Az OS X Lion 10.7.4 és a 2012-002-es biztonsági frissítés a Szoftverfrissítés funkció segítségével, illetve az Apple letöltési oldaláról tölthető le és telepíthető.
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma teljes körű kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. Az Apple-termékekkel kapcsolatos biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
Az Apple termékbiztonsági PGP-kulcsáról Az Apple termékbiztonsági PGP-kulcsának használata című cikkben talál bővebb információkat.
Ahol csak lehetséges, a cikk CVE-azonosítójuk alapján hivatkozik az egyes biztonsági résekre.
Más biztonsági frissítésekről Az Apple biztonsági frissítései című cikkből tájékozódhat.
OS X Lion 10.7.4 és a 2012-002-es biztonsági frissítés
-
Bejelentkezési ablak
A következőkhöz érhető el: OS X Lion 10.7.3, OS X Lion Server 10.7.3
Érintett terület: Távoli rendszergazdák és a rendszerhez fizikai hozzáféréssel rendelkező személyek fiókadatokhoz juthatnak hozzá
Leírás: A hálózati fiókokba történő bejelentkezés kezelésével kapcsolatos probléma állt fenn. A bejelentkezési folyamat során a rendszer bizalmas adatokat rögzített a rendszernaplóban, ahol más felhasználók megtekinthették őket. A bizalmas adatok a mentett naplófájlokban a frissítés telepítése után is megmaradhatnak. A probléma kizárólag azokat az OS X Lion 10.7.3 rendszerű számítógépeket érinti, amelyeken a felhasználó a korábbi File Vault szolgáltatást és/vagy hálózathoz csatlakoztatott saját könyvtárakat használnak. További tudnivalók a fennmaradó rekordok biztonságos eltávolításáról http://support.apple.com/kb/TS4272?viewlocale=hu_HU.
CVE-azonosító
CVE-2012-0652 : Terry Reeves és Tim Winningham (Ohiói Állami Egyetem), Markus „Jaroneko” Räty (Finn Művészeti Akadémia), Jaakko Pero (Aaltói Egyetem), Mark Cohen (Oregoni Állami Egyetem), Paul Nelson
-
Bluetooth
A következőkhöz érhető el: OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: Egy helyi felhasználó rendszerszintű jogosultsággal tetszőleges programkódot hajthat végre
Leírás: Fájlok közötti átmeneti versenyhelyzeti probléma állt fenn a blued inicializációs rutinjában.
CVE-azonosító
CVE-2012-0649 : Aaron Sigel (vtty.com)
-
curl
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: A támadók vissza tudták fejteni az SSL protokollal védett adatok titkosítását.
Leírás: Léteznek az SSL 3.0 és a TLS 1.0 titkosítását érintő ismert támadások, amikor egy rejtjelcsomag blokkrejtjelet használ CBC-módban. A curl letiltotta az „üres töredékek” elleni fellépést, ami megakadályozta ezeket a támadásokat. A probléma az üres töredékek engedélyezésével megoldódott.
CVE-azonosító
CVE-2011-3389 : Apple
-
curl
A következőkhöz érhető el: OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: A curl, illetve a libcurl ártó szándékkal létrehozott URL-címmel való használata protokollspecifikus adatinjektálásos támadásokat tehet lehetővé.
Leírás: Adatinjektálással kapcsolatos probléma állt fenn az URL-címek curl általi kezelésében. A problémát az URL-címek érvényesítésének javítása révén megszüntették. A probléma nem érinti az OS X Lion előtti rendszereket.
CVE-azonosító
CVE-2012-0036
-
Címtárszolgáltatás
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Érintett terület: Távoli támadó bizalmas adatokhoz juthat hozzá
Leírás: Több probléma állt fenn a hálózatról érkező üzenetek címtárkiszolgáló általi kezelésével kapcsolatban. Ártó szándékkal létrehozott üzenet küldésével a távoli támadók elérhették, hogy a címtárkiszolgáló közzétegye a címtere memóriáját, adott esetben felfedve a fiókok hitelesítő adatait és más bizalmas adatokat. Ez a hiba az OS X Lion rendszereket nem érinti. A címtárkiszolgáló az OS X nem kiszolgálói telepítéseiben alapértelmezés szerint le van tiltva.
