È possibile scaricare e installare OS X Mountain Lion 10.8.3 e l'aggiornamento di sicurezza 2013-001 tramite le preferenze Aggiornamento Software o dalla pagina Download di Apple.
Per proteggere i propri clienti, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Per ulteriori informazioni consulta il sito web sulla sicurezza dei prodotti Apple.
Per informazioni sulla chiave PGP per la sicurezza dei prodotti Apple leggi l'articolo "Come usare la chiave PGP per la sicurezza dei prodotti Apple".
Quando possibile, vengono utilizzati gli ID CVE per fornire ulteriori informazioni sulle vulnerabilità.
Per informazioni su altri aggiornamenti di sicurezza consulta "Aggiornamenti di sicurezza Apple".
Nota: OS X Mountain Lion 10.8.3 include il contenuto di Safari 6.0.3. Per ulteriori informazioni consulta l'articolo Informazioni sui contenuti di sicurezza di Safari 6.0.3.
OS X Mountain Lion 10.8.3 e aggiornamento di sicurezza 2013-001
Apache
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.5, OS X Lion Server dalla versione 10.7 alla 10.7.5, OS X Mountain Lion dalla versione 10.8 alla 10.8.2
Impatto: un malintenzionato può accedere alle directory protette mediante autenticazione HTTP pur non conoscendo le credenziali corrette.
Descrizione: si verifica un problema di canonicalizzazione nella gestione degli URI con sequenze di caratteri Unicode ignorabili. Questo problema viene risolto aggiornando mod_hfs_apple in modo da impedire l'accesso agli URI con sequenze di caratteri Unicode ignorabili.
ID CVE
CVE-2013-0966: Clint Ruoho di Laconic Security
CoreTypes
Disponibile per: OS X Lion dalla versione 10.7 alla 10.7.5, OS X Lion Server dalla versione 10.7 alla 10.7.5, OS X Mountain Lion dalla versione 10.8 alla 10.8.2
Impatto: l'accesso a un sito web pericoloso può determinare l'avvio automatico di un'applicazione Java Web Start anche se il plugin Java è disattivato.
Descrizione: l'esecuzione delle applicazioni Java Web Start è possibile anche se il plugin Java è disattivato. Questo problema viene risolto rimuovendo i file JNLP dall'elenco dei tipi di file CoreTypes sicuri, in modo da impedire l'esecuzione delle applicazioni Web Start, a meno che queste non vengano avviate dall'utente nella directory dei download.
ID CVE
CVE-2013-0967
ICU (International Components for Unicode)
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.5, OS X Lion Server dalla versione 10.7 alla 10.7.5, OS X Mountain Lion dalla versione 10.8 alla 10.8.2
Impatto: l'accesso a un sito web pericoloso potrebbe causare un attacco di scripting cross-site.
Descrizione: si verifica un problema di canonicalizzazione nella gestione della codifica EUC-JP, che può causare un attacco di scripting cross-site nei siti web con codifica EUC-JP. Questo problema viene risolto aggiornando la tabella di mapping EUC-JP.
ID CVE
CVE-2011-3058: Masato Kinugawa
Servizi di identità
Disponibile per: OS X Lion dalla versione 10.7 alla 10.7.5, OS X Lion Server dalla versione 10.7 alla 10.7.5, OS X Mountain Lion dalla versione 10.8 alla 10.8.2
Impatto: l'autenticazione basata su ID Apple con certificato può essere ignorata.
Descrizione: si verifica un problema di gestione degli errori in Servizi di identità. Se l'operazione di convalida del certificato associato all'ID Apple dell'utente non riesce, l'ID Apple viene considerato una stringa vuota. Se questa situazione si verifica in più sistemi appartenenti a utenti diversi, le applicazioni basate su questa determinazione dell'identità possono erroneamente estendere l'affidabilità. Questo problema viene risolto assicurando la restituzione del valore NULL invece di una stringa vuota.
ID CVE
CVE-2013-0963
ImageIO
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.5, OS X Lion Server dalla versione 10.7 alla 10.7.5, OS X Mountain Lion dalla versione 10.8 alla 10.8.2
Impatto: la visualizzazione di un file TIFF pericoloso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un overflow del buffer nella gestione delle immagini TIFF da parte della libreria libtiff. Questo problema viene risolto attraverso un'ulteriore convalida delle immagini TIFF.
ID CVE
CVE-2012-2088
IOAcceleratorFamily
Disponibile per: OS X Mountain Lion dalla versione 10.8 alla 10.8.2
Impatto: la visualizzazione di un'immagine pericolosa può causare una chiusura improvvisa del sistema o l'esecuzione di codice arbitrario.
