Puoi scaricare e installare OS X Lion 10.7.4 e l'aggiornamento di sicurezza 2012-002 tramite le preferenze di Aggiornamento Software oppure dalla pagina dei download di Apple.
Per proteggere i propri clienti, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Per ulteriori informazioni consulta il sito web sulla sicurezza dei prodotti Apple.
Per informazioni sulla chiave PGP per la sicurezza dei prodotti Apple leggi l'articolo "Come usare la chiave PGP per la sicurezza dei prodotti Apple".
Quando possibile, vengono utilizzati ID CVE per fornire ulteriori informazioni sulle vulnerabilità.
Per informazioni su altri aggiornamenti di sicurezza consulta "Aggiornamenti di sicurezza Apple".
OS X Lion 10.7.4 e aggiornamento di sicurezza 2012-002
-
Finestra di login
Disponibile per: OS X Lion 10.7.3, OS X Lion Server 10.7.3
Impatto: gli amministratori remoti e le persona con accesso fisico al sistema potrebbero ottenere informazioni sull'account.
Descrizione: si verificava un problema nella gestione dei login agli account di rete. Il processo di login registrava informazioni sensibili nel resoconto sistema, da cui altri utenti del sistema potevano leggerle. Dopo l'installazione di questo aggiornamento le informazioni sensibili possono persistere nei resoconti salvati. Questo problema riguarda solo i sistemi OS X Lion 10.7.3 con utenti di Legacy FileVault e/o directory principali connesse in rete. Per ulteriori informazioni su come rimuovere in modo sicuro i resoconti che rimangono, consulta l'articolo http://support.apple.com/kb/TS4272?viewlocale=it_IT.
CVE-ID
CVE-2012-0652: Terry Reeves e Tim Winningham della Ohio State University, Markus 'Jaroneko' Räty della Finnish Academy of Fine Arts, Jaakko Pero della Aalto University, Mark Cohen della Oregon State University, Paul Nelson
-
Bluetooth
Disponibile per: OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: un utente locale potrebbe eseguire codice arbitrario con privilegi di sistema.
Descrizione: si verificava un problema di condizione di corsa critica dei file temporanei nella routine di inizializzazione blued.
CVE-ID
CVE-2012-0649: Aaron Sigel di vtty.com
-
curl
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: un malintenzionato potrebbe essere in grado di decodificare i dati protetti con SSL.
Descrizione: esistono noti attacchi sulla riservatezza di SSL 3.0 e TLS 1.0 quando una suite di codice utilizza un codice di blocco nella modalità CBC. curl disattivava la contromisura 'frammento vuoto' che impediva questi attacchi. Questo problema è stato risolto abilitando i frammenti vuoti.
CVE-ID
CVE-2011-3389: Apple
-
curl
Disponibile per: OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: usando curl o libcurl con un URL pericoloso potrebbero essere generati attacchi con iniezione di dati specifici per il protocollo.
Descrizione: si verificava un problema di iniezione di dati nella gestione degli URL con curl. Questo problema è stato risolto attraverso una migliore convalida degli URL. Questo problema non riguarda i sistemi precedenti a OS X Lion.
CVE-ID
CVE-2012-0036
-
Servizio directory
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8.
Impatto: un malintenzionato remoto potrebbe ottenere informazioni riservate.
Descrizione: si verificavano diversi problemi nella gestione dei messaggi dalla rete da parte del server directory. Inviando un messaggio pericoloso, un malintenzionato remoto poteva fare in modo che il server directory aprisse la memoria dal proprio spazio di indirizzi, rivelando potenzialmente le credenziali dell'account o altre informazioni riservate. Questo problema non riguarda i sistemi OS X Lion. Il server directory è disattivato per default nella installazioni non server di OS X.
CVE-ID
CVE-2012-0651: Agustin Azubel
-
HFS
Disponibile per: OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: l'attivazione di un'immagine disco pericolosa potrebbe causare l'improvviso spegnimento del sistema o l'esecuzione di codice arbitrario.
Descrizione: si verificava un underflow di numeri interi nella gestione dei file di catalogo HFS.
CVE-ID
CVE-2012-0642: pod2g
-
ImageIO
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: la visualizzazione di un file TIFF pericoloso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un overflow del buffer nella gestione di file TIFF codificati in CCITT Group 4 di ImageIO. Questo problema non riguarda i sistemi OS X Lion.
CVE-ID
CVE-2011-0241: Cyril CATTIAUX di Tessi Technologies
-
ImageIO
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8.
Impatto: diversi problemi di vulnerabilità in libpng.