CVE-azonosító
CVE-2012-0651 : Agustin Azubel
-
HFS
A következőkhöz érhető el: OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: Ártó szándékkal létrehozott lemezkép csatlakoztatása a rendszer leállásához vagy tetszőleges programkód végrehajtásához vezethet
Leírás: Egészszám-alulcsordulási probléma állt fenn a HFS-katalógusfájlok kezelésével kapcsolatban.
CVE-azonosító
CVE-2012-0642 : pod2g
-
ImageIO
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott TIFF-fájlok megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezetett.
Leírás: Puffertúlcsordulást okozó probléma állt fenn a CCITT Group 4 kódolású TIFF-fájlok ImageIO általi kezelésével összefüggésben. Ez a hiba az OS X Lion rendszereket nem érinti.
CVE-azonosító
CVE-2011-0241 : Cyril CATTIAUX (Tessi Technologies)
-
ImageIO
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Érintett terület: A libpng több biztonsági réssel rendelkezett.
Leírás: A libpng a 1.5.5-ös verzióra frissül több biztonsági rés megszüntetése érdekében, amelyek közül a legsúlyosabb információk közzétételét tette lehetővé. További információk a libpng webhelyén találhatók: http://www.libpng.org/pub/png/libpng.html
CVE-azonosító
CVE-2011-2692
CVE-2011-3328
-
ImageIO
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott TIFF-fájlok megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezetett.
Leírás: A libtiff könyvtárban a ThunderScan kódolású TIFF-képfájlok kezelésével összefüggő puffertúlcsordulásos probléma állt fenn. A problémát a libtiff 3.9.5-ös verzióra frissítésével megszüntették.
CVE-azonosító
CVE-2011-1167
-
Kernel
A következőkhöz érhető el: OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: A FileVault használatakor a lemez titkosítatlan felhasználói adatokat tartalmazhat
Leírás: A hibernáláshoz használt altatási lemezkép kernel általi kezelésével kapcsolatos hiba állt fenn, amelynek következtében a lemezen bizonyos adatok titkosítatlanul maradtak még a FileVault engedélyezése esetén is. A problémát az altatási lemezkép kezelésének továbbfejlesztésével és a meglévő altatási lemezkép OS X 10.7.4 rendszerre való frissítéskori felülírásával orvosolták. A probléma nem érinti az OS X Lion előtti rendszereket.
CVE-azonosító
CVE-2011-3212 : Felix Groebert (a Google biztonsági csapatának tagja)
-
libarchive
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: Előfordult, hogy egy ártó szándékkal létrehozott archívum kicsomagolása váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezetett.
Leírás: Több puffertúlcsordulást okozó probléma állt fenn a tar-archívumok és az iso9660-fájlok kezelésével összefüggésben.
CVE-azonosító
CVE-2011-1777
CVE-2011-1778
-
libsecurity
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: Előfordult, hogy egy ártó szándékkal létrehozott X.509-tanúsítvány ellenőrzése – például ártó szándékkal létrehozott webhely meglátogatásakor – váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezetett.
Leírás: Az X.509-tanúsítványok kezelésében nem inicializált memória-hozzáféréssel kapcsolatos probléma állt fenn.
CVE-azonosító
CVE-2012-0654 : Dirk-Willem van Gulik (WebWeaving.org), Guilherme Prado (Conselho da Justiça Federal), Ryan Sleevi (Google)
-
libsecurity
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: A nem biztonságos hosszúságú RSA-kulccsal rendelkező X.509-tanúsítványok támogatása hamisítással, illetve információk felfedésével kapcsolatos veszélyeknek teheti ki a felhasználót.
Leírás: A libsecurity elfogadta a nem biztonságos hosszúságú RSA-kulccsal aláírt tanúsítványokat. A hibát orvosolandó a rendszer elutasítja az 1024 bitnél kisebb RSA-kulcsot tartalmazó tanúsítványokat.
