Questo articolo è stato archiviato e non viene più aggiornato da Apple.

Informazioni sui contenuti di sicurezza dell'aggiornamento di sicurezza 2010-002 per Mac OS X 10.6.3

In questo documento vengono descritti i contenuti di sicurezza dell'aggiornamento di sicurezza 2010-002 per Mac OS X 10.6.3.

Per proteggere la propria clientela, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Consulta il sito web dedicato alla sicurezza dei prodotti Apple per ulteriori informazioni in merito.

Per informazioni sulla chiave PGP per la sicurezza dei prodotti Apple, consulta l'articolo “Come usare la chiave PGP per la sicurezza dei prodotti Apple”.

Quando possibile, vengono utilizzati gli ID CVE per fornire ulteriori informazioni sulle vulnerabilità.

Per informazioni su altri aggiornamenti di sicurezza consulta l'articolo che parla degli aggiornamenti di sicurezza Apple.

Aggiornamento di sicurezza 2010-002 per Mac OS X 10.6.3

AppKit
CVE-ID: CVE-2010-0056
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Impatto: l'esecuzione del controllo ortografico su un documento pericoloso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un overflow del buffer nella funzione di controllo ortografico utilizzata dalle applicazioni Cocoa. L'esecuzione del controllo ortografico su un documento dannoso può causare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso un migliore controllo dei limiti. Il problema non interessa i sistemi Mac OS X 10.6. Ringraziamo Apple.

Application Firewall
CVE-ID: CVE-2009-2801
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Impatto: alcune regole di Application Firewall possono disattivarsi dopo il riavvio.
Descrizione: un problema di timing in Application Firewall può causare la disattivazione di alcune regole dopo il riavvio. Il problema è stato risolto attraverso una migliore gestione delle regole di Firewall. Il problema non interessa i sistemi Mac OS X 10.6. Ringraziamo Michael Kisor di OrganicOrb.com per aver segnalato il problema.

AFP Server
CVE-ID: CVE-2010-0057
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: quando l'accesso ospiti è disattivato, un utente remoto può riuscire ad attivare condivisioni AFP come ospite.
Descrizione: un problema di controllo degli accessi in AFP Server può consentire a un utente remoto di attivare condivisioni AFP come ospite, anche se l'accesso ospiti è disattivato. Il problema è stato risolto attraverso migliori verifiche di controllo degli accessi. Ringraziamo Apple.

AFP Server
CVE-ID: CVE-2010-0533
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente remoto con accesso ospite a una condivisione AFP può accedere ai contenuti dei file leggibili da tutti all'esterno della condivisione pubblica.
Descrizione: si verifica un problema directory traversal nella convalida dei percorsi per le condivisioni AFP. Un utente remoto può enumerare la directory principale della root di condivisione e leggere o scrivere file all'interno della directory che sono accessibili all'utente “nobody”. Il problema è stato risolto attraverso una migliore gestione dei percorsi dei file. Ringraziamo Patrik Karlsson di cqure.net per aver segnalato il problema.

Apache
CVE-ID: CVE-2009-3095
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente malintenzionato remoto può riuscire a bypassare le restrizioni di controllo degli accesi.
Descrizione: si verifica un problema di convalida degli input nella gestione delle richiese FTP con proxy da parte di Apache. Un utente malintenzionato remoto con la capacità di emettere richieste tramite proxy può riuscire a bypassare le restrizioni di controllo degli accessi specificate nella configurazione di Apache. Il problema è stato risolto aggiornando Apache alla versione 2.2.14.

ClamAV
CVE-ID: CVE-2010-0058
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Impatto: le definizioni dei virus di ClamAV potrebbero non ricevere aggiornamenti.
Descrizione: un problema di configurazione introdotto dall'aggiornamento di sicurezza 2009-005 impedisce l'esecuzione di freshclam. Questo può impedire l'aggiornamento delle definizioni dei virus. Il problema è stato risolto aggiornando i valori chiave launchd plist ProgramArguments di freshclam. Il problema non interessa i sistemi Mac OS X 10.6. Ringraziamo Bayard Bell, Wil Shipley di Delicious Monster e David Ferrero di Zion Software, LLC per aver segnalato il problema.

CoreAudio
CVE-ID: CVE-2010-0059
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la riproduzione di contenuti audio dannosi può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un problema di danneggiamento della memoria nella gestione dei contenuti audio con codifica QDM2. La riproduzione di contenuti audio dannosi può causare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso un migliore controllo dei limiti. Ringraziamo un ricercatore anonimo che collabora con Zero Day Initiative di TippingPoint per aver segnalato il problema.

CoreAudio
CVE-ID: CVE-2010-0060
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la riproduzione di contenuti audio dannosi può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un problema di danneggiamento della memoria nella gestione dei contenuti audio con codifica QDMC. La riproduzione di contenuti audio dannosi può causare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso un migliore controllo dei limiti. Ringraziamo un ricercatore anonimo che collabora con Zero Day Initiative di TippingPoint per aver segnalato il problema.

