Informazioni sul contenuto di sicurezza di OS X Yosemite 10.10
In questo documento viene descritto il contenuto di sicurezza di OS X Yosemite 10.10.
Per proteggere i propri clienti, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Per ulteriori informazioni consulta il sito web sulla sicurezza dei prodotti Apple.
Per informazioni sulla chiave PGP per la sicurezza dei prodotti Apple leggi l'articolo Come usare la chiave PGP per la sicurezza dei prodotti Apple.
Quando possibile, vengono utilizzati ID CVE per fornire ulteriori informazioni sulle vulnerabilità.
Per informazioni su altri aggiornamenti di sicurezza consulta Aggiornamenti di sicurezza Apple.
OS X Yosemite 10.10
802.1X
Impatto: un malintenzionato può acquisire le credenziali Wi-Fi.
Descrizione: un malintenzionato potrebbe aver creato un falso punto di accesso Wi-Fi, offerto l'autenticazione tramite il protocollo LEAP, compromesso l'Hash MS-CHAPv1 e usato le credenziali derivanti per autenticare il punto di accesso determinato anche se tale punto di accesso supportava rigorosi metodi di autenticazione. Questo problema è stato risolto disabilitando il protocollo LEAP di default.
CVE-ID
CVE-2014-4364: Pieter Robyns, Bram Bonne, Peter Quax e Wim Lamotte della Universiteit Hasselt
File server AFP
Impatto: un malintenzionato collegato in remoto potrebbe determinare tutti gli indirizzi di rete del sistema.
Descrizione: il file server AFP supportava un comando che restituiva tutti gli indirizzi di rete del sistema. Questo problema è stato risolto rimuovendo gli indirizzi dal risultato.
CVE-ID
CVE-2014-4426: Craig Young di Tripwire VERT
Apache
Impatto: diversi problemi di vulnerabilità in Apache.
Descrizione: sono state rilevate diverse vulnerabilità in Apache, la più grave delle quali poteva causare l'interruzione del servizio. Questi problemi sono stati risolti aggiornando Apache alla versione 2.4.9.
CVE-ID
CVE-2013-6438
CVE-2014-0098
App Sandbox
Impatto: un'applicazione limitata dalle restrizioni della sandbox potrebbe usare in modo improprio l'API di accessibilità.
Descrizione: un'applicazione sandboxed poteva usare in modo improprio l'API di accessibilità a insaputa dell'utente. Questo problema è stato risolto richiedendo l'approvazione dell'amministratore per usare l'API di accessibilità in base all'applicazione.
CVE-ID
CVE-2014-4427: Paul S. Ziegler di Reflare UG
Bash
Impatto: in alcune configurazioni, un malintenzionato in remoto potrebbe essere in grado di eseguire comandi shell arbitrari.
Descrizione: si verificava un problema nell'analisi Bash delle variabili ambientali. Questo problema è stato risolto attraverso un'analisi delle variabili ambientali migliorata rilevando in modo efficiente l'obiettivo dell'istruzione function.
Questo aggiornamento ha incluso anche la modifica CVE-2014-7169 consigliata, che ripristina lo stato del parser.
Inoltre, ha aggiunto un nuovo namespace per le function esportate creando un decoratore function per impedire a un'intestazione indesiderata di passare attraverso Bash. È necessario che i nomi di tutte le variabili ambientali che introducono le definizioni di function presentino il prefisso "__BASH_FUNC<" e il suffisso ">()" per impedire a una function indesiderata di passare attraverso le intestazioni HTTP.
CVE-ID
CVE-2014-6271: Stephane Chazelas
CVE-2014-7169: Tavis Ormandy
Bluetooth
Impatto: un dispositivo di input Bluetooth dannoso potrebbe bypassare l'abbinamento.
Descrizione: le connessioni non crittografate erano autorizzate da dispositivi Bluetooth di classe HID (Human Interface Device) a basso consumo. Se un Mac è stato abbinato con un dispositivo simile, un malintenzionato poteva corrompere il dispositivo autorizzato per stabilire una connessione. Questo problema è stato risolto rifiutando le connessioni HID non crittografate.
