OS X Mavericks v10.9 のセキュリティコンテンツについて

OS X Mavericks v10.9 のセキュリティコンテンツについて説明します。

Apple では、ユーザ保護の観点から、完全な調査が終了して必要なパッチやリリースが利用可能になるまではセキュリティ上の問題を公開、説明、または是認いたしません。Apple 製品のセキュリティについては「Apple 製品のセキュリティ」Web サイトを参照してください。

Apple Product Security PGP キーについては、こちらの記事を参照してください。

CVE ID を使って脆弱性を調べることもできます。

その他のセキュリティアップデートについては、こちらの記事を参照してください。

OS X Mavericks v10.9

アプリケーションファイアウォール
影響：socketfilterfw --blockApp によって、アプリケーションのネットワーク接続を阻止できない場合がある。
説明：socketfilterfw コマンドラインツールの --blockApp オプションを実行しても、アプリケーションのネットワーク接続を正しくブロックできない場合があります。この問題は、--blockApp オプションの処理を改善することで解決されました。
CVE-ID
CVE-2013-5165：PopCap Games のAlexander Frangis 氏

App のサンドボックス
影響：App サンドボックスがバイパスされる可能性がある。
説明：アプリケーションを起動するときに使う LaunchServices インターフェイスで、サンドボックス化した App によって、新規プロセスに引き渡す引数のリストが指定され、サンドボックス化したアプリケーションのセキュリティが脆弱な場合、サンドボックスをバイパスできる場合があります。この問題は、サンドボックス化したアプリケーションが引数を指定できないようにすることで解決されました。
CVE-ID
CVE-2013-5179：The Soulmen GbR の Friedrich Graeter 氏

Bluetooth
影響：悪意のあるローカルアプリケーションが原因で、システムが突然終了する場合がある。
説明：Bluetooth USB ホストコントローラによって、後の操作に必要なインターフェイスが削除される場合があります。この問題は、不要になるまでインターフェイスを保持することで解決されました。
CVE-ID
CVE-2013-5166：ミラノ大学 Computer and Network Security Lab (LaSER) の Stefano Bianchi Mazzone 氏、Mattia Pagnozzi 氏、Aristide Fattori 氏

CFNetwork
影響：Safari をリセットしても、セッションの Cookie が削除されない場合がある。
説明：Safari をリセットしても、Safari を終了するまで、セッションの Cookie が削除されない場合があります。この問題は、セッションの Cookie 処理を改善することで解決されました。
CVE-ID
CVE-2013-5167：アムハースト大学の Graham Bennett 氏および Rob Ansaldo 氏

CFNetwork SSL
影響：攻撃者が SSL 接続の一部を復号化する可能性がある。
説明：SSL は、SSLv3 と TLS 1.0 バージョンのみが使用されていましたが、これらのバージョンは、ブロック暗号を使う際にプロトコルの脆弱性に影響を受けます。中間者攻撃を行う攻撃者が、無効なデータを挿入して接続を閉じ、以前のデータに関する情報を開示させる可能性があります。同じ接続が繰り返し試行された場合、最終的に、攻撃者によってパスワードなどの送信データが復号化される可能性があります。この問題は、TLS 1.2. を有効にすることで解決されました。
CVE-ID
CVE-2011-3389

コンソール
影響：悪意のあるログエントリをクリックすると、アプリケーションが突然終了する場合がある。
説明：このアップデートでは、URL が添付されているログエントリをクリックした場合のコンソールの動作が変更され、URL を開くのではなく、Quick Look で URL をプレビューできるようになっています。
CVE-ID
CVE-2013-5168：vtty.com の Aaron Sigel 氏

CoreGraphics
影響：ディスプレイをスリープしても、ロック画面にウインドウが表示される場合がある。
説明：CoreGraphics でのディスプレイのスリープモードの処理にロジックの問題が存在し、データの破損が原因で、ロック画面でウインドウが表示される場合があります。この問題はディスプレイスリープの処理を改善することで解決されました。
CVE-ID
CVE-2013-5169