CoreMedia
CVE-ID: CVE-2010-0062
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un filmato pericoloso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un overflow del buffer heap nella gestione di filmati con codifica H.263 da parte di CoreMedia. La visualizzazione di un filmato dannoso può causare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto eseguendo un'ulteriore convalida dei filmati con codifica H.263. Ringraziamo Damian Put e un ricercatore anonimo che collabora con Zero Day Initiative di TippingPoint per aver segnalato il problema.

CoreTypes
CVE-ID: CVE-2010-0063
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: gli utenti non vengono avvisati prima di aprire determinati tipi di contenuti potenzialmente pericolosi.
Descrizione: questo aggiornamento aggiunge .ibplugin e .url alla lista di tipi di contenuti del sistema che vengono segnalati come potenzialmente non sicuri in determinati circostanze, come quando vengono scaricati da una pagina web. Anche se questi tipi di contenuti non vengono avviati automaticamente, se aperti manualmente potrebbero portare all'esecuzione di un payload JavaScript dannoso o all'esecuzione di codice arbitrario. Questo aggiornamento migliora la capacità del sistema di avvisare gli utenti prima di gestire i tipi di contenuti utilizzati da Safari. Ringraziamo Clint Ruoho di Laconic Security per aver segnalato il problema.

CUPS
CVE-ID: CVE-2010-0393
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente locale può riuscire a ottenere privilegi di sistema.
Descrizione: si verifica un problema legato alla stringa del formato nell'utility CUPS lppasswd. Di conseguenza, un utente locale potrebbe ottenere privilegi di sistema. I sistemi Mac OS X 10.6 sono interessati solo se il bit setuid è stato impostato su binario. Il problema è stato risolto utilizzando directory di default durante l'esecuzione di un processo setuid. Ringraziamo Ronald Volgers per aver segnalato il problema.

curl
CVE-ID: CVE-2009-2417
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: un malintenzionato che porta a termine attacchi man-in-the-middle può riuscire a impersonare un server attendibile.
Descrizione: si verifica un problema di canonicalizzazione nella gestione da parte di curl dei caratteri NULL nel campo del nome comune (CN) del soggetto dei certificati X.509. Questo può causare attacchi man-in-the-middle contro utenti dello strumento della riga di comando curl o applicazioni che usano libcurl. Il problema è stato risolto attraverso una migliore gestione dei caratteri NULL.

curl
CVE-ID: CVE-2009-0037
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Impatto: l'utilizzo di curl con -L può consentire a un utente malintenzionato remoto di leggere o scrivere file locali.
Descrizione: curl segue i reindirizzamenti HTTP e HTTPS se utilizzato con l'opzione -L. Quando curl segue un reindirizzamento, consente gli URL file://. Questo può consentire a un utente malintenzionato remoto di accedere ai file locali. Il problema è stato risolto mediante una migliore convalida dei reindirizzamenti. Il problema non interessa i sistemi Mac OS X 10.6. Ringraziamo Daniel Stenberg di Haxx AB per aver segnalato il problema.

Cyrus IMAP
CVE-ID: CVE-2009-2632
Disponibile per: Mac OS X Server 10.5.8
Impatto: un utente locale può riuscire a ottenere i privilegi dell'utente Cyrus.
Descrizione: si verifica un overflow del buffer nella gestione degli script sieve. Eseguendo uno script sieve pericoloso, un utente locale può riuscire a ottenere i privilegi dell'utente Cyrus. Questo problema è stato risolto attraverso un migliore controllo dei limiti. Il problema non interessa i sistemi Mac OS X 10.6.

Cyrus SASL
CVE-ID: CVE-2009-0688
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Impatto: un utente malintenzionato remoto non autenticato può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un overflow del buffer nel modulo di autenticazione Cyrus SASL. L'utilizzo dell'autenticazione Cyrus SASL può causare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso un migliore controllo dei limiti. Il problema non interessa i sistemi Mac OS X 10.6.

DesktopServices
CVE-ID: CVE-2010-0064
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: elementi copiati nel Finder possono essere assegnati a un proprietario di file inaspettato.
Descrizione: durante l'esecuzione di una copia autenticata nel Finder, può venire inaspettatamente copiata la proprietà del file originale. Questo aggiornamento risolve il problema assicurando che i file copiati siano di proprietà dell'utente che effettua la copia. Questo problema non interessa i sistemi precedenti a Mac OS X 10.6. Ringraziamo Gerrit DeWitt della Auburn University (Auburn, AL) per aver segnalato il problema.

