssel hárítja el a problémákat. További információkat a fetchmail weboldalán találhat: http://fetchmail.berlios.de/

• Folder Manager

  CVE-azonosító: CVE-2009-0014

  A következőhöz érhető el: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület : Más helyi felhasználók is hozzáférhettek a Letöltések mappához

  Leírás: Az alapértelmezett jogosultságokkal kapcsolatos probléma állt fenn a Folder Managerben. Amikor egy felhasználó törölte a Letöltések mappáját, és a Folder Manager újra létrehozta azt, a mappa bárki számára megtekinthető volt. Ez a frissítés úgy oldja meg a problémát, hogy a Folder Manager korlátozza a jogosultságokat, így a mappa csak az adott felhasználó számára érhető el. Ez a probléma csak a Folder Managert használó alkalmazásokat érinti. Ez a probléma nem érinti a Mac OS X 10.5 előtti rendszereket. Köszönet Graham Perrinnek (CENTRIM, University of Brighton), hogy jelentett a problémát.

• FSEvents

  CVE-azonosító: CVE-2009-0015

  A következőhöz érhető el: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Az FSEvents keretrendszer használatával a helyi felhasználó olyan fájlrendszer-tevékenységeket is láthatott, amelyek egyébként nem lennének elérhetőek.

  Leírás: A hitelesítő adatok kezelésével kapcsolatos probléma állt fenn az fseventsd-ben. Az FSEvents keretrendszer használatával a helyi felhasználó olyan fájlrendszer-tevékenységeket is láthatott, amelyek egyébként nem lennének elérhetőek. Ide tartoznak azoknak a mappáknak a nevei, amelyet a felhasználó egyébként nem láthatna, valamint a mappában egy adott időpontban végzett tevékenység észlelése is. Ez a frissítés a fseventsd hitelesítő adatainak a hatékonyabb ellenőrzésével hárítja el a problémát. A probléma nem érinti a Mac OS X 10.5-ös verziójánál korábbi rendszereket. Köszönjük Mark Dalrymple-nek, hogy jelentette a problémát.

• Network Time

  A következőhöz érhető el: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: A Network Time szolgáltatás konfigurációja frissítve lett

  Leírás: Proaktív biztonsági intézkedésként ez a frissítés módosítja a Network Time szolgáltatás alapértelmezett konfigurációját. Az alapértelmezett ntpd-konfigurációban a rendszeridő és a verzióinformáció már nem lesz elérhető. Mac OS X v10.4.11 rendszereken az új konfiguráció a rendszer újraindítása után lép életbe, ha a Network Time szolgáltatás engedélyezve van.

• perl

  CVE-azonosító: CVE-2008-1927

  Érintett terület: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Az UTF-8 karaktereket tartalmazó reguláris kifejezések használatkor váratlan alkalmazásleállásra vagy tetszőleges kódvégrehajtásra kerülhetett sor.

  Leírás: Bizonyos UTF-8 karaktereket tartalmazó reguláris kifejezések kezelésekor egy memóriasérüléssel kapcsolatos probléma jelentkezett. Előfordult, hogy az ártó szándékkal létrehozott reguláris kifejezések elemzésekor váratlan alkalmazásleállásra vagy tetszőleges kód végrehajtására került sor. Ez a frissítés a reguláris kifejezések további ellenőrzésével hárítja el a problémát.

• Printing

  CVE-azonosító: CVE-2009-0017

  A következőhöz érhető el: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: A helyi felhasználó rendszerszintű jogosultságokat szerezhetett

  Leírás: Hibakezelési probléma állt fenn a csregprinter-ben, ami a halommemória puffertúlcsordulásához vezethetett. Ez lehetővé tehette a helyi felhasználónak, hogy rendszerszintű jogosultságokat szerezzen. A frissítés hatékonyabb hibakezeléssel hárítja el a problémát. Köszönjük Lars Haulinnak, hogy jelentette a problémát.