CoreGraphics
影響：悪意を持って作成された PDF ファイルを開くと、アプリケーションが突然終了したり任意のコードが実行されたりする可能性がある。
説明：PDF ファイルの処理にバッファオーバーフローの問題が存在します。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2013-5170：CERT/CC の Will Dormann 氏

CoreGraphics
影響：セキュア入力モードが有効になっていても、権限のないアプリケーションがほかのアプリケーションに入力したキー操作をログできる可能性がある。
説明：ホットキーイベントに登録すると、セキュア入力モードが有効になっていても、権限のないアプリケーションがほかのアプリケーションに入力したキー操作をログできる可能性があります。この問題は、ホットキーイベントの検証を強化することで解決されました。
CVE-ID
CVE-2013-5171

curl
影響：curl に複数の脆弱性がある。
説明：curl に複数の脆弱性があります。これらの脆弱性に起因するもっとも重大な問題として、任意のコードが実行される可能性があります。この問題は、curl をバージョン 7.30.0 にアップデートすることによって解消されました。
CVE-ID
CVE-2013-0249
CVE-2013-1944

dyld
影響：攻撃者がデバイス上で任意のコードを実行することで、再起動中にコードが永続的に実行される。
説明：dyld の openSharedCacheFile() 関数を実行すると、複数の原因により、バッファオーバーフローが起こる場合があります。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2013-3950：Stefan Esser 氏

IOKitUser
影響：悪意のあるローカルアプリケーションが原因で、システムが突然終了する場合がある。
説明：IOCatalogue には、ヌルポインタの参照先を取得しようとする問題があります。この問題は、型チェックを強化することで解決されました。
CVE-ID
CVE-2013-5138：Will Estes 氏

IOSerialFamily
影響：悪意のあるアプリケーションを実行すると、カーネル内で任意のコードが実行される場合がある。
説明：IOSerialFamily ドライバで、配列の境界を越えたアクセスが発生する場合があります。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2013-5139：@dent1zt 氏

カーネル
影響：カーネルで SHA-2 ダイジェスト関数を使用すると、システムが突然終了する可能性がある。
説明：SHA-2 ファミリーのダイジェスト関数で誤った出力長が使用される場合があります。主として IPSec 接続中に、この関数を使用すると、カーネルパニックが引き起こされる可能性があります。この問題は、正しい出力長を使用することで解決されました。
CVE-ID
CVE-2013-5172：Lobotomo Software の Christoph Nadig 氏

カーネル
影響：カーネルスタックメモリがローカルユーザに開示される可能性がある。
説明：msgctl API と segctl API には、情報漏洩の問題が存在します。この問題はカーネルから返されたデータ構造を初期化することで解消されました。
CVE-ID
CVE-2013-5142：Kenx Technology、Inc の Kenzley Alphonse 氏

カーネル
影響：ローカルユーザによってサービス拒否が引き起こされる可能性がある。
説明：カーネルの乱数ジェネレータがユーザ空間からの要求を満たしている間、ロックを保持することにより、ローカルユーザがサイズの大きな要求を実行し、長時間ロックを保持できるようになるため、ほかのユーザが乱数ジェネレータを使用できなくなる可能性があります。この問題は、サイズの大きな要求のロックを頻繁に解放／再獲得することで解決されました。
CVE-ID
CVE-2013-5173：アールト大学の Jaakko Pero 氏

カーネル
影響：権限を持たないローカルユーザによって、システムが突然終了される可能性がある。
説明：tty の読み込み処理に、整数オーバーフローの問題が存在します。この問題は、tty の読み込み処理を改善することで解決されました。
CVE-ID
CVE-2013-5174：CESG

カーネル
影響：ローカルユーザによって、カーネルのメモリ情報が開示されたり、システムが突然終了される可能性がある。
説明：Mach-O ファイルの処理に、領域外読み込みの問題が存在します。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2013-5175