DesktopServices
CVE-ID: CVE-2010-0537
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente malintenzionato remoto può ottenere accesso ai dati dell'utente tramite attacco multifase.
Descrizione: un problema di risoluzione dei percorsi in DesktopServices è vulnerabile a un attacco multifase. Un utente malintenzionato remoto deve prima indurre l'utente ad attivare una condivisione con nome arbitrario, che può essere fatto tramite schema URL. Quando si salva un file tramite il pannello di salvataggio di default di qualsiasi applicazione e si usa “Vai alla cartella” o si trascinano le cartelle nel pannello di salvataggio, i dati possono venire inaspettatamente salvati nella condivisione dannosa. Il problema è stato risolto attraverso una migliore risoluzione dei percorsi. Questo problema non interessa i sistemi precedenti a Mac OS X 10.6. Ringraziamo Sidney San Martin in collaborazione con DeepTech, Inc. per aver segnalato il problema.

Disk Images
CVE-ID: CVE-2010-0065
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server a 10.6 a 10.6.2
Impatto: l'attivazione di un'immagine disco pericolosa può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un problema di danneggiamento della memoria nella gestione delle immagini disco compresse bzip2. Il montaggio di un'immagine disco di tipo “” pericolosa potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso un migliore controllo dei limiti. Ringraziamo Apple.

Disk Images
CVE-ID: CVE-2010-0497
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: l'attivazione di un'immagine disco pericolosa può causare l'esecuzione di codice arbitrario.
Descrizione: si verifica un problema di progettazione nella gestione delle immagini disco collegate a internet. L'attivazione di un'immagine disco collegata a internet contenente un tipo di file pacchetto lo apre invece di rivelarlo nel Finder. Questa funzione di quarantena dei file aiuta a mitigare il problema fornendo una finestra di avviso per tipi di file non sicuri. Il problema è stato risolto attraverso una migliore gestione dei tipi di file pacchetto sulle immagini disco collegate a internet. Ringraziamo Brian Mastenbrook in collaborazione con Zero Day Initiative di TippingPoint per aver segnalato il problema.

Directory Services
CVE-ID: CVE-2010-0498
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente locale può ottenere privilegi di sistema.
Descrizione: un problema di autorizzazione nella gestione da parte di Directory Services dei nomi dei record può consentire a un utente locale di ottenere privilegi di sistema. Il problema è stato risolto attraverso migliori controlli delle autorizzazioni. Ringraziamo Apple.

Dovecot
CVE-ID: CVE-2010-0535
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente autenticato può riuscire a inviare e ricevere email anche se l'utente non è presente nell'elenco SACL degli utenti autorizzati a farlo.
Descrizione: si verifica un problema di controllo degli accessi in Dovecot quando è attivata l'autenticazione Kerberos. Questo può consentire a un utente autenticato di inviare e ricevere email anche se l'utente non è presente nell'elenco SACL (Service Access Control List) degli utenti autorizzati a farlo. Il problema è stato risolto attraverso migliori verifiche di controllo degli accessi. Il problema non interessa i sistemi meno recenti di Mac OS X 10.6.

Event Monitor
CVE-ID: CVE-2010-0500
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente malintenzionato remoto può causare l'aggiunta di sistemi arbitrari alla lista nera del firewall.
Descrizione: viene eseguita una ricerca inversa DNS su client ssh remoti che non supera l'autenticazione. Si verifica un problema di injection plist nella gestione di nomi DNS risolti. Questo può consentire a un utente malintenzionato remoto di causare l'aggiunta di sistemi arbitrari alla lista nera del firewall. Il problema è stato risolto attraverso un escape corretto dei nomi DNS risolti. Ringraziamo Apple.

FreeRADIUS
CVE-ID: CVE-2010-0524
Disponibile per: Mac OS X Server 10.5.8, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente malintenzionato remoto può ottenere accesso a una rete tramite autenticazione RADIUS.
Descrizione: si verifica un problema di autenticazione dei certificati nella configurazione Mac OS X di default del server FreeRADIUS. Un utente malintenzionato remoto può usare EAP-TLS con un certificato valido arbitrario per effettuare l'autenticazione e connettersi a una rete configurata per utilizzare FreeRADIUS per l'autenticazione. Il problema è stato risolto disattivando il supporto per EAP-TLS nella configurazione. I client RADIUS devono utilizzare invece EAP-TTLS. Il problema interessa solo i sistemi Mac OS X Server. Ringraziamo Chris Linstruth di Qnet per aver segnalato il problema.

FTP Server
CVE-ID: CVE-2010-0501
Disponibile per: Mac OS X Server 10.5.8, Mac OS X Server da 10.6 a 10.6.2
Impatto: gli utenti possono riuscire a recuperare file all'esterno della directory root FTP.
Descrizione: si verifica un problema directory traversal in FTP Server. Questo può consentire a un utente di recuperare file all'esterno della directory root FTP. Il problema è stato risolto attraverso una migliore gestione dei nomi dei file. Il problema interessa solo i sistemi Mac OS X Server. Ringraziamo Apple.

iChat Server
CVE-ID: CVE-2006-1329
Disponibile per: Mac OS X Server 10.5.8, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente malintenzionato remoto può causare un'interruzione del servizio.
Descrizione: si verifica un problema di implementazione nella gestione della negoziazione SASL da parte di jabberd. Un utente malintenzionato remoto può interrompere il funzionamento di jabberd. Il problema è stato risolto attraverso una migliore gestione della negoziazione SASL. Il problema interessa solo i sistemi Mac OS X Server.