• python

  CVE-ID: CVE-2008-1679, CVE-2008-1721, CVE-2008-1887, CVE-2008-2315, CVE-2008-2316, CVE-2008-3142, CVE-2008-3144, CVE-2008-4864, CVE-2007-4965, CVE-2008-5031

  A következőhöz érhető el: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Többszörös biztonsági rés a pythonban

  Leírás: Több biztonsági rés állt fenn a python esetén, amelyek közül a legsúlyosabb tetszőleges kódvégrehajtást tett lehetővé. Ez a frissítés a python-projekt javításainak alkalmazásával hárítja el a problémákat.

• Remote Apple Events

  CVE-azonosító: CVE-2009-0018

  A következőhöz érhető el: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Távoli Apple-események küldése bizalmas információk közzétételéhez vezethetett

  Leírás: A Remote Apple Events kiszolgálóban inicializálatlan pufferprobléma volt jelen, amely a hálózati ügyfelek számára a memória tartalmának felfedéséhez vezethetett. A frissítés megfelelő memóriainicializálással hárítja el a problémát. A probléma elhárítását az Apple kezdeményezte.

• Remote Apple Events

  CVE-azonosító: CVE-2009-0019

  A következőhöz érhető el: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Előfordult, hogy a Remote Apple Events-események engedélyezésekor váratlan alkalmazásleállásra vagy bizalmas információk közzétételére került sor

  Leírás: Határértékeken kívüli memóriaelérés a Remote Apple Events-eseményeknél. Előfordult, hogy a Remote Apple Events-események engedélyezésekor váratlan alkalmazásleállásra került sor, vagy a rendszer bizalmas információkat küldött el a hálózati kliensek számára. Ez a frissítés hatékonyabb határérték-ellenőrzéssel hárítja el a problémát. A probléma elhárítását az Apple kezdeményezte.

• Safari RSS

  CVE-azonosító: CVE-2009-0137

  A következőhöz érhető el: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hírcsatornák URL-címének a használatakor alkalmazásleállásra vagy tetszőleges programkód végrehajtására került sor.

  Leírás: Több bevitelérvényesítési probléma a Safariban a hírcsatornák URL-címének a kezelésekor. A probléma lehetővé tette tetszőleges JavaScript futtatását a helyi biztonsági zónában. Ez a frissítés a beágyazott JavaScript hatékonyabb kezelésével orvosolja a hírcsatornák URL-címének a kezelését. Köszönet Clint Ruohónak (Laconic Security), Billy Riosnak (Microsoft) és Brian Mastenbrooknak, hogy jelentették ezeket a problémákat.

• servermgrd

  CVE-ID: CVE-2009-0138

  A következőhöz érhető el: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: A távoli támadók érvényes hitelesítő adatok nélkül is hozzáférhettek a Server Managerhez.

  Leírás: A Server Manager hitelesítő adatok érvényesítése során fennálló hibája lehetővé tehette egy távoli támadó számára a rendszer konfigurációjának módosítását. A frissítés a hitelesítő adatok további ellenőrzésével hárítja el a problémát. A probléma nem érinti a Mac OS X 10.5-ös verziójánál korábbi rendszereket. Köszönjük az Apple-nek.

• SMB

  CVE-ID: CVE-2009-0139

  A következőhöz érhető el: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Az ártó szándékkal létrehozott SMB-fájlrendszerhez való csatlakozás váratlan rendszerleálláshoz vagy tetszőleges, rendszergazdai jogosultságokkal történő kódfuttatáshoz vezethetett.

  Leírás: Az SMB-fájlrendszerben bekövetkező egészszám-túlcsordulás a halommemória puffertúlcsordulásához vezethetett. Az ártó szándékkal létrehozott SMB-fájlrendszerhez való csatlakozás váratlan rendszerleálláshoz vagy tetszőleges, rendszergazdai jogosultságokkal történő kódfuttatáshoz vezethetett. Ez a frissítés hatékonyabb határérték-ellenőrzéssel hárítja el a problémát. A probléma nem érinti a Mac OS X 10.5-ös verziójánál korábbi rendszereket. Köszönjük az Apple-nek.

• SMB

  CVE-azonosító: CVE-2009-0140

  A következőhöz érhető el: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Az ártó szándékkal létrehozott SMB-fájlrendszerhez való csatlakozás váratlan rendszerleálláshoz vezethetett.