カーネル
影響：ローカルユーザによって、システムがハングアップされる可能性がある。
説明：tty デバイスの処理に、整数切り捨ての問題が存在します。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2013-5176：CESG

カーネル
影響：ローカルユーザによって、システムが突然終了される可能性がある。
説明：ユーザによって無効な iovec 構造が入力されると、カーネルパニックが引き起こされる可能性があります。この問題は、iovec 構造の検証を強化することで解消されました。
CVE-ID
CVE-2013-5177：CESG

カーネル
影響：権限のないプロセスによって、システムが突然終了したり、カーネル内で任意のコードが実行されたりする可能性がある。
説明：posix_spawn API への引数の処理時、メモリ破損に関する問題が存在します。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2013-3954：Stefan Esser 氏

カーネル
影響：Wi-Fi ネットワークの使用時、送信元が特定されているマルチキャスト (SSM) プログラムが原因で、システムが突然終了する場合がある。
説明：マルチキャストパケットの処理に、エラーチェックの問題が存在します。この問題は、マルチキャストパケットの処理を改善することで解決されました。
CVE-ID
CVE-2013-5184 ：Octoshape 氏

カーネル
影響：ローカルネットワーク上の攻撃者によって、サービス拒否が引き起こされる可能性がある。
説明：ローカルネットワーク上の攻撃者によって意図的に作成された IPv6 ICMP パケットが送信されると、CPU 負荷が高まる場合があります。この問題は ICMP パケットのチェックサムを検証する前にレートを制限することで解消されました。
CVE-ID
CVE-2011-2391：Marc Heuse 氏

カーネル
影響：悪意のあるローカルアプリケーションによって、システムがハングする場合がある。
説明：カーネルソケットインターフェイスの整数切り捨てに関する脆弱性が原因で、CPU で無限ループが発生する可能性があります。この問題は大きなサイズの変数を使用することで解消されました。
CVE-ID
CVE-2013-5141：CESG

Kext 管理
影響：未認証のプロセスによって、読み込んだカーネル機能拡張が無効にされる可能性がある。
説明：kextd 管理には、未認証の送信者からの IPC メッセージ処理に問題が存在します。この問題は権限チェックを強化することで解消されました。
CVE-ID
CVE-2013-5145："Rainbow PRISM" 氏

LaunchServices
影響：ファイルの拡張子が誤って表示される場合がある。
説明：特定の Unicode 文字の処理に問題が存在し、ファイル名の拡張子が誤って表示される場合があります。この問題は、悪影響を及ぼす可能性がある Unicode 文字がファイル名に表示されないようにすることで解消されました。
CVE-ID
CVE-2013-5178：Mozilla Corporation の Jesse Ruderman 氏、Intego の Stephane Sudre 氏

Libc
影響：まれな状況下で、乱数が予測できる可能性がある。
説明：カーネル乱数ジェネレータが srandomdev() にアクセスできない場合、最適化によって削除された代替的な方法に関数がフォールバックすることによって、乱数がランダムに生成されなくなる可能性があります。この問題は、最適化の際にコードを修正することで解決されました。
CVE-ID
CVE-2013-5180 ：Xi Wang 氏

メールアカウント
影響：メールで、利用可能なもっとも安全な認証方法が選択されない場合がある。
説明：特定のメールサーバでメールアカウントを自動設定すると、メール App が CRAM-MD5 認証ではなく、プレーンテキスト認証を選択する場合があります。この問題は、論理処理を改善することで解決されました。
CVE-ID
CVE-2013-5181

メールヘッダーの表示
影響：符合のないメッセージが符合付きと表示される場合がある。
説明：メールには、multipart/signed が含まれる符合のないメッセージの処理にロジックの問題が存在します。この問題は、符合のないメッセージの処理を改善することで解決されました。
CVE-ID
CVE-2013-5182：ドレスデン工科大学の Michael Roitzsch 氏