iChat Server
CVE-ID: CVE-2010-0502
Disponibile per: Mac OS X Server 10.5.8, Mac OS X Server da 10.6 a 10.6.2
Impatto: i messaggi chat potrebbero non essere registrati.
Descrizione: si verifica un problema di progettazione nel supporto di iChat Server per la registrazione di chat di gruppo configurabili. iChat Server registra solo messaggi con determinati tipi di messaggio. Questo può consentire a un utente remoto di inviare messaggi tramite server senza che vengano registrati. Il problema è stato risolto rimuovendo la possibilità di disattivare i registri delle chat di gruppo e registrando tutti i messaggi inviati tramite server. Il problema interessa solo i sistemi Mac OS X Server. Ringraziamo Apple.

iChat Server
CVE-ID: CVE-2010-0503
Disponibile per: Mac OS X Server 10.5.8
Impatto: un utente autenticato può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un problema di vulnerabilità use-after-free in iChat Server. Un utente autenticato può causare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario. Il problema è stato risolto mediante una migliore tracciamento del riferimento della memoria. Il problema interessa solo i sistemi Mac OS X Server e non interessa le versioni 10.6 o successive.

iChat Server
CVE-ID: CVE-2010-0504
Disponibile per: Mac OS X Server 10.5.8, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente autenticato può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificano diversi problemi di overflow del buffer dello stack in iChat Server. Un utente autenticato può causare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario. I problemi sono stati risolti attraverso una migliore gestione della memoria. Questi problemi interessano solo i sistemi Mac OS X Server. Ringraziamo Apple.

ImageIO
CVE-ID: CVE-2010-0505
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un'immagine JP2 dannosa può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un overflow del buffer heap nella gestione delle immagini JP2. La visualizzazione di un'immagine JP2 pericolosa può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso un migliore controllo dei limiti. Ringraziamo Chris Ries di Carnegie Mellon University Computing Service e il ricercatore “85319bb6e6ab398b334509c50afce5259d42756e” in collaborazione con Zero Day Initiative di TippingPoint per aver segnalato il problema.

ImageIO
CVE-ID: CVE-2010-0041
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un sito web pericoloso può causare l'invio di dati dalla memoria di Safari al sito web.
Descrizione: si verifica un problema di accesso alla memoria non inizializzata nella gestione delle immagini BMP da parte di ImageIO. L'accesso a un sito web dannoso può comportare l'invio di dati dalla memoria di Safari al sito web. Il problema è stato risolto attraverso una migliore inizializzazione della memoria e a un'ulteriore convalida delle immagini BMP. Ringraziamo Matthew Jurczyk (j00ru) di Hispasec per aver segnalato il problema.

ImageIO
CVE-ID: CVE-2010-0042
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un sito web pericoloso può causare l'invio di dati dalla memoria di Safari al sito web.
Descrizione: si verifica un problema di accesso alla memoria non inizializzata nella gestione delle immagini TIFF da parte di ImageIO. L'accesso a un sito web dannoso può comportare l'invio di dati dalla memoria di Safari al sito web. Il problema è stato risolto attraverso una migliore inizializzazione della memoria e a un'ulteriore convalida delle immagini TIFF. Ringraziamo Matthew Jurczyk (j00ru) di Hispasec per aver segnalato il problema.

ImageIO
CVE-ID: CVE-2010-0043
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: l'elaborazione di un'immagine TIFF pericolosa può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un problema di danneggiamento della memoria nella gestione delle immagini TIFF. L'elaborazione di un'immagine TIFF pericolosa può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario. Il problema è stato risolto mediante una migliore gestione della memoria. Il problema non interessa i sistemi precedenti a Mac OS X 10.6. Ringraziamo Gus Mueller di Flying Meat per aver segnalato il problema.

Image RAW
CVE-ID: CVE-2010-0506
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Impatto: la visualizzazione di un'immagine NEF pericolosa può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un overflow del buffer nella gestione delle immagini NEF da parte di Image RAW. La visualizzazione di un'immagine NEF pericolosa può causare una chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso un migliore controllo dei limiti. Il problema non interessa i sistemi Mac OS X 10.6. Ringraziamo Apple.

Image RAW
CVE-ID: CVE-2010-0507
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un'immagine PEF pericolosa può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un overflow del buffer nella gestione delle immagini PEF da parte di Image RAW. La visualizzazione di un'immagine PEF pericolosa può causare una chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso un migliore controllo dei limiti. Ringraziamo Chris Ries di Carnegie Mellon University Computing Services per aver segnalato il problema.