Descrizione: l'aggiornamento di libpng alla versione 1.5.5 consente di risolvere diversi problemi di vulnerabilità, il più grave dei quali potrebbe comportare la divulgazione di dati sensibili. Per ulteriori informazioni consulta il sito web di libpng all'indirizzo http://www.libpng.org/pub/png/libpng.html.
CVE-ID
CVE-2011-2692
CVE-2011-3328
-
ImageIO
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8
Impatto: la visualizzazione di un file TIFF pericoloso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un overflow del buffer nella gestione di immagini TIFF codificate in ThunderScan. Questo problema è stato risolto aggiornando libtiff alla versione 3.9.5.
CVE-ID
CVE-2011-1167
-
Kernel
Disponibile per: OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: utilizzando FileVault, il disco potrebbe contenere dati utente non crittografati.
Descrizione: un problema della gestione da parte del kernel dell'immagine di stop usata per l'ibernazione lasciava alcuni dati non crittografati sul disco anche quando FileVault era abilitato. Il problema è stato risolto migliorando la gestione dell'immagine di stop e sovrascrivendo l'immagine di stop esistente durante l'aggiornamento a OS X 10.7.4. il problema non riguarda i sistemi precedenti a OS X Lion.
CVE-ID
CVE-2011-3212: Felix Groebert del Google Chrome Security Team
-
libarchive
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: l'estrazione di un archivio pericoloso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificavano più overflow del buffer nella gestione degli archivi tar e dei file iso9660.
CVE-ID
CVE-2011-1777
CVE-2011-1778
-
libsecurity
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: la visualizzazione di un certificato X.509 non sicuro, ad esempio visitando un sito web pericoloso, potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un problema di accesso alla memoria non inizializzata durante la gestione dei certificati X.509.
CVE-ID
CVE-2012-0654: Dirk-Willem van Gulik di WebWeaving.org, Guilherme Prado del Conselho da Justiça Federal, Ryan Sleevi di Google
-
libsecurity
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: il supporto dei certificati X.509 con chiavi RSA di lunghezza non sicura potrebbe esporre gli utenti a spoofing e divulgazione di informazioni.
Descrizione: i certificati firmati con chiavi RSA di lunghezza non sicura venivano accettati da libsecurity. Questo problema è stato risolto rifiutando i certificati contenenti chiavi RSA lunghe meno di 1024 bit.
CVE-ID
CVE-2012-0655
-
libxml
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: l'accesso a un sito web pericoloso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificavano diversi problemi di vulnerabilità in libxml, il più grave dei quali potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario. Questi problemi sono stati risolti applicando le relative patch upstream.
CVE-ID
CVE-2011-1944: Chris Evans del Google Chrome Security Team
CVE-2011-2821: Yang Dingning di NCNIPC, Università di Specializzazione dell'Accademia Cinese delle Scienze
CVE-2011-2834: Yang Dingning di NCNIPC, Università di Specializzazione dell'Accademia Cinese delle Scienze
CVE-2011-3919: Jüri Aedla
-
LoginUIFramework
Disponibile per: OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: se è attivato l'utente Ospite, un utente con accesso fisico al computer potrebbe riuscire ad accedere a un utente diverso da Ospite senza immettere una password.
Descrizione: si verificava una condizione di corsa critica nella gestione dei login utente Ospite. Questo problema non riguarda i sistemi precedenti a OS X Lion.
CVE-ID
CVE-2012-0656: Francisco Gómez (espectalll123)
-
PHP
Disponibile per: OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: diverse vulnerabilità in PHP.
Descrizione: l'aggiornamento di PHP alla versione 5.3.10 consente di risolvere diversi problemi di vulnerabilità, il più grave dei quali potrebbe comportare l'esecuzione di codice arbitrario. Ulteriori informazioni sono disponibili sul sito web di PHP http://www.php.net.
CVE-ID
CVE-2011-4566
CVE-2011-4885
CVE-2012-0830
-
Quartz Composer
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: un utente con accesso fisico al computer potrebbe riuscire a fare in modo che venga avviato Safari se lo schermo è bloccato e viene usato il salvaschermo RSS Visualizer.
Descrizione: si verificava un problema di controllo dell'accesso nella gestione dei salvaschermo da parte di Quartz Composer. Questo problema è stato risolto attraverso una migliore controllo della condizione di blocco dello schermo.
CVE-ID
CVE-2012-0657: Aaron Sigel di vtty.com
-
QuickTime
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: la visione di un filmato pericoloso durante un download progressivo potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un overflow del buffer nella gestione delle tabelle di campionamento audio.
