Informazioni sul contenuto di sicurezza di OS X Server 3.0

Leggi le informazioni sul contenuto di sicurezza di OS X Server 3.0

In questo documento viene descritto il contenuto di sicurezza di OS X Server 3.0.

Per proteggere i propri clienti, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Per ulteriori informazioni, consulta il sito web sulla sicurezza dei prodotti Apple.

Per informazioni sulla chiave PGP per la sicurezza dei prodotti Apple, consulta Come usare la chiave PGP per la sicurezza dei prodotti Apple.

Quando possibile, vengono utilizzati ID CVE per fornire ulteriori informazioni sulle vulnerabilità.

Per informazioni su altri aggiornamenti di sicurezza, consulta Aggiornamenti di sicurezza Apple.

OS X Server 3.0

• Gestore profilo

  Disponibile per: OS X Mavericks 10.9 o versioni successive

  Impatto: un malintenzionato collegato in remoto potrebbe causare un DoS ("Denial of Service")

  Descrizione: la gemma JSON contenuta in Ruby provoca un'allocazione permanente della memoria durante il parsing di determinati costrutti nel suo input. Un utente malintenzionato può servirsene per sfruttare tutta la memoria disponibile causando un DoS. Questo problema è stato risolto attraverso un'ulteriore convalida dei dati JSON.

  CVE-ID

  CVE-2013-0269

• Gestore profilo

  Disponibile per: OS X Mavericks 10.9 o versioni successive

  Impatto: potrebbero verificarsi diversi problemi in Ruby on Rails

  Descrizione: si verificano diversi problemi in Ruby on Rails, il più grave dei quali può comportare uno scripting di tipo cross-site. Questi problemi sono stati risolti aggiornando l'implementazione di Rails utilizzata da Gestore profilo alla versione 2.3.18.

  CVE-ID

  CVE-2013-1854

  CVE-2013-1855

  CVE-2013-1856

  CVE-2013-1857

• FreeRADIUS

  Disponibile per: OS X Mavericks 10.9 o versioni successive

  Impatto: un malintenzionato collegato in remoto potrebbe causare un DoS o l'esecuzione di codice arbitrario

  Descrizione: nel parsing del timestamp di tipo "not after" all'interno di un certificato client si verifica un sovraccarico del buffer durante l'utilizzo di metodi EAP basati su TLS. Questo problema è stato risolto aggiornando FreeRADIUS alla versione 2.2.0.

  CVE-ID

  CVE-2012-3547

• App Server

  Disponibile per: OS X Mavericks 10.9 o versioni successive

  Impatto: il server potrebbe utilizzare un certificato di fallback durante l'autenticazione

  Descrizione: a causa di un problema logico il certificato selezionato dal servizio RADIUS tra quelli configurati in elenco risulta errato. Questo problema è stato risolto utilizzando lo stesso certificato di altri servizi.

  CVE-ID

  CVE-2013-5143: Arek Dreyer di Dreyer Network Consultants, Inc.