Libsystem
CVE-ID: CVE-2009-0689
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: le applicazioni che convertono dati non affidabili tra valori a virgola mobile binari e testo possono essere vulnerabili a una chiusura improvvisa dell'applicazione o all'esecuzione di codice arbitrario.
Descrizione: si verifica un overflow del buffer nel codice di conversione da valore a virgola mobile binario a testo in Libsystem. Un utente malintenzionato che può fare in modo che un'applicazione converta un valore a virgola mobile in una stringa lunga o analizzi una stringa dannosa come valore a virgola mobile può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso un migliore controllo dei limiti. Ringraziamo Maksymilian Arciemowicz di SecurityReason.com per aver segnalato il problema.

Mail
CVE-ID: CVE-2010-0508
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: le regole associate a un account di posta eliminato rimangono in vigore.
Descrizione: quando viene eliminato un account di posta, le regole di filtri definite dall'utente associate con tale account rimangono attive. Questo può causare azioni inaspettate. Il problema è stato risolto disattivando le regole associate quando viene eliminato un account di posta.

Mail
CVE-ID: CVE-2010-0525
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: Mail può usare una chiave di crittografia più debole per le email in uscita.
Descrizione: si verifica un problema logico nella gestione dei certificati di crittografia da parte di Mail. Quando nel portachiavi sono presenti più certificati per il destinatario, Mail può selezionare un codice di crittografia che non è previsto per la cifratura. Questo può causare un problema di sicurezza se la chiave scelta è più debole del previsto.- Il problema è stato risolto assicurando che l'estensione dell'uso della chiave all'interno dei certificati sia valutata quando si seleziona una chiave di crittografia Mail. Ringraziamo Paul Suh di ps Enable, Inc. per aver segnalato il problema.

Mailman
CVE-ID: CVE-2008-0564
Disponibile per: Mac OS X Server 10.5.8
Impatto: diverse vulnerabilità in Mailman 2.1.9.
Descrizione: si verificano diversi problemi di cross-site scripting in Mailman 2.1.9. Questi problemi sono stati risolti aggiornando Mailman alla versione 2.1.13. Ulteriori informazioni sono disponibili sul sito di Mailman all'indirizzo http://mail.python.org/pipermail/mailman-announce/2009-January/000128.html Questi problemi interessano solo i sistemi Mac OS X Server e non interessano le versioni 10.6 o successive.

MySQL
CVE-ID: CVE-2008-4456, CVE-2008-7247, CVE-2009-2446, CVE-2009-4019, CVE-2009-4030
Disponibile per: Mac OS X Server da 10.6 a 10.6.2
Impatto: diverse vulnerabilità in MySQL 5.0.82.
Descrizione: MySQL è stato aggiornato alla versione 5.0.88 per risolvere diverse vulnerabilità, la più grave delle quali può causare l'esecuzione di codice arbitrario. Questi problemi interessano solo i sistemi Mac OS X Server. Ulteriori informazioni sono disponibili sul sito web di MySQL all'indirizzo http://dev.mysql.com/doc/refman/5.0/en/news-5-0-88.html

OS Services
CVE-ID: CVE-2010-0509
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente locale può riuscire a ottenere privilegi elevati.
Descrizione: si verifica un problema di escalation dei privilegi in SFLServer, poiché viene eseguito come gruppo “wheel” e accede ai file nelle cartelle Inizio dell'utente. Il problema è stato risolto attraverso una migliore gestione dei privilegi. Ringraziamo Kevin Finisterre di DigitalMunition per aver segnalato il problema.

Password Server
CVE-ID: CVE-2010-0510
Disponibile per: Mac OS X Server 10.5.8, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente malintenzionato remoto può riuscire ad accedere con una password scaduta.
Descrizione: un problema di implementazione nella gestione delle repliche da parte di Password Server può causare la mancata replica delle password. Un utente malintenzionato remoto può riuscire ad accedere a un sistema utilizzando una password scaduta. Il problema è stato risolto attraverso una migliore gestione della replica delle password. Il problema interessa solo i sistemi Mac OS X Server. Ringraziamo Jack Johnson di Anchorage School District per aver segnalato il problema.

perl
CVE-ID: CVE-2008-5302, CVE-2008-5303
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Impatto: un utente locale può causare l'eliminazione di file arbitrari.
Descrizione: si verificano più problemi di race condition nella funzione rmtree del modulo perl File::Path. Un utente locale con accesso in scrittura a una directory che viene eliminata può causare la rimozione di file arbitrari con i privilegi del processo perl. Il problema è stato risolto attraverso una migliore gestione dei link simbolici. Il problema non interessa i sistemi Mac OS X 10.6.