CVE-azonosító
CVE-2012-0655
-
libxml
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: Az ártó szándékkal létrehozott weboldalak megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethet
Leírás: A libxml könyvtárban több biztonsági rés is jelen volt, amelyek közül a legsúlyosabb az alkalmazás nem várt leállásához vagy tetszőleges programkód végrehajtásához vezethet. A problémákat a megfelelő, más fejlesztők által az eredeti fejlesztők részére benyújtott javítások alkalmazásával orvosolták.
CVE-azonosító
CVE-2011-1944 : Chris Evans (a Google Chrome biztonsági csapatának tagja)
CVE-2011-2821 : Yang Dingning (NCNIPC, a Kínai Tudományos Akadémia továbbképző egyeteme)
CVE-2011-2834 : Yang Dingning (NCNIPC, a Kínai Tudományos Akadémia továbbképző egyeteme)
CVE-2011-3919 : Jüri Aedla
-
LoginUIFramework
A következőkhöz érhető el: OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: Ha engedélyezve van a Vendég felhasználó, a számítógéphez fizikai hozzáféréssel rendelkező felhasználó jelszó megadása nélkül jelentkezhet be a Vendég felhasználótól eltérő felhasználói fiókba.
Leírás: Versenyhelyzeti probléma állt fenn a Vendég felhasználóként való bejelentkezések kezelésével összefüggésben. A probléma nem érinti az OS X Lion előtti rendszereket.
CVE-azonosító
CVE-2012-0656 : Francisco Gómez (espectalll123)
-
PHP
A következőkhöz érhető el: OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: A PHP több biztonsági rése.
Leírás: A PHP a 5.3.10-es verzióra frissül több biztonsági rés megszüntetése érdekében, amelyek közül a legsúlyosabb tetszőleges kódvégrehajtást tett lehetővé. További információt a PHP webhelyén talál a következő címen: http://www.php.net
CVE-azonosító
CVE-2011-4566
CVE-2011-4885
CVE-2012-0830
-
Quartz Composer
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: A számítógéphez fizikai hozzáféréssel rendelkező felhasználó az RSS Visualizer képernyővédő használata esetén zárolt képernyőről elindíthatja a Safari böngészőt.
Leírás: Hozzáférés-szabályozási probléma állt fenn a képernyővédők Quartz Composer általi kezelésével kapcsolatban. A hibát orvosolandó a rendszer hatékonyabban ellenőrzi, hogy a képernyő zárolva van-e.
CVE-azonosító
CVE-2012-0657 : Aaron Sigel (vtty.com)
-
QuickTime
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: Az ártó szándékkal létrehozott filmfájlok progresszív letöltés közbeni megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethet.
Leírás: Puffertúlcsordulást okozó probléma állt fenn a hangmintatáblák kezelésével összefüggésben.
CVE-azonosító
CVE-2012-0658 : Luigi Auriemma (a HP Zero Day Initiative kezdeményezésének közreműködőjeként)
-
QuickTime
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott MPEG-fájlok megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezetett.
Leírás: Egészszám-túlcsordulás történt az MPEG-fájlok kezelésekor.
CVE-azonosító
CVE-2012-0659 : Anonim kutató a HP Zero Day Initiative kezdeményezésének közreműködőjeként
-
QuickTime
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott MPEG-fájlok megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezetett.
Leírás: Puffer-alulcsordulást okozó probléma állt fenn az MPEG-fájlok kezelésével összefüggésben.
CVE-azonosító
CVE-2012-0660 : Justin Kim (Microsoft) és a Microsoft Vulnerability Research
-
QuickTime
A következőkhöz érhető el: OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott filmfájlok megtekintése esetén váratlan alkalmazásleállásra vagy tetszőleges programkód végrehajtására került sor.
Leírás: Felszabadítás utáni használatból eredő probléma állt fenn a JPEG2000 kódolású filmfájlok kezelésével kapcsolatban. A probléma nem érinti az OS X Lion előtti rendszereket.
CVE-azonosító
CVE-2012-0661 : Damian Put (a HP Zero Day Initiative kezdeményezésének közreműködőjeként)
-
Ruby
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: A Ruby több biztonsági réssel rendelkezett.
