Informazioni sull'aggiornamento di sicurezza 2014-002

In questo documento vengono descritti i contenuti di sicurezza dell'aggiornamento di sicurezza 2014-002.

Questo aggiornamento può essere scaricato e installato tramite Aggiornamento Software oppure dal sito web del supporto Apple.

Per proteggere la propria clientela, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Consulta il sito web dedicato alla sicurezza dei prodotti Apple per ulteriori informazioni in merito.

Per informazioni sulla chiave PGP per la sicurezza dei prodotti Apple, consulta l'articolo Come usare la chiave PGP per la sicurezza dei prodotti Apple.

Quando possibile, vengono utilizzati gli ID CVE per fornire ulteriori informazioni sulle vulnerabilità.

Per informazioni su altri aggiornamenti di sicurezza, consulta l'articolo sugli aggiornamenti di sicurezza Apple.

• CFNetwork HTTPProtocol

  Disponibile per: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 e OS X Mavericks 10.9.2

  Impatto: un utente malintenzionato in una posizione di rete privilegiata può ottenere le credenziali di un sito web.

  Descrizione: le intestazioni HTTP Set-Cookie venivano elaborate anche se la connessione veniva chiusa prima che la riga dell'intestazione fosse completa. Un utente malintenzionato poteva rimuovere le impostazioni di sicurezza dal cookie forzando la chiusura della connessione prima dell'invio delle impostazioni di sicurezza e quindi ottenere il valore del cookie non protetto. Il problema è stato risolto ignorando le righe di intestazione HTTP incomplete.

  CVE-ID

  CVE-2014-1296: Antoine Delignat-Lavaud di Prosecco a Inria Paris

• CoreServicesUIAgent

  Disponibile per: OS X Mavericks 10.9.2

  Impatto: l'accesso a un sito web o un URL pericoloso può causare la terminazione inattesa dell'applicazione o l'esecuzione di codice arbitrario.

  Descrizione: si verificava un problema legato alla stringa del formato nella gestione degli URL. Il problema è stato risolto attraverso un'ulteriore convalida degli URL. Il problema non interessa i sistemi meno recenti di OS X Mavericks.

  CVE-ID

  CVE-2014-1315: Lukasz Pilorz di runic.pl, Erik Kooistra

• FontParser

  Disponibile per: OS X Mountain Lion 10.8.5

  Impatto: l'apertura di un file PDF pericoloso può causare una chiusura imprevista dell'applicazione o l'esecuzione di codice arbitrario.

  Descrizione: si verificava un underflow del buffer nella gestione dei font nei file PDF. Il problema è stato risolto attraverso un ulteriore controllo dei limiti. Il problema non interessa i sistemi OS X Mavericks.

  CVE-ID

  CVE-2013-5170: Will Dormann di CERT/CC

• Heimdal Kerberos

  Disponibile per: OS X Mavericks 10.9.2

  Impatto: un utente malintenzionato remoto può essere in grado di causare l'interruzione del servizio.

  Descrizione: si verificava un'interruzione accessibile nella gestione dei dati ASN.1. Il problema è stato risolto attraverso un'ulteriore convalida dei dati ASN.1.

  CVE-ID

  CVE-2014-1316: Joonas Kuorilehto di Codenomicon

• ImageIO

  Disponibile per: OS X Mavericks 10.9.2

  Impatto: la visualizzazione di un'immagine JPEG pericolosa può causare una chiusura imprevista dell'applicazione o l'esecuzione di codice arbitrario.

  Descrizione: si verificava un overflow del buffer nella gestione delle immagini JPEG da parte di ImageIO. Il problema è stato risolto attraverso un migliore controllo dei limiti. Il problema non interessa i sistemi meno recenti di OS X Mavericks.

  CVE-ID

  CVE-2014-1319: Cristian Draghici di Modulo Consulting, Karl Smith di NCC Group

• Intel Graphics Driver

  Disponibile per: OS X Mountain Lion 10.8.5 e OS X Mavericks 10.9.2

  Impatto: un'applicazione pericolosa può prendere il controllo del sistema.

  Descrizione: si verificava un problema di convalida nella gestione di un puntatore da userspace. Il problema è stato risolto attraverso un'ulteriore convalida dei puntatori.

  CVE-ID

  CVE-2014-1318: Ian Beer di Google Project Zero in collaborazione con Zero Day Initiative di HP

• IOKit Kernel

  Disponibile per: OS X Mavericks 10.9.2

  Impatto: un utente locale può leggere i puntatori del kernel, che possono essere utilizzati per ignorare la funzione Address Space Layout Randomization (ASLR).