Descrizione: si verifica un problema di danneggiamento della memoria nella gestione dei dati grafici. Questo problema viene risolto attraverso un migliore controllo dei limiti.
ID CVE
CVE-2013-0976: un ricercatore anonimo
Kernel
Disponibile per: OS X Mountain Lion dalla versione 10.8 alla 10.8.2
Impatto: le applicazioni dannose o compromesse possono riuscire a rilevare gli indirizzi nel kernel.
Descrizione: si verifica un problema di gestione delle API collegate alle estensioni del kernel che causa la divulgazione di informazioni. Le risposte contenenti un codice OSBundleMachOHeaders possono includere indirizzi kernel in grado di ignorare la protezione ASLR (Address Space Layout Randomization, casualizzazione dello spazio degli indirizzi). Questo problema viene risolto sbloccando gli indirizzi prima della loro restituzione.
ID CVE
CVE-2012-3749: Mark Dowd di Azimuth Security, Eric Monti di Square e altri ricercatori anonimi
Finestra di login
Disponibile per: OS X Mountain Lion dalla versione 10.8 alla 10.8.2
Impatto: un malintenzionato con accesso alla tastiera può modificare la configurazione di sistema.
Descrizione: si verifica un errore logico nella gestione della finestra di login da parte di VoiceOver, per cui un malintenzionato con accesso alla tastiera può avviare Preferenze di Sistema e modificare la configurazione di sistema. Questo problema viene risolto impedendo a VoiceOver di avviare applicazioni dalla finestra di login.
ID CVE
CVE-2013-0969: Eric A. Schulman di Purpletree Labs
Messaggi
Disponibile per: OS X Mountain Lion dalla versione 10.8 alla 10.8.2
Impatto: una chiamata FaceTime senza alcuna richiesta di conferma può essere avviata facendo clic su un link da Messaggi.
Descrizione: se in Messaggi viene fatto clic su un URL FaceTime:// con una specifica formattazione, la richiesta di conferma standard può essere ignorata. Questo problema viene risolto attraverso un'ulteriore convalida degli URL FaceTime://.
ID CVE
CVE-2013-0970: Aaron Sigel di vtty.com
Server dei messaggi
Disponibile per: Mac OS X Server 10.6.8, OS X Lion Server dalla versione 10.7 alla 10.7.5
Impatto: un malintenzionato collegato in remoto può deviare i messaggi Jabber federativi.
Descrizione: si verifica un problema nella gestione del server Jabber dei messaggi ottenuti da dialback. Un malintenzionato può fare in modo che il server Jabber divulghi informazioni destinate a utenti di server federativi. Questo problema viene risolto migliorando la gestione dei messaggi ottenuti da dialback.
ID CVE
CVE-2012-3525
PDFKit
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.5, OS X Lion Server dalla versione 10.7 alla 10.7.5, OS X Mountain Lion dalla versione 10.8 alla 10.8.2
Impatto: la visualizzazione di un file PDF pericoloso potrebbe provocare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un problema di tipo use-after-free nella gestione delle annotazioni a penna nei file PDF. Questo problema viene risolto mediante una migliore gestione della memoria.
ID CVE
CVE-2013-0971: Tobias Klein, collaboratore della Zero Day Initiative di HP TippingPoint
Server Podcast Producer
Disponibile per: Mac OS X Server 10.6.8, OS X Lion Server dalla versione 10.7 alla 10.7.5
Impatto: un malintenzionato collegato in remoto può causare l'esecuzione di codice arbitrario
Descrizione: si verifica un errore di casting di tipo nella gestione dei parametri XML da parte di Ruby on Rails. Questo problema viene risolto disattivando i parametri XML nell'implementazione di Rails utilizzata dal server Podcast Producer.
ID CVE
CVE-2013-0156
Server Podcast Producer
Disponibile per: OS X Lion Server dalla versione 10.7 alla 10.7.5
Impatto: un malintenzionato collegato in remoto può causare l'esecuzione di codice arbitrario
Descrizione: si verifica un errore di casting di tipo nella gestione dei dati JSON da parte di Ruby on Rails. Questo problema viene risolto utilizzando il backend JSONGem per l'analisi JSON nell'implementazione di Rails utilizzata dal server Podcast Producer.
ID CVE
CVE-2013-0333
PostgreSQL
Disponibile per: Mac OS X Server 10.6.8, OS X Lion Server dalla versione 10.7 alla 10.7.5
Impatto: sono presenti diverse vulnerabilità in PostgreSQL.
Descrizione: PostgreSQL viene aggiornato alla versione 9.1.5 per risolvere diverse vulnerabilità, la più grave delle quali consente agli utenti del database di leggere i file dal file system con i privilegi dell'account del server del database. Ulteriori informazioni sono disponibili sul sito web di PostgreSQL all'indirizzo http://www.postgresql.org/docs/9.1/static/release-9-1-5.html.