Leírás: A Ruby az 1.8.7-p357 verzióra frissül több biztonsági rés megszüntetése érdekében.
CVE-azonosító
CVE-2011-1004
CVE-2011-1005
CVE-2011-4815
-
Samba
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Érintett terület: Ha aktiválva volt az SMB-fájlmegosztás, hitelesítetlen távoli támadók szolgáltatásmegtagadást vagy tetszőleges programkód végrehajtását tudták előidézni rendszerjogokkal.
Leírás: Több puffertúlcsordulási probléma állt fenn a távoli eljáráshívások Samba általi kezelésével kapcsolatban. Ártó szándékkal létrehozott csomag küldésével a hitelesítetlen távoli támadók szolgáltatásmegtagadást vagy tetszőleges programkód végrehajtását tudták előidézni rendszerjogokkal. Ezek a hibák az OS X Lion rendszereket nem érintik.
CVE-azonosító
CVE-2012-0870 : Andy Davis (NGS Secure)
CVE-2012-1182 : Anonim kutató a HP Zero Day Initiative kezdeményezésének közreműködőjeként
-
Biztonsági keretrendszer
A következőkhöz érhető el: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: Egy távoli támadó váratlan alkalmazásleállást tudott előidézni, illetve tetszőleges programkódot tudott végrehajtani.
Leírás: Egészszám-túlcsordulási probléma állt fenn a biztonsági keretrendszerben. A nem megbízható bemeneti adatok biztonsági keretrendszerbeli feldolgozása memóriasérülést okozhatott. A probléma nem érinti a 32 bites folyamatokat.
CVE-azonosító
CVE-2012-0662 : aazubel (a HP Zero Day Initiative kezdeményezésének közreműködőjeként)
-
Time Machine
A következőkhöz érhető el: OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: Távoli támadók hozzáférhetnek a felhasználó Time Machine szolgáltatásbeli biztonsági mentési hitelesítő adataihoz.
Leírás: A felhasználó kijelölhet egy AirPort bázisállomáshoz csatlakoztatott Time Capsule eszközt vagy távoli AFP-kötetet a Time Machine szolgáltatással készült biztonsági másolatok tárolására. Az AirPort bázisállomás és a Time Capsule 7.6-os firmware-frissítésétől kezdődően a Time Capsule eszközök és a bázisállomások biztonságos SRP-alapú hitelesítési mechanizmus AFP-n keresztüli használatát támogatják. A Time Machine ugyanakkor nem követelte meg az SRP-alapú hitelesítési mechanizmus használatát a későbbi biztonsági mentési műveletek során, még akkor sem, ha a Time Machine eredetileg arra volt konfigurálva, vagy korábban bármikor csatlakozott egy azt támogató Time Capsule eszközhöz vagy bázisállomáshoz. A távoli kötet meghamisítására képes támadók hozzáférhettek a felhasználó Time Capsule eszközön használt hitelesítő adataihoz, jóllehet a felhasználó rendszere által küldött biztonsági mentési adatokhoz nem. A hibát orvosolandó a rendszer megköveteli az SRP-alapú hitelesítési mechanizmus használatát, ha a biztonsági mentés célja azt bármikor támogatta.
CVE-azonosító
CVE-2012-0675 : Renaud Deraison (Tenable Network Security, Inc.)
-
X11
A következőkhöz érhető el: OS X Lion 10.7–10.7.3, OS X Lion Server 10.7–10.7.3
Érintett terület: Előfordult, hogy a LZW-tömörítésű adatok feldolgozásához a libXfont könyvtárt használó alkalmazások esetén váratlan alkalmazásleállásra vagy tetszőleges programkód végrehajtására került sor.
Leírás: Puffertúlcsordulást okozó probléma állt fenn az LZW-tömörítésű adatok libXfont általi kezelésével összefüggésben. A probléma a libXfont 1.4.4-es verziójára történő frissítéssel megoldódott.
CVE-azonosító
CVE-2011-2895 : Tomas Hoger (Red Hat)
Megjegyzés: A frissítés ezenkívül szűri a dinamikus csatolókörnyezeti változókat az egyéni környezetnek a felhasználó saját könyvtárában található tulajdonságlistájából, ha van ilyen.