A 2009-003-as biztonsági frissítés és a Mac OS X 10.5.8 biztonsági változásjegyzéke

Ez a dokumentum a 2009-003-as biztonsági frissítés és a Mac OS X v10.5.8 biztonsági változásjegyzékét ismerteti, amelyet a Szoftverfrissítés beállításaiban vagy az Apple letöltési webhelyéről tölthet le és telepíthet.

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma teljes körű kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. Az Apple-termékekkel kapcsolatos biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

Az Apple termékbiztonsági PGP-kulcsáról „Az Apple termékbiztonsági PGP-kulcs használata” című cikkben talál bővebb információkat.

Ahol csak lehetséges, a cikk a CVE-azonosítójuk alapján hivatkozik az egyes biztonsági résekre.

Más biztonsági frissítésekről „Az Apple biztonsági frissítései” című cikkből tájékozódhat.

A 2009-003-as biztonsági frissítés és a Mac OS X 10.5.8

• bzip2

  CVE-azonosító: CVE-2008-1372

  A következőkhöz érhető el: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: ártó szándékkal létrehozott adatok kitömörítése váratlan rendszerleálláshoz vezethetett

  Leírás: határértéken kívüli memóriahozzáférés történt a bzip2-ben. Az ártó szándékkal létrehozott tömörített fájlok megnyitása váratlan alkalmazásleállást okozhatott. Ez a frissítés a bzip2 1.0.5-ös verzióra való frissítésével hárítja el a problémát. További információért látogasson el a bzip2 webhelyére: http://bzip.org/

• CFNetwork

  CVE-azonosító: CVE-2009-1723

  A következőkhöz érhető el: Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: az ártó szándékkal létrehozott webhelyek megváltoztathatták a megjelenített webhely-URL-t a tanúsítvánnyal kapcsolatos figyelmeztetésekben

  Leírás: ha a Safari 302-es átirányítással ért el egy webhelyet, és a tanúsítvánnyal kapcsolatos figyelmeztetés jelent meg, a figyelmeztetés az aktuális webhely URL-je helyett az eredeti webhely URL-jét tartalmazta. Így az olyan, ártó szándékkal létrehozott webhelyek, amelyeket egy, a felhasználó által megbízhatónak tartott webhelyen lévő nyílt átirányítóval értek el, megváltoztathatta a megjelenített webhely-URL-t a tanúsítvánnyal kapcsolatos figyelmeztetésekben. A problémát azzal küszöböltük ki, hogy a rendszer a helyes URL-t adja vissza a mögöttes CFNetwork rétegben. A probléma nem érinti a Mac OS X 10.5-ös verziójánál korábbi rendszereket. Köszönjük Kevin Daynek (Your.Org) és Jason Muellernek (Indiana University), hogy jelentették a problémát.

• ColorSync

  CVE-azonosító: CVE-2009-1726

  A következőkhöz érhető el: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: az ártó szándékkal létrehozott, beágyazott ColorSync-profillal rendelkező képek megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett

  Leírás: halompuffer-túlcsordulás lépett fel a beágyazott ColorSync-profillal rendelkező képek kezelése során. Előfordult, hogy ártó szándékkal létrehozott, ColorSync-profillal rendelkező képek megnyitása esetén váratlan alkalmazásleállásra vagy tetszőleges programkód végrehajtására került sor. Ez a frissítés a ColorSync-profilok további ellenőrzésével hárítja el a problémát. Köszönjük Chris Evansnek (Google Security Team), hogy jelentette a problémát.

• CoreTypes

  CVE-azonosító: CVE-2009-1727

  A következőhöz érhető el: Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: a felhasználók nem kaptak figyelmeztetést a potenciálisan nem biztonságos tartalomtípusok megnyitása előtt

  Leírás: ez a frissítés kiterjeszti a rendszer azon listáját, amelyen a bizonyos körülmények között, például egy webhelyről történő letöltéskor potenciálisan nem biztonságosként megjelölendő tartalomtípusok szerepelnek. Bár ezek a tartalomtípusok nem indulnak el automatikusan, kézi megnyitás esetén rosszindulatú JavaScript-adatcsomagok futtatásához vezethetnek. A frissítés javítja a rendszer azon képességét, hogy értesítse a felhasználókat a Safari által használt tartalomtípusok kezelése előtt. Köszönjük Brian Mastenbrooknak és Clint Ruohónak (Laconic Security), hogy jelentették a problémát.