  Leírás: A memória kimerülésével kapcsolatos probléma az SMB-fájlrendszer fájlrendszernevek kezelése terén. Az ártó szándékkal létrehozott SMB-fájlrendszerhez való csatlakozás váratlan rendszerleálláshoz vezethetett. A frissítés úgy orvosolja a problémát, hogy korlátozza a kliens által a fájlrendszer nevei számára kiosztott memória mennyiségét. A probléma elhárítását az Apple kezdeményezte.

• SquirrelMail

  CVE-azonosító: CVE-2008-2379, CVE-2008-3663

  A következőhöz érhető el: Mac OS X Server v10.4.11, Mac OS X Server v10.5.6

  Érintett terület: Többszörös biztonsági rés a SquirrelMailben

  Leírás: A SquirrelMail frissítve lett az 1.4.17-es verzióra, ami számos biztonsági rést orvosolt, amelyek közül a legsúlyosabb webhelyek közötti, parancsfájlt alkalmazó támadást tett lehetővé. További információk a SquirrelMail weboldalán találhatók: http://www.SquirrelMail.org/

• X11

  CVE-azonosító: CVE-2008-1377, CVE-2008-1379, CVE-2008-2360, CVE-2008-2361, CVE-2008-2362

  A következőhöz érhető el: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: Többszörös biztonsági rés az X11 serveren

  Leírás: Többszörös biztonsági rés az X11 serveren. A problémák közül közül a legsúlyosabb tetszőleges kódvégrehajtást tett lehetővé az X11 kiszolgálót futtató felhasználó jogosultságaival, amennyiben a támadó hitelesíteni tudta magát az X11 kiszolgálón. Ez a frissítés az X.Org javításainak az alkalmazásával orvosolja a problémákat. További információkért keresse fel az X.Org webhelyét: http://www.x.org/wiki/Development/Security

• X11

  CVE-azonosító: CVE-2006-1861, CVE-2006-3467, CVE-2007-1351, CVE-2008-1806, CVE-2008-1807, CVE-2008-1808

  A következőhöz érhető el: Mac OS X v10.4.11, Mac OS X Server v10.4.11

  Érintett terület: Több biztonsági rés a FreeType 2.1.4. verziójában

  Leírás: Több biztonsági rés volt a FreeType 2.1.4 rendszerben, amelyek közül a legsúlyosabb tetszőleges kódvégrehajtást tett lehetővé az ártó szándékkal létrehozott betűtípus feldolgozásakor. A frissítés a FreeType 2.3.6. verziójából származó biztonsági javítások beépítésével hárítja el a problémákat. További információkért keresse fel a FreeType webhelyét: http://www.freetype.org/ Ezek a problémák már orvosolva lettek a Mac OS X v10.5.6 operációs rendszert futtató rendszereken.

• X11

  CVE-azonosító: CVE-2007-1351, CVE-2007-1352, CVE-2007-1667

  A következőkhöz érhető el: Mac OS X v10.4.11, Mac OS X Server v10.4.11

  Érintett terület: Több biztonsági rés a LibX11-ben

  Leírás: Több biztonsági rés volt a LibX11-ben, amelyek közül a legsúlyosabb tetszőleges kódvégrehajtást tett lehetővé az ártó szándékkal létrehozott betűtípus feldolgozásakor. Ez a frissítés az X.Org javításainak az alkalmazásával orvosolja a problémákat. További információkért keresse fel az X.Org webhelyét: http://www.x.org/wiki/Development/Security Ezek a problémák nem érintik a Mac OS X 10.5-ös vagy újabb rendszereket.

• XTerm

  CVE-azonosító: CVE-2009-0141

  A következőhöz érhető el: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Érintett terület: A helyi felhasználó közvetlenül küldhetett információkat egy másik felhasználó Xterm rendszerébe.

  Leírás: Egy engedélyekkel kapcsolatos hiba állt fenn az Xtermben. A luittal való használat esetén az Xterm bárki számára elérhető tty eszközöket hozott létre. Ez a frissítés úgy oldja meg a problémát, hogy az Xterm korlátozza a jogosultságokat, így a tty eszközökhöz csak a felhasználó férhet hozzá.