CVE-ID
CVE-2014-4428: Mike Ryan di iSEC Partners
CFPreferences
Impatto: la preferenza "imposta la richiesta della password dopo lo stop o l'avvio del salvaschermo" potrebbe non venire rispettata fino al riavvio.
Descrizione: si verificava un problema relativo alla gestione della sessione nella gestione delle impostazioni di Preferenze di Sistema. Il problema è stato risolto migliorando il tracking della sessione.
CVE-ID
CVE-2014-4425
Certificate Trust Policy
Impatto: è stato effettuato l'aggiornamento al Certificate Trust Policy.
Descrizione: il Certificate Trust Policy è stato aggiornato. Puoi visualizzare l'elenco completo dei certificati all'indirizzo http://support.apple.com/kb/HT6005.
CoreStorage
Impatto: un volume crittografato potrebbe restare sbloccato quando espulso.
Descrizione: quando un volume crittografato attivo veniva espulso in modo logico, il volume veniva disattivato ma le chiavi mantenute, in modo da poterlo attivare di nuovo senza password. Questo problema è stato risolto cancellando le chiavi al momento dell'espulsione.
CVE-ID
CVE-2014-4430: Benjamin King di See Ben Click Computer Services LLC, Karsten Iwen, Dustin Li (http://dustin.li/), Ken J. Takekoshi e altri ricercatori anonimi
CUPS
Impatto: un utente locale può eseguire codice arbitrario con i privilegi di sistema.
Descrizione: quando l'interfaccia web di CUPS forniva file, seguiva collegamenti simbolici. Un utente locale poteva creare collegamenti simbolici per file arbitrari e recuperare questi ultimi attraverso l'interfaccia web. Questo problema è stato risolto impedendo all'interfaccia web di CUPS di fornire collegamenti simbolici.
CVE-ID
CVE-2014-3537
Dock
Impatto: in determinate circostanze le finestre potrebbero risultare visibili anche se lo schermo è bloccato.
Descrizione: si verificava un problema relativo alla gestione dello stato nella gestione del blocco schermo. Questo problema è stato risolto migliorando il tracciamento dello stato.
CVE-ID
CVE-2014-4431: Emil Sjölander di Umeå University
fdesetup
Impatto: il comando fdesetup potrebbe fornire uno stato fuorviante per lo stato di crittografia sul disco.
Descrizione: dopo l'aggiornamento delle impostazioni, ma prima del riavvio, il comando fdesetup forniva uno stato fuorviante. Questo problema è stato risolto migliorando la segnalazione dello stato.
CVE-ID
CVE-2014-4432
Trova il mio Mac di iCloud
Impatto: il PIN della modalità Smarrito potrebbe essere esposto agli attacchi forza bruta.
Descrizione: un problema relativo alla persistenza dello stato nella limitazione di velocità consentiva gli attacchi forza bruta sul PIN della modalità Smarrito di iCloud. Questo problema è stato risolto migliorando la persistenza dello stato dopo il riavvio.
CVE-ID
CVE-2014-4435: knoy
IOAcceleratorFamily
Impatto: un'applicazione potrebbe causare un'interruzione del servizio.
Descrizione: si verificava un problema relativo alla dereferenziazione del puntatore null nel driver IntelAccelerator. Questo problema è stato risolto migliorando la gestione degli errori.
CVE-ID
CVE-2014-4373: cunzhang di Adlab di Venustech
IOHIDFamily
Impatto: un'applicazione pericolosa potrebbe eseguire codice arbitrario con privilegi di sistema.
Descrizione: si verificava un problema relativo alla dereferenziazione del puntatore null nella gestione delle proprietà di mappatura dei tasti da parte di IOHIDFamily. Questo problema è stato risolto migliorando la convalida delle proprietà di mappatura dei tasti di IOHIDFamily.
CVE-ID
CVE-2014-4405: Ian Beer della Google Project Zero
IOHIDFamily
Impatto: un'applicazione pericolosa potrebbe eseguire codice arbitrario con privilegi di sistema.
Descrizione: si è verificato un overflow del buffer di heap nella gestione delle proprietà di mappatura dei tasti da parte di IOHIDFamily. Questo problema è stato risolto attraverso un migliore controllo dei limiti.