• Dock

  CVE-azonosító: CVE-2009-0151

  A következőkhöz érhető el: Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: a zárolt rendszerekhez fizikai hozzáféréssel rendelkező személyek négyujjas Multi-Touch kézmozdulatokat használhattak

  Leírás: a képernyővédő nem blokkolta a négyujjas Multi-Touch kézmozdulatokat, amelyek segítségével a zárolt rendszerekhez fizikai hozzáféréssel rendelkező személyek kezelhették az alkalmazásokat és használhatták az Expose-t. Ez a frissítés a Multi-Touch kézmozdulatok a képernyővédő futása közbeni helyes blokkolásával hárítja el a problémát. Ez a probléma csak a Multi-Touch érintőpaddal rendelkező rendszereket érinti.

• Image RAW

  CVE-azonosító: CVE-2009-1728

  A következőkhöz érhető el: Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: az ártó szándékkal létrehozott Canon Raw-képek megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett

  Leírás: verempuffer-túlcsordulás lépett fel a Canon Raw-képek kezelése során. Az ártó szándékkal létrehozott Canon Raw-képek megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett. Ez a frissítés hatékonyabb határérték-ellenőrzéssel hárítja el a problémát. A Mac OS X 10.4-es rendszerek esetében ezt a problémát már elhárítottuk a Digital Camera RAW Compatibility Update 2.6-os frissítésben. Köszönjük Chris Riesnek (Carnegie Mellon University Computing Services) a probléma jelentését.

• ImageIO

  CVE-azonosító: CVE-2009-1722

  A következőkhöz érhető el: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: az ártó szándékkal létrehozott OpenEXR-képek megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett

  Leírás: halompuffer-túlcsordulás lépett fel az ImageIO OpenEXR-képkezelésében. Az ártó szándékkal létrehozott OpenEXR-képek megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett. Ez a frissítés az OpenEXR 1.6.1-es verzióra való frissítésével hárítja el a problémát. Köszönjük Lurene Greniernek (Sourcefire VRT) és Chris Riesnek (Carnegie Mellon University Computing Services) a probléma jelentését.

• ImageIO

  CVE-azonosító: CVE-2009-1721

  A következőkhöz érhető el: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: az ártó szándékkal létrehozott OpenEXR-képek megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett

  Leírás: az ImageIO OpenEXR-képkezelésében nem inicializált memóriához való hozzáféréssel kapcsolatos probléma merült fel. Az ártó szándékkal létrehozott OpenEXR-képek megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett. Ez a frissítés megfelelő memóriainicializálással és az OpenEXR-képek további ellenőrzésével hárítja el a problémát. A probléma elhárítását az Apple kezdeményezte.

• ImageIO

  CVE-azonosító: CVE-2009-1720

  A következőkhöz érhető el: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: az ártó szándékkal létrehozott OpenEXR-képek megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett

  Leírás: az ImageIO OpenEXR-képkezelésében több egészszám-túlcsordulás lépett fel. Az ártó szándékkal létrehozott OpenEXR-képek megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett. Ez a frissítés hatékonyabb határérték-ellenőrzéssel hárítja el a problémákat. A probléma elhárítását az Apple kezdeményezte.

• ImageIO

  CVE-azonosító: CVE-2009-2188

  A következőkhöz érhető el: Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: az ártó szándékkal létrehozott képek megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett

  Leírás: az ImageIO EXIF-metaadatkezelésében puffertúlcsordulás lépett fel. Az ártó szándékkal létrehozott képek megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethet. Ez a frissítés hatékonyabb határérték-ellenőrzéssel hárítja el a problémát. A probléma nem érinti a Mac OS X 10.5-ös verziójánál korábbi rendszereket.

• ImageIO

  CVE-azonosító: CVE-2009-0040

  A következőkhöz érhető el: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: az ártó szándékkal létrehozott PNG-képek feldolgozása váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett

  Leírás: a PNG-képkezelésben nem inicializált mutatóval kapcsolatos probléma merült fel. Az ártó szándékkal létrehozott PNG-képek feldolgozása váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett. Ez a frissítés a PNG-képek további ellenőrzésével hárítja el a problémát. Köszönjük Tavis Ormandynak (Google Security Team), hogy jelentette a problémát.

• Kernel

  CVE-azonosító: CVE-2009-1235

  A következőkhöz érhető el: Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: a helyi felhasználók rendszerjogosultságokhoz juthattak

  Leírás: az fcntl-rendszerhívások kernel általi kezelésében implementálási hiba lépett fel. A helyi felhasználók rendszerjogosultságok birtokában felülírhatták a kernelmemóriát, és tetszőleges programkódot hajthattak végre. Ez a frissítés az fcntl-rendszerhívások kezelésének javításával hárítja el a problémát. Köszönjük Razvan Musaloiu-E.-nek (Johns Hopkins University, HiNRG) a probléma jelentését.