PHP
CVE-ID: CVE-2009-3557, CVE-2009-3558, CVE-2009-3559, CVE-2009-4017
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: diverse vulnerabilità in PHP 5.3.0.
Descrizione: PHP è aggiornato alla versione 5.3.1 per risolvere diverse vulnerabilità, la più grave delle quali può causare l'esecuzione di codice arbitrario. Ulteriori informazioni sono disponibili sul sito web PHP alla pagina http://www.php.net/

PHP
CVE-ID: CVE-2009-3557, CVE-2009-3558, CVE-2009-3559, CVE-2009-4142, CVE-2009-4143
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Impatto: diverse vulnerabilità in PHP 5.2.11.
Descrizione: PHP è aggiornato alla versione 5.2.12 per risolvere diverse vulnerabilità, la più grave delle quali può causare cross-site scripting. Ulteriori informazioni sono disponibili sul sito web PHP alla pagina http://www.php.net/

Podcast Producer
CVE-ID: CVE-2010-0511
Disponibile per: Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente non autorizzato può riuscire ad accedere a un flusso di lavoro Podcast Composer.
Descrizione: quando un flusso di lavoro Podcast Composer viene sovrascritto, le restrizioni di accesso vengono rimosse. Questo può consentire a un utente non autorizzato di accedere al flusso di lavoro Podcast Composer. Il problema è stato risolto attraverso una migliore gestione delle restrizioni di accesso al flusso di lavoro. Podcast Composer è stato introdotto in Mac OS X Server 10.6.

Preferences
CVE-ID: CVE-2010-0512
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente di rete può riuscire a bypassare le restrizioni di accesso al sistema.
Descrizione: si verifica un problema di implementazione nella gestione delle restrizioni di accesso al sistema per gli account di rete. Se gli account di rete che possono accedere al sistema sono identificati nella finestra di login solo dall'appartenenza al gruppo, la restrizione non viene applicata e tutti gli utenti di rete potranno accedere al sistema. Il problema è stato risolto attraverso una migliore gestione della restrizione di gruppo nel pannello delle preferenze Account. Il problema interessa solo i sistemi configurati per utilizzare un server di account di rete e non interessa i sistemi precedenti a Mac OS X 10.6. Ringraziamo Christopher D. Grieb della University of Michigan MSIS per aver segnalato il problema.

PS Normalizer
CVE-ID: CVE-2010-0513
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un file PostScript pericoloso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un overflow del buffer stack nella gestione dei file PostScript. La visualizzazione di un file PostScript pericoloso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario. Il problema è stato risolto eseguendo un'ulteriore convalida dei file PostScript. Sui sistemi Mac OS X 10.6 il problema è mitigato dal contrassegno del compiler -fstack-protector. Ringraziamo Apple.

QuickTime
CVE-ID: CVE-2010-0062
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un filmato pericoloso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un overflow del buffer heap nella gestione di filmati con codifica H.263 da parte di QuickTime. La visualizzazione di un filmato dannoso può causare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto eseguendo un'ulteriore convalida dei filmati con codifica H.263. Ringraziamo Damian Put e un ricercatore anonimo che collabora con Zero Day Initiative di TippingPoint per aver segnalato il problema.

QuickTime
CVE-ID: CVE-2010-0514
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un filmato pericoloso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un overflow del buffer heap nella gestione di filmati con codifica H.261. La visualizzazione di un filmato dannoso può causare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto eseguendo un'ulteriore convalida dei filmati con codifica H.261. Ringraziamo Will Dormann del CERT/CC per aver segnalato il problema.

QuickTime
CVE-ID: CVE-2010-0515
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un filmato pericoloso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: danneggiamento della memoria nella gestione di filmati con codifica H.264. La visualizzazione di un filmato dannoso può causare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto eseguendo un'ulteriore convalida dei filmati con codifica H.264. Ringraziamo un ricercatore anonimo che collabora con Zero Day Initiative di TippingPoint per aver segnalato il problema.

QuickTime
CVE-ID: CVE-2010-0516
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un filmato pericoloso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: overflow del buffer heap nella gestione di filmati con codifica RLE. La visualizzazione di un filmato dannoso può causare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto eseguendo un'ulteriore convalida dei filmati con codifica RLE. Ringraziamo un ricercatore anonimo che collabora con Zero Day Initiative di TippingPoint per aver segnalato il problema.

QuickTime
CVE-ID: CVE-2010-0517
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un filmato pericoloso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: overflow del buffer heap nella gestione di filmati con codifica M-JPEG. La visualizzazione di un filmato dannoso può causare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto eseguendo un'ulteriore convalida dei filmati con codifica M-JPEG. Ringraziamo Damian Put e un ricercatore anonimo che collabora con Zero Day Initiative di TippingPoint per aver segnalato il problema.

QuickTime
CVE-ID: CVE-2010-0518
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un filmato pericoloso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un problema di danneggiamento della memoria nella gestione di filmati con codifica Sorenson. La visualizzazione di un filmato dannoso può causare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto eseguendo un'ulteriore convalida dei filmati con codifica Sorenson. Ringraziamo Will Dormann del CERT/CC per aver segnalato il problema.

QuickTime
CVE-ID: CVE-2010-0519
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un filmato pericoloso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un overflow di numeri interi nella gestione di filmati con codifica FlashPix. La visualizzazione di un filmato dannoso può causare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso un migliore controllo dei limiti. Ringraziamo un ricercatore anonimo che collabora con Zero Day Initiative di TippingPoint per aver segnalato il problema.