CVE-ID
CVE-2014-4404: Ian Beer della Google Project Zero
IOHIDFamily
Impatto: un'applicazione potrebbe causare un'interruzione del servizio.
Descrizione: si verificava un problema relativo alla lettura della memoria non nei limiti nel driver IOHIDFamily. Questo problema è stato risolto migliorando la convalida dell'input.
CVE-ID
CVE-2014-4436: cunzhang da Adlab di Venustech
IOHIDFamily
Impatto: un utente potrebbe eseguire codici arbitrari con privilegi di sistema.
Descrizione: si verificava un problema relativo alla scrittura non nei limiti nel driver IOHIDFamily. Questo problema è stato risolto migliorando la convalida dell'input.
CVE-ID
CVE-2014-4380: cunzhang di Adlab di Venustech
IOKit
Impatto: un'applicazione pericolosa potrebbe leggere dati non inizializzati dalla memoria kernel.
Descrizione: si verificava un problema relativo all'accesso alla memoria non inizializzata nella gestione delle funzioni di IOKit. Questo problema è stato risolto mediante una migliore inizializzazione della memoria.
CVE-ID
CVE-2014-4407: @PanguTeam
IOKit
Impatto: un'applicazione pericolosa potrebbe eseguire codice arbitrario con privilegi di sistema.
Descrizione: si verificava un problema di convalida nella gestione di alcuni campi metadati di oggetti IODataQueue. Questo problema è stato risolto attraverso una migliore convalida dei metadati.
CVE-ID
CVE-2014-4388: @PanguTeam
IOKit
Impatto: un'applicazione pericolosa potrebbe eseguire codice arbitrario con privilegi di sistema.
Descrizione: si verificava un problema di convalida nella gestione di alcuni campi metadati di oggetti IODataQueue. Questo problema è stato risolto attraverso una migliore convalida dei metadati.
CVE-ID
CVE-2014-4418: Ian Beer della Google Project Zero
Kernel
Impatto: un utente locale potrebbe determinare il layout della memoria di kernel.
Descrizione: si verificavano diversi problemi relativi alla memoria non inizializzata nell'interfaccia delle statistiche di rete che comportavano la divulgazione dei contenuti della memoria di kernel. Questo problema è stato risolto attraverso un'ulteriore inizializzazione della memoria.
CVE-ID
CVE-2014-4371: Fermin J. Serna del Google Security Team
CVE-2014-4419: Fermin J. Serna del Google Security Team
CVE-2014-4420: Fermin J. Serna del Google Security Team
CVE-2014-4421: Fermin J. Serna del Google Security Team
Kernel
Impatto: un file system pericoloso potrebbe causare l'arresto imprevisto del sistema o l'esecuzione di codice arbitrario.
Descrizione: si verificava un problema relativo all'overflow del buffer della memoria heap nella gestione dei resource fork di HFS. Un file system pericoloso poteva causare l'arresto imprevisto del sistema o l'esecuzione di codice arbitrario con privilegi kernel. Il problema è stato risolto attraverso un migliore controllo dei limiti.
CVE-ID
CVE-2014-4433: Maksymilian Arciemowicz
Kernel
Impatto: un file system dannoso potrebbe causare l'arresto imprevisto del sistema.
Descrizione: si verificava un problema relativo alla dereferenziazione del puntatore NULL nella gestione dei nomi dei file di HFS. Un nome di file pericoloso poteva causare l'arresto imprevisto del sistema. Questo problema è stato risolto evitando la dereferenziazione del puntatore NULL.
CVE-ID
CVE-2014-4434: Maksymilian Arciemowicz
Kernel
Impatto: un utente locale potrebbe riuscire a causare una chiusura improvvisa del sistema o l'esecuzione di codice arbitrario nel kernel.
Descrizione: si verificava un problema relativo al double free nella gestione delle porte Mach. Questo problema è stato risolto attraverso una migliore convalida delle porte Mach.
CVE-ID
CVE-2014-4375: un ricercatore anonimo
Kernel
Impatto: un individuo con una posizione privilegiata in rete potrebbe causare un DoS (Denial of Service).