メールのネットワーク接続
影響：TLS 以外の暗号化を設定すると、プレーンテキストで短い情報が転送される場合がある。
説明：Kerbos 認証が有効で、Transport Layer Security が無効になっている場合、メールによって、暗号化されていないデータがメールサーバに送信されることにより、接続が突然切断される場合があります。この問題は、この設定の処理を改善することで解決されました。
CVE-ID
CVE-2013-5183：www.qoxp.net の Richard E. Silverman 氏

OpenLDAP
影響：ldapsearch コマンドラインツールで minssf 構成が承認されない場合がある。
説明：ldapsearch コマンドラインツールで minssf 構成が承認されないことによって、脆弱な暗号化が許容される場合があります。この問題は、minssf 構成の処理を改善することで解決されました。
CVE-ID
CVE-2013-5185

perl
影響：Perl スクリプトでサービス拒否が発生する可能性がある。
説明：旧バージョンの Perl のハッシュテーブル再構築メカニズムで、スクリプトで信頼できない入力をハッシュキーとして使用すると、サービス拒否が発生する可能性があります。この問題は Perl 5.16.2 にアップデートすることで解決されました。
CVE-ID
CVE-2013-1667

パワーマネージメント
影響：指定の時間が経過しても画面がロックされないことがある。
説明：パワーアサーションのロックに問題があります。この問題は、ロック処理を改良することによって解消されました。
CVE-ID
CVE-2013-5186：Sensible DB Design の Richard E. Silverman 氏

python
影響：python 2.7 に複数の脆弱性がある。
説明：python 2.7.2 に複数の脆弱性が存在します。これらの脆弱性に起因するもっとも重大な問題として、SSL 接続のコンテンツが復号化される可能性があります。このアップデートでは、python をバージョン 2.7.5 にアップデートすることで問題が解決しています。詳しくは、Python の Web サイト (http://www.python.org/download/releases/) を参照してください。
CVE-ID
CVE-2011-3389
CVE-2011-4944
CVE-2012-0845
CVE-2012-0876
CVE-2012-1150

python
影響：python 2.6 に複数の脆弱性がある。
説明：python 2.6.7 に複数の脆弱性が存在します。これらの脆弱性に起因するもっとも重大な問題として、SSL 接続のコンテンツが復号化される可能性があります。このアップデートでは、python をバージョン 2.6.8 にアップデートし、Python プロジェクトから CVE-2011-4944 のパッチを適用することで、問題が解決しています。詳しくは、python の Web サイト (http://www.python.org/download/releases/) を参照してください。
CVE-ID
CVE-2011-3389
CVE-2011-4944
CVE-2012-0845
CVE-2012-0876
CVE-2012-1150

ruby
影響：特権のあるネットワークポジションの攻撃者がユーザの資格情報またはその他の機密情報を攻撃する場合があります。
説明：Ruby での SSL 認証にホスト名検証の問題が存在します。この問題は Ruby をバージョン 2.0.0p247 にアップデートすることで解決されました。
CVE-ID
CVE-2013-4073

セキュリティ
影響：MD5 ハッシュを用いる X.509 証明書のサポートが原因で、高度な攻撃によってなりすまし攻撃や情報漏洩が引き起こされる可能性がある。
説明：MD5 ハッシュアルゴリズムを用いて署名された証明書が OS X に受け入れられる可能性があります。このアルゴリズムには暗号に関する既知の脆弱性があります。暗号の詳細な調査や誤って構成された認証局により、攻撃者が制御する値を使って、システムが信頼するような X.509 証明書が作成される可能性があります。これにより、X.509 ベースのプロトコルが、なりすまし攻撃や中間者攻撃、情報漏洩にさらされる可能性があります。このアップデートでは、信頼できるルート証明書として利用される場合を除き、MD5 ハッシュを用いる X.509 証明書のサポートを無効にします。
CVE-ID
CVE-2011-3427