CVE-ID
CVE-2012-0658: Luigi Auriemma collaboratore della Zero Day Initiative di HP
-
QuickTime
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: la visualizzazione di un file MPEG pericoloso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un overflow di numeri interi nella gestione dei file MPEG.
CVE-ID
CVE-2012-0659: un ricercatore anonimo collaboratore della Zero Day Initiative di HP
-
QuickTime
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: la visualizzazione di un file MPEG pericoloso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un underflow del buffer nella gestione dei file MPEG.
CVE-ID
CVE-2012-0660 : Justin Kim in Microsoft e Microsoft Vulnerability Research
-
QuickTime
Disponibile per: OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: la visualizzazione di un filmato pericoloso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un problema di utilizzo dopo il periodo gratuiti nella gestione dei filmati codificati come JPEG2000. Questo problema non riguarda i sistemi precedenti a OS X Lion.
CVE-ID
CVE-2012-0661: Damian Put collaboratore della Zero Day Initiative di HP
-
Ruby
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: diverse vulnerabilità in Ruby.
Descrizione: l'aggiornamento di Ruby alla versione 1.8.7-p357 consente di risolvere diversi problemi di vulnerabilità.
CVE-ID
CVE-2011-1004
CVE-2011-1005
CVE-2011-4815
-
Samba
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8.
Impatto: se è attivata la condivisione di file SMB, un malintenzionato non autenticato collegato in remoto potrebbe causare l'interruzione del servizio o l'esecuzione di codice arbitrario con privilegi di sistema.
Descrizione: si verificavano più overflow del buffer nella gestione delle chiamate a procedure remote in Samba. Inviando un pacchetto pericoloso, un malintenzionato non autenticato collegato in remoto potrebbe causare l'interruzione del servizio o l'esecuzione di codice arbitrario con privilegi di sistema. Questi problemi non riguardano i sistemi OS X Lion.
CVE-ID
CVE-2012-0870: Andy Davis di NGS Secure
CVE-2012-1182: un ricercatore anonimo collaboratore della Zero Day Initiative di HP
-
Framework di sicurezza
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: un malintenzionato collegato in remoto potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un overflow di numeri interi nel Framework di sicurezza. L'elaborazione di input non affidabile con il Framework di sicurezza può provocare un danneggiamento della memoria. Questo problema non riguarda i processi a 32 bit.
CVE-ID
CVE-2012-0662: aazubel collaboratore con la Zero Day Initiative di HP
-
Time Machine
Disponibile per: OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: un malintenzionato remoto potrebbe accedere alle credenziali di backup di Time Machine dell'utente.
Descrizione: l'utente poteva indicare una Time Capsule o un volume AFP remoto connessi a una Base AirPort da utilizzare per i backup di Time Machine. A partire dalla Base AirPort e dall'aggiornamento 7.6 del firmware di Time Capsule, le Time Capsule e la basi supportano su AFP un meccanismo di autenticazione sicuro basato su SRP. Tuttavia, Time Machine non richiedeva l'uso del meccanismo di autenticazione basato su SRP per le successive operazioni di backup, anche se Time Machine era stato inizialmente configurato aveva contattato una Time Capsule o una base che lo supportavano. Un malintenzionato in grado di eseguire lo spoofing del volume remoto poteva riuscire ad accedere alle credenziali Time Capsule dell'utente, anche se non ai dati di backup, inviate dal sistema dell'utente. Questo problema è stato risolto richiedendo l'uso del meccanismo di autenticazione basato su SRP se supportato dalla destinazione di backup.
CVE-ID
CVE-2012-0675: Renaud Deraison di Tenable Network Security, Inc.
-
X11
Disponibile per: OS X Lion dalla versione 10.7 alla 10.7.3, OS X Lion Server dalla versione 10.7 alla 10.7.3
Impatto: le applicazioni che usano libXfont per elaborare i dati compressi con LZW potrebbero essere soggette a una chiusura improvvisa o all'esecuzione di codice arbitrario.
Descrizione: si verificava un overflow del buffer nella gestione dei dati compressi con LZW da parte di libXfont. Questo problema è stato risolto aggiornando libXfont alla versione 1.4.4.
CVE-ID
CVE-2011-2895: Tomas Hoger di Red Hat
Nota: inoltre, questo aggiornamento filtra la variabili dell'ambiente di collegamento dinamico da dal un elenco di proprietà d'ambiente personalizzate nella directory principale dell'utente, se presente.