Descrizione: si verificava una condizione critica nella gestione dei pacchetti IPv6. Questo problema è stato risolto attraverso un migliore controllo dello stato di blocco.
CVE-ID
CVE-2011-2391: Marc Heuse
Kernel
Impatto: un utente locale potrebbe riuscire a causare una chiusura improvvisa del sistema o l'esecuzione di codice arbitrario nel kernel.
Descrizione: si verificava un problema di lettura non nei limiti in rt_setgate. Ciò potrebbe comportare la divulgazione della memoria o il danneggiamento della memoria. Questo problema è stato risolto attraverso un migliore controllo dei limiti.
CVE-ID
CVE-2014-4408
Kernel
Impatto: un utente locale può causare una chiusura imprevista del sistema.
Descrizione: è stato rilevato un panic raggiungibile nella gestione dei messaggi inviati ai socket di controllo del sistema. Questo problema è stato risolto attraverso un'ulteriore convalida dei messaggi.
CVE-ID
CVE-2014-4442: Darius Davis di VMware
Kernel
Impatto: alcune misure per l'hardening del kernel potrebbero essere ignorate.
Descrizione: il generatore del numero casuale usato in alcune misure per l'hardening del kernel in precedenza durante il processo di avvio non era protetto in modo crittografato e alcuni risultati erano desumibili dallo spazio dell'utente, permettendo di ignorare le misure per l'hardening. Questo problema è stato risolto usando un algoritmo protetto in modo crittografato.
CVE-ID
CVE-2014-4422: Tarjei Mandt di Azimuth Security
LaunchServices
Impatto: un'applicazione locale potrebbe bypassare le restrizioni della sandbox.
Descrizione: l'interfaccia LaunchServices per l'impostazione dei gestori dei tipi di contenuti consentiva alle applicazioni sandboxed di specificare i gestori per i tipi di contenuti esistenti. Un'applicazione compromessa poteva approfittarne per bypassare le restrizioni della sandbox. Questo problema è stato risolto limitando la specificazione dei gestori dei tipi di contenuti da parte delle applicazioni sandboxed.
CVE-ID
CVE-2014-4437: Meder Kydyraliev del Google Security Team
LoginWindow
Impatto: talvolta lo schermo potrebbe non venire bloccato.
Descrizione: si verificava una condizione critica in LoginWindow, che talvolta impediva il blocco dello schermo. Questo problema è stato risolto modificando l'ordine delle operazioni.
CVE-ID
CVE-2014-4438: Harry Sintonen di nSense, Alessandro Lobina di Helvetia Insurances, Patryk Szlagowski di Funky Monkey Labs
Mail
Impatto: Mail potrebbe inviare email a destinatari indesiderati.
Descrizione: un'incoerenza dell'interfaccia utente nell'applicazione Mail causava l'invio di email a indirizzi rimossi dall'elenco dei destinatari. Questo problema è stato risolto migliorando le verifiche della coerenza dell'interfaccia utente.
CVE-ID
CVE-2014-4439: Patrick J Power di Melbourne, Australia
Profili di configurazione desktop MCX
Impatto: quando i profili di configurazione mobile vengono disinstallati, le relative impostazioni non vengono rimosse.
Descrizione: le impostazioni proxy web installate da un profilo di configurazione mobile non venivano rimosse quando il profilo veniva disinstallato. Questo problema è stato risolto migliorando la gestione della disinstallazione del profilo.
CVE-ID
CVE-2014-4440: Kevin Koster di Cloudpath Networks
Framework del client NetFS
Impatto: Condivisione file potrebbe inserire uno stato in cui non può essere disabilitato.
Descrizione: si verificava un problema di gestione dello stato nel framework di Condivisione file. Questo problema è stato risolto attraverso una migliore gestione dello stato.
CVE-ID
CVE-2014-4441: Eduardo Bonsi di BEARTCOMMUNICATIONS
QuickTime
Impatto: la riproduzione di un file m4a pericoloso potrebbe causare la chiusura imprevista di un'applicazione o l'esecuzione di codice arbitrario.
Descrizione: si verificava un overflow del buffer nella gestione dei campionamenti audio. Questo problema è stato risolto attraverso un migliore controllo dei limiti.