• launchd

  CVE-azonosító: CVE-2009-2190

  A következőkhöz érhető el: Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: ha túl sok kapcsolatot nyitottak meg egy inetd-alapú launchd-szolgáltatáshoz, az szolgáltatásmegtagadáshoz vezethetett

  Leírás: ha túl sok kapcsolatot nyitottak meg egy inetd-alapú launchd-szolgáltatáshoz, előfordult, hogy a launchd a rendszer következő újraindításáig nem szolgálta ki a bejövő kapcsolatokat. Ez a frissítés hatékonyabb hibakezeléssel hárítja el a problémát.

• Login Window

  CVE-azonosító: CVE-2009-2191

  A következőkhöz érhető el: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: a Bejelentkezési ablakban lévő, formátum-karakterlánccal kapcsolatos probléma váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett

  Leírás: a Bejelentkezési ablak alkalmazásnév-kezelésében található, formátum-karakterlánccal kapcsolatos probléma váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett. Ez a frissítés az alkalmazásnevek kezelésének javításával hárítja el a problémát. Köszönjük Alfredo Pesolinak (0xcafebabe.it) a probléma jelentését.

• MobileMe

  CVE-azonosító: CVE-2009-2192

  A következőkhöz érhető el: Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: a MobileMe-ből való kijelentkezés nem távolított el minden hitelesítő adatot

  Leírás: a MobileMe beállítási ablakában logikai probléma merült fel. A beállítási ablakból való kijelentkezés nem törölt minden hitelesítő adatot. A helyi felhasználói fiókhoz hozzáféréssel rendelkező személyek továbbra is hozzáférhettek az azon MobileMe-fiókhoz társított egyéb rendszerekhez, amelybe korábban bejelentkeztek az adott helyi fiókban. Ez a frissítés az összes hitelesítő adat kijelentkezéskor való törlésével hárítja el a problémát.

• Networking

  CVE-azonosító: CVE-2009-2193

  A következőkhöz érhető el: Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: az ártó szándékkal létrehozott AppleTalk-válaszcsomagok fogadása tetszőleges programkód rendszerjogosultságokkal való végrehajtásához vagy váratlan rendszerleálláshoz vezethetett

  Leírás: az AppleTalk-válaszcsomagok kernel általi kezelésében puffertúlcsordulás lépett fel. Az ártó szándékkal létrehozott AppleTalk-válaszcsomagok fogadása tetszőleges programkód rendszerjogosultságokkal való végrehajtásához vagy váratlan rendszerleálláshoz vezethetett. Ez a frissítés az AppleTalk-válaszcsomagok ellenőrzésének javításával hárítja el a problémát. Köszönjük Ilja van Sprundelnek (IOActive) a probléma jelentését.

• Networking

  CVE-azonosító: CVE-2009-2194

  A következőkhöz érhető el: Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: a helyi felhasználók váratlan rendszerleállást okozhattak

  Leírás: a fájlleírók helyi alrétegeken való megosztásának kezelésében szinkronizációs probléma lépett fel. A helyi felhasználók fájlleírókat tartalmazó üzenetek fogadó nélküli alrétegekre történő küldésével váratlan rendszerleállást okozhattak. Ez a frissítés a fájlleíró-megosztás kezelésének javításával hárítja el a problémát. Köszönjük Bennet Yee-nek (Google Inc.) a probléma jelentését.

• XQuery

  CVE-azonosító: CVE-2008-0674

  A következőkhöz érhető el: Mac OS X 10.5–10.5.7, Mac OS X Server 10.5–10.5.7

  Érintett terület: az ártó szándékkal létrehozott XML-tartalmak feldolgozása tetszőleges kódvégrehajtást okozhatott

  Leírás: az XQueryben használt Perl Compatible Regular Expressions (PCRE) könyvtárban található reguláris kifejezések karakterosztály-kezelésében puffertúlcsordulás lépett fel. Ez lehetővé tette a távoli támadók számára, hogy tetszőleges programkódot hajtsanak végre egy olyan karakterosztályt tartalmazó reguláris kifejezéssel, amely számos 255-nél nagyobb Unicode-kódú karaktert tartalmaz. Ez a frissítés a PCRE 7.6-os verzióra való frissítésével hárítja el a problémát.