QuickTime
CVE-ID: CVE-2010-0520
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un filmato pericoloso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un overflow del buffer heap nella gestione di filmati con codifica FLC. La visualizzazione di un filmato dannoso può causare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto eseguendo un'ulteriore convalida dei filmati con codifica FLC. Ringraziamo Moritz Jodeit di n.runs AG, in collaborazione con Zero Day Initiative di TippingPoint, e Nicolas Joly di VUPEN Security per aver segnalato il problema.

QuickTime
CVE-ID: CVE-2010-0526
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un filmato MPEG pericoloso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un overflow del buffer heap nella gestione di filmati con codifica MPEG. La visualizzazione di un filmato dannoso può causare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto eseguendo un'ulteriore convalida dei filmati con codifica MPEG. Ringraziamo un ricercatore anonimo che collabora con Zero Day Initiative di TippingPoint per aver segnalato il problema.

Ruby
CVE-ID: CVE-2009-2422, CVE-2009-3009, CVE-2009-4214
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: diversi problemi in Ruby on Rails.
Descrizione: si verificano più vulnerabilità in Ruby on Rails, la più grave delle quali può causare cross-site scripting. Sui sistemi Mac OS X 10.6 questi problemi sono stati risolti aggiornando Ruby on Rails alla versione 2.3.5. I sistemi Mac OS X 10.5 sono interessati solo da CVE-2009-4214 e il problema è stato risolto attraverso una migliore convalida degli argomenti strip_tags.

Ruby
CVE-ID: CVE-2009-1904
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: l'esecuzione di uno script Ruby che utilizza input non affidabili per inizializzare un oggetto BigDecimal può causare una chiusura inaspettata dell'applicazione.
Descrizione: si verifica un problema di esaurimento dello stack nella gestione da parte di Ruby degli oggetti BigDecimal con volumi molto grandi. L'esecuzione di uno script Ruby che utilizza input non affidabili per inizializzare un oggetto BigDecimal può causare una chiusura inaspettata dell'applicazione. Per i sistemi Mac OS X 10.6, il problema è stato risolto aggiornando Ruby alla versione 1.8.7-p173. Per i sistemi Mac OS X 10.5, il problema è stato risolto aggiornando Ruby alla versione 1.8.6-p369.

Server Admin
CVE-ID: CVE-2010-0521
Disponibile per: Mac OS X Server 10.5.8, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente malintenzionato remoto può estrarre informazioni da Open Directory.
Descrizione: si verifica un problema di progettazione nella gestione del binding della directory autenticato. Un utente malintenzionato remoto può riuscire a estrarre informazioni in modo anonimo da Open Directory, anche se l'opzione “Require authenticated binding between directory and clients” (Richiedi binding autenticato tra directory e client) è attivata. Il problema è stato risolto rimuovendo questa opzione di configurazione. Il problema interessa solo i sistemi Mac OS X Server. Ringraziamo Scott Gruby di Gruby Solutions e Mathias Haack di GRAVIS Computervertriebsgesellschaft mbH per aver segnalato il problema.

Server Admin
CVE-ID: CVE-2010-0522
Disponibile per: Mac OS X Server 10.5.8
Impatto: un ex amministratore può avere accesso non autorizzato alla condivisione dello schermo.
Descrizione: un utente che è stato rimosso dal gruppo “admin” può comunque connettersi al server utilizzando la condivisione dello schermo. Il problema è stato risolto attraverso una migliore gestione dei privilegi di amministratore. Il problema interessa solo i sistemi Mac OS X Server e non interessa le versioni 10.6 o successive. Ringraziamo Apple.

SMB
CVE-ID: CVE-2009-2906
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente malintenzionato remoto può riuscire a causare un'interruzione del servizio.
Descrizione: si verifica un problema di loop infinito nella gestione da parte di Samba delle notifiche di interruzione “oplock” SMB. Un utente malintenzionato remoto può attivare un loop infinito in smbd, facendo in modo che questo consumi risorse CPU eccessive. Il problema è stato risolto attraverso una migliore gestione delle notifiche di interruzione “oplock”.

Tomcat
CVE-ID: CVE-2009-0580, CVE-2009-0033, CVE-2009-0783, CVE-2008-5515, CVE-2009-0781, CVE-2009-2901, CVE-2009-2902, CVE-2009-2693
Disponibile per: Mac OS X Server 10.5.8, Mac OS X Server da 10.6 a 10.6.2
Impatto: diverse vulnerabilità in Tomcat 6.0.18.
Descrizione: Tomcat è aggiornato alla versione 6.0.24 per risolvere diverse vulnerabilità, la più grave delle quali può causare un attacco di cross-site scripting. Tomcat viene fornito solo con sistemi Mac OS X Server. Ulteriori informazioni sono disponibili sul sito di Tomcat alla pagina http://tomcat.apache.org/

unzip
CVE-ID: CVE-2008-0888
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Impatto: l'estrazione di file zip pericolosi tramite lo strumento di comando unzip può causare una chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un problema con il puntatore non inizializzato nella gestione dei file zip. L'estrazione di file zip pericolosi tramite lo strumento di comando unzip può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario. Il problema è stato risolto eseguendo un'ulteriore convalida dei file zip. Il problema non interessa i sistemi Mac OS X 10.6.