CVE-ID
CVE-2014-4351: Karl Smith di NCC Group
Safari
Impatto: la cronologia delle pagine visitate recentemente in un pannello aperto potrebbe essere mantenuta dopo la cancellazione della cronologia.
Descrizione: la cancellazione della cronologia di Safari non comportava l'eliminazione della cronologia di esplorazione dei pannelli aperti. Questo problema è stato risolto cancellando la cronologia di esplorazione.
CVE-ID
CVE-2013-5150
Safari
Impatto: l'attivazione delle notifiche push da un sito web pericoloso potrebbe causare la perdita di notifiche push di Safari future.
Descrizione: si verificava un problema relativo a un'eccezione non rilevata nella gestione delle notifiche push di Safari di SafariNotificationAgent. Questo problema è stato risolto migliorando la gestione delle notifiche push di Safari.
CVE-ID
CVE-2014-4417: Marek Isalski di Faelix Limited
Secure Transport
Impatto: un malintenzionato potrebbe essere in grado di decodificare i dati protetti con SSL.
Descrizione: si sono verificati casi confermati di attacchi alla riservatezza SSL 3.0 quando una suite di cifratura utilizza una cifratura a blocchi in modalità CBC. Un malintenzionato potrebbe forzare l'uso di SSL 3.0 anche se il server supporta una versione TLS migliore, bloccando i tentativi di connessione con TLS 1.0 e versioni più recenti. Questo problema è stato risolto disabilitando le suite di codice CBC quando i tentativi di connessione TLS falliscono.
CVE-ID
CVE-2014-3566: Bodo Moeller, Thai Duong e Krzysztof Kotowicz del Google Security Team
Sicurezza
Impatto: un utente remoto malintenzionato potrebbe causare un DoS ("Denial of Service").
Descrizione: è stata rilevata una dereferenziazione del puntatore null nella gestione dei dati ASN.1. Questo problema è stato risolto attraverso un'ulteriore convalida dei dati ASN.1.
CVE-ID
CVE-2014-4443: Coverity
Sicurezza
Impatto: un utente locale potrebbe disporre dell'accesso ai ticket Kerberos di un altro utente.
Descrizione: si verificava un problema di gestione dello stato in SecurityAgent. Con Cambio utente rapido talvolta un ticket Kerberos per il nuovo utente poteva essere collocato nella cache per l'utente precedente. Questo problema è stato risolto attraverso una migliore gestione dello stato.
CVE-ID
CVE-2014-4444: Gary Simon di Sandia National Laboratories, Ragnar Sundblad di KTH Royal Institute of Technology, Eugene Homyakov di Kaspersky Lab
Sicurezza - Firma del codice
Impatto: l'avvio delle applicazioni manomesse potrebbe non essere impedito.
Descrizione: le app firmate su versioni di OS X precedenti a OS X Mavericks 10.9 o le app che usano le regole delle risorse personalizzate potevano essere manomesse senza invalidare la firma. Sui sistemi impostati per autorizzare solo le app da Mac App Store e sviluppatori identificati, l'esecuzione di un'app modificata scaricata poteva essere autorizzata come legittima. Questo problema è stato risolto ignorando le firme dei pacchetti con le buste delle risorse che omettono le risorse che potrebbero interessare l'esecuzione. OS X Mavericks 10.9.5 e Aggiornamento di sicurezza 2014-004 per OS X Mountain Lion 10.8.5 contengono già queste modifiche.
CVE-ID
CVE-2014-4391: Christopher Hickstein collaboratore della Zero Day Initiative di HP
Nota: OS X Yosemite include Safari 8.0, che integra il contenuto di sicurezza di Safari 7.1. Per ulteriori dettagli consultare Informazioni sul contenuto di sicurezza di Safari 7.1.
Le informazioni su prodotti non fabbricati da Apple, o su siti web indipendenti non controllati o testati da Apple, non implicano alcuna raccomandazione o approvazione. Apple non si assume alcuna responsabilità in merito alla scelta, alle prestazioni o all'utilizzo di prodotti o siti web di terze parti. Apple non esprime alcuna opinione in merito alla precisione o all'affidabilità dei siti web di terze parti. Per ulteriori informazioni contatta il fornitore.