セキュリティ - 認証
影響：管理者のセキュリティ環境設定が適用されない場合がある。
説明：管理者は「ロックされた環境設定にアクセスするときに管理者パスワードを要求」の設定で、機密性の高いシステム設定に保護レイヤを追加できます。特定の状況で、管理者がこの設定を有効にし、ソフトウェアアップデートやアップグレードを行うと、設定が無効になる場合があります。この問題は、認証権限の処理を改善することで解決されました。
CVE-ID
CVE-2013-5189：Greg Onufer 氏

セキュリティ - Smart Card Services
影響：証明書失効チェックが有効になっていると、Smart Card Services が無効になる場合がある。
説明：Smart Card の認証失効チェックには、ロジックの問題が存在します。この問題は、Smart Card の認証失効チェックを強化することで解決されました。
CVE-ID
CVE-2013-5190：Centrify Corporation の Yongjun Jeon 氏

画面のロック
影響：「画面ロック」コマンドがすぐに実行されない場合がある。
説明：「キーチェーンの状態」メニューバーの「画面ロック」コマンドが、「スリープ解除／スクリーンセーバ解除にパスワードを要求」設定で指定した時間が経過するまで有効にならない場合があります。
CVE-ID
CVE-2013-5187：OrganicOrb.com の Michael Kisor 氏、NTNU (ノルウェー科学技術大学) の Christian Knappskog 氏、Stefan Grönke 氏 (CCC Trier)、Patrick Reed 氏

画面のロック
影響：自動ログインが有効になっている Mac をスリープモードにした場合、パスワードを入力せずにスリープを解除できる場合がある。
説明：自動ログインが有効になっている Mac をスリープモードにした場合、パスワードの入力画面が表示されず、スリープを解除できる場合があります。この問題は、ロック処理を改良することによって解消されました。
CVE-ID
CVE-2013-5188：Levi Musters 氏

画面共有サーバ
影響：リモートの攻撃者によって任意のコードが実行される可能性がある。
説明：画面共有サーバの VNC ユーザ名の処理には、フォーマット文字列に関する脆弱性が存在します。
CVE-ID
CVE-2013-5135：iDefense VCP に協力する SilentSignal 氏

syslog
影響：ゲストユーザが、前にログインしたゲストユーザのログメッセージを表示できる可能性がある。
説明：ゲストユーザが、コンソールログと、前にログインしたゲストユーザからのメッセージを表示できる可能性があります。この問題は、管理者以外のユーザがゲストユーザのコンソールログを表示できないようにすることで解決されました。
CVE-ID
CVE-2013-5191：earthlingsoft の Sven-S. Porst 氏

USB
影響：悪意のあるローカルアプリケーションが原因で、システムが突然終了する場合がある。
説明：USB ハブコントローラで、要求のポートとポート番号が確認されない場合があります。この問題は、ポートとポート番号の確認を追加することで解決されました。
CVE-ID
CVE-2013-5192：ミラノ大学 Computer and Network Security Lab (LaSER) の Stefano Bianchi Mazzone 氏、Mattia Pagnozzi 氏、Aristide Fattori 氏

注意：OS X Mavericks には Safari 7.0 が標準で備わっています。Safari 7.0 には、Safari·6.1·のセキュリティコンテンツが適用されています。詳しくは、「Safari·6.1 のセキュリティコンテンツについて」(http://support.apple.com/kb/HT6000?viewlocale=ja_JP) を参照してください。

Apple が製造していない製品に関する情報や、Apple が管理または検証していない個々の Web サイトについては、推奨や承認なしで提供されています。Apple は他社の Web サイトや製品の選択、性能、使用に関しては一切責任を負いません。Apple は他社の Web サイトの正確性や信頼性についてはいかなる表明もいたしません。詳しくは各メーカーや開発元にお問い合わせください。

公開日： 2023 年 11 月 06 日