vim
CVE-ID: CVE-2008-2712, CVE-2008-4101, CVE-2009-0316
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Impatto: diverse vulnerabilità in vim 7.0.
Descrizione: si verificano diverse vulnerabilità in vim 7.0, la più grave delle quali può causare l'esecuzione di codice arbitrario quando si lavora con file pericolosi. Questi problemi sono stati risolti effettuando l'aggiornamento a vim 7.2.102. Questi problemi non interessano i sistemi Mac OS X 10.6. Ulteriori informazioni sono disponibili sul sito web di vim alla pagina http://www.vim.org/

Wiki Server
CVE-ID: CVE-2010-0523
Disponibile per: Mac OS X Server 10.5.8
Impatto: il caricamento di un'applet pericolosa può causare la divulgazione di informazioni sensibili.
Descrizione: Wiki Server consente agli utenti di caricare contenuti attivi come applet Java. Un utente malintenzionato remoto può ottenere informazioni sensibili caricando un'applet pericolosa e indirizzando un utente Wiki Server a visualizzarlo. Il problema è stato risolto utilizzando uno speciale cookie di autenticazione utilizzabile una sola volta che può essere utilizzato solo per scaricare un determinato allegato. Il problema interessa solo i sistemi Mac OS X Server e non interessa le versioni 10.6 o successive.

Wiki Server
CVE-ID: CVE-2010-0534
Disponibile per: Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: un utente autenticato può bypassare le restrizioni di creazione di weblog.
Descrizione: Wiki Server supporta gli elenchi elenco SACL (Service Access Control List), consentendo a un amministratore di controllare la pubblicazione dei contenuti. Wiki Server non consulta l'elenco SACL di weblog durante la creazione del weblog di un utente. Questo può consentire a un utente autenticato di pubblicare contenuti su Wiki Server, anche se la pubblicazione dovrebbe essere vietata dall'elenco ACL del servizio. Il problema non interessa i sistemi meno recenti di Mac OS X 10.6.

X11
CVE-ID: CVE-2009-2042
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di un'immagine pericolosa può causare la divulgazione di informazioni sensibili.
Descrizione: libpng è aggiornato alla versione 1.2.37 per risolvere un problema che può causare la divulgazione di informazioni sensibili. Ulteriori informazioni sono disponibili sul sito web di libpng all'indirizzo http://www.libpng.org/pub/png/libpng.html

X11
CVE-ID: CVE-2003-0063
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X da 10.6 a 10.6.2, Mac OS X Server da 10.6 a 10.6.2
Impatto: la visualizzazione di dati pericolosi all'interno di un terminale xterm può causare l'esecuzione di codice arbitrario.
Descrizione: il programma xterm supporta una sequenza di comandi per modificare il titolo della finestra e stampare il titolo delle finestra nel terminale. Le informazioni restituite vengono fornite al terminale come se fossero state digitate sulla tastiera dall'utente. In un terminale xterm, l'apertura di dati pericolosi contenenti tali sequenze può causare l'iniezione di comandi. Il problema è stato risolto disattivando la sequenza di comandi interessata.

xar
CVE-ID: CVE-2010-0055
Disponibile per: Mac OS X 10.5.8, Mac OS X Server 10.5.8
Impatto: un pacchetto modificato può sembrare firmato in modo valido.
Descrizione: si verifica un problema di progettazione in xar durante la convalida della firma dei pacchetti. Questo può consentire a un pacchetto modificato di sembrare firmato in modo valido. Il problema è stato risolto attraverso una migliore convalida della firma dei pacchetti. Il problema non interessa i sistemi Mac OS X 10.6. Ringraziamo Apple.

Importante: il riferimento a siti web e prodotti di terze parti ha scopo puramente informativo e non costituisce sponsorizzazione né consiglio. Apple non si assume alcuna responsabilità in merito alla selezione, alle prestazioni o all'utilizzo di informazioni o prodotti presenti su siti web di terze parti. Apple fornisce questo tipo di informazioni solo per comodità degli utenti. Apple non ha testato le informazioni presenti su tali siti e non rilascia alcuna dichiarazione in merito alla loro esattezza e affidabilità. L'utilizzo di informazioni o prodotti trovati su internet comporta dei rischi e Apple non si assume alcuna responsabilità al riguardo. Si ricorda che i siti di terze parti sono indipendenti da Apple e che Apple non ha alcun controllo sui contenuti di tali siti web. Per ulteriori informazioni, contatta il fornitore.

Data di pubblicazione: 11 aprile 2024