ID CVE
CVE-2012-3488
CVE-2012-3489
Gestore profilo
Disponibile per: OS X Lion Server dalla versione 10.7 alla 10.7.5
Impatto: un malintenzionato collegato in remoto può causare l'esecuzione di codice arbitrario
Descrizione: si verifica un errore di casting di tipo nella gestione dei parametri XML da parte di Ruby on Rails. Questo problema viene risolto disattivando i parametri XML nell'implementazione di Rails utilizzata da Gestore profilo.
ID CVE
CVE-2013-0156
QuickTime
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.5, OS X Lion Server dalla versione 10.7 alla 10.7.5, OS X Mountain Lion dalla versione 10.8 alla 10.8.2
Impatto: la visualizzazione di un file video pericoloso potrebbe provocare la chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verifica un overflow del buffer nella gestione delle caselle 'rnet' nei file MP4. Questo problema viene risolto attraverso un migliore controllo dei limiti.
ID CVE
CVE-2012-3756: Kevin Szkudlapski di QuarksLab
Ruby
Disponibile per: Mac OS X Server 10.6.8
Impatto: un malintenzionato collegato in remoto può causare l'esecuzione di codice arbitrario se è in esecuzione un'applicazione Rails.
Descrizione: si verifica un errore di casting di tipo nella gestione dei parametri XML da parte di Ruby on Rails. Questo problema viene risolto disattivando YAML e i simboli nei parametri XML in Rails.
ID CVE
CVE-2013-0156
Sicurezza
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.5, OS X Lion Server dalla versione 10.7 alla 10.7.5, OS X Mountain Lion dalla versione 10.8 alla 10.8.2
Impatto: un malintenzionato con una posizione privilegiata sulla rete potrebbe intercettare le credenziali dell'utente o altre informazioni riservate.
Descrizione: diversi certificati CA intermedi vengono erroneamente emessi da TURKTRUST. Ciò consentiva a un malintenzionato di portare a termine attacchi man-in-the-middle reindirizzando le connessioni e intercettando le credenziali utente o altre informazioni riservate. Questo problema viene risolto negando le autorizzazioni ai certificati SSL non corretti.
Aggiornamento Software
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.5, OS X Lion Server dalla versione 10.7 alla 10.7.5
Impatto: un malintenzionato con una posizione privilegiata sulla rete può causare l'esecuzione di codice arbitrario.
Descrizione: Aggiornamento Software consente nell'ambito di un attacco man-in-the-middle di inserire i contenuti di un plugin all'interno del testo di marketing visualizzato per gli aggiornamenti. Ciò può causare l'utilizzo di plugin vulnerabili o facilitare gli attacchi di ingegneria sociale basati sull'uso di plugin. Questo problema non interessa i sistemi OS X Mountain Lion e viene risolto impedendo il caricamento di plugin nella WebView dei testi di marketing di Aggiornamento Software.
ID CVE
CVE-2013-0973: Emilio Escobar
Wiki Server
Disponibile per: OS X Lion Server dalla versione 10.7 alla 10.7.5
Impatto: un malintenzionato collegato in remoto può causare l'esecuzione di codice arbitrario
Descrizione: si verifica un errore di casting di tipo nella gestione dei parametri XML da parte di Ruby on Rails. Questo problema viene risolto disattivando i parametri XML nell'implementazione di Rails utilizzata da Server Wiki.
ID CVE
CVE-2013-0156
Wiki Server
Disponibile per: OS X Lion Server dalla versione 10.7 alla 10.7.5
Impatto: un malintenzionato collegato in remoto può causare l'esecuzione di codice arbitrario
Descrizione: si verifica un errore di casting di tipo nella gestione dei dati JSON da parte di Ruby on Rails. Questo problema viene risolto utilizzando il backend JSONGem per l'analisi JSON nell'implementazione di Rails utilizzata da Server Wiki.
ID CVE
CVE-2013-0333
Rimozione di malware
Disponibile per: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion dalla versione 10.7 alla 10.7.5, OS X Lion Server dalla versione 10.7 alla 10.7.5, OS X Mountain Lion dalla versione 10.8 alla 10.8.2
Descrizione: questo aggiornamento esegue uno strumento di rimozione del malware che ne rimuove le varianti più comuni. Nel caso in cui venga rilevato malware, viene visualizzata una finestra di dialogo che comunica all'utente l'avvenuta rimozione del malware. L'utente non visualizzerà alcun messaggio se il malware non verrà individuato.
FaceTime non è disponibile in tutti i Paesi o in tutte le aree geografiche.