  Descrizione: un gruppo di puntatori del kernel memorizzati in un oggetto IOKit poteva essere recuperato da userland. Il problema è stato risolto attraverso la rimozione dei puntatori dall'oggetto.

  CVE-ID

  CVE-2014-1320: Ian Beer di Google Project Zero in collaborazione con Zero Day Initiative di HP

• Kernel

  Disponibile per: OS X Mavericks 10.9.2

  Impatto: un utente locale può leggere un puntatore del kernel, che può essere utilizzato per ignorare la funzione Address Space Layout Randomization (ASLR).

  Descrizione: un puntatore del kernel memorizzato in un oggetto XNU poteva essere recuperato da userland. Il problema è stato risolto attraverso la rimozione del puntatore dall'oggetto.

  CVE-ID

  CVE-2014-1322: Ian Beer di Google Project Zero

• Power Management

  Disponibile per: OS X Mavericks 10.9.2

  Impatto: lo schermo potrebbe non bloccarsi.

  Descrizione: se era stato premuto un tasto o toccato il trackpad subito dopo la chiusura del coperchio, il sistema avrebbe potuto tentare di riattivarsi durante il passaggio allo stato di stop, causando lo sblocco dello schermo. Il problema è stato risolto ignorando la pressione dei tasti durante il passaggio allo stato di stop. Il problema non interessa i sistemi meno recenti di OS X Mavericks.

  CVE-ID

  CVE-2014-1321: Paul Kleeberg di Stratis Health Bloomington MN, Julian Sincu della Baden-Wuerttemberg Cooperative State University (DHBW Stuttgart), Gerben Wierda di R&A, Daniel Luz

• Ruby

  Disponibile per: OS X Mavericks 10.9.2

  Impatto: l'esecuzione di uno script Ruby che gestisce tag YAML non attendibili può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.

  Descrizione: si verificava un problema di overflow dei numeri interi nella gestione con LibYAML dei tag YAML. Il problema è stato risolto attraverso un'ulteriore convalida dei tag YAML. Il problema non interessa i sistemi meno recenti di OS X Mavericks.

  CVE-ID

  CVE-2013-6393

• Ruby

  Disponibile per: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 e OS X Mavericks 10.9.2

  Impatto: l'esecuzione di uno script Ruby che utilizza input non attendibili per creare un oggetto Float può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.

  Descrizione: si verificava un overflow del buffer della memoria heap in Ruby durante la conversione di una stringa in un valore a virgola mobile. Il problema è stato risolto attraverso un'ulteriore convalida dei valori a virgola mobile.

  CVE-ID

  CVE-2013-4164

• Security - Secure Transport

  Disponibile per: OS X Mountain Lion 10.8.5 e OS X Mavericks 10.9.2

  Impatto: un utente malintenzionato con una posizione di rete privilegiata può acquisire dati o modificare le operazioni eseguite nelle sessioni protette da SSL.

  Descrizione: durante un attacco “triple handshake”, era possibile per un utente malintenzionato stabilire due connessioni con le stesse chiavi di crittografia e lo stesso handshake, inserire i propri dati in una connessione e rinegoziare in modo che le connessioni potessero essere inoltrate l'una all'altra. Per evitare attacchi basati su questo scenario, Secure Transport è stato modificato in modo che, di default, una rinegoziazione debba presentare lo stesso certificato del server presentato nella connessione originale. Il problema non interessa i sistemi Mac OS X 10.7 e versioni precedenti.

  CVE-ID

  CVE-2014-1295: Antoine Delignat-Lavaud, Karthikeyan Bhargavan e Alfredo Pironti di Prosecco a Inria Paris

• WindowServer

  Disponibile per: OS X Mountain Lion 10.8.5 e OS X Mavericks 10.9.2

  Impatto: applicazioni pericolose possono eseguire codice arbitrario al di fuori della sandbox.

  Descrizione: le sessioni di WindowServer potevano essere create da applicazioni in modalità sandbox. Il problema è stato risolto impedendo alle applicazioni in modalità sandbox di creare sessioni WindowServer.

  CVE-ID

  CVE-2014-1314: KeenTeam in collaborazione con Zero Day Initiative di HP

• Nota: l'aggiornamento di sicurezza 2014-002 per i sistemi OS X Mavericks include i contenuti di sicurezza di Safari 7.0.3.