In questo documento viene descritto il contenuto di sicurezza di OS X Server 3.0.
Per proteggere i propri clienti, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Per ulteriori informazioni, consulta il sito web sulla sicurezza dei prodotti Apple.
Per informazioni sulla chiave PGP per la sicurezza dei prodotti Apple, consulta Come usare la chiave PGP per la sicurezza dei prodotti Apple.
Quando possibile, vengono utilizzati ID CVE per fornire ulteriori informazioni sulle vulnerabilità.
Per informazioni su altri aggiornamenti di sicurezza, consulta Aggiornamenti di sicurezza Apple.
OS X Server 3.0
-
Gestore profilo
Disponibile per: OS X Mavericks 10.9 o versioni successive
Impatto: un malintenzionato collegato in remoto potrebbe causare un DoS ("Denial of Service")
Descrizione: la gemma JSON contenuta in Ruby provoca un'allocazione permanente della memoria durante il parsing di determinati costrutti nel suo input. Un utente malintenzionato può servirsene per sfruttare tutta la memoria disponibile causando un DoS. Questo problema è stato risolto attraverso un'ulteriore convalida dei dati JSON.
CVE-ID
CVE-2013-0269
-
Gestore profilo
Disponibile per: OS X Mavericks 10.9 o versioni successive
Impatto: potrebbero verificarsi diversi problemi in Ruby on Rails
Descrizione: si verificano diversi problemi in Ruby on Rails, il più grave dei quali può comportare uno scripting di tipo cross-site. Questi problemi sono stati risolti aggiornando l'implementazione di Rails utilizzata da Gestore profilo alla versione 2.3.18.
CVE-ID
CVE-2013-1854
CVE-2013-1855
CVE-2013-1856
CVE-2013-1857
-
FreeRADIUS
Disponibile per: OS X Mavericks 10.9 o versioni successive
Impatto: un malintenzionato collegato in remoto potrebbe causare un DoS o l'esecuzione di codice arbitrario
Descrizione: nel parsing del timestamp di tipo "not after" all'interno di un certificato client si verifica un sovraccarico del buffer durante l'utilizzo di metodi EAP basati su TLS. Questo problema è stato risolto aggiornando FreeRADIUS alla versione 2.2.0.
CVE-ID
CVE-2012-3547
-
App Server
Disponibile per: OS X Mavericks 10.9 o versioni successive
Impatto: il server potrebbe utilizzare un certificato di fallback durante l'autenticazione
Descrizione: a causa di un problema logico il certificato selezionato dal servizio RADIUS tra quelli configurati in elenco risulta errato. Questo problema è stato risolto utilizzando lo stesso certificato di altri servizi.
CVE-ID
CVE-2013-5143: Arek Dreyer di Dreyer Network Consultants, Inc.