セキュリティアップデート 2006-003 について

この記事では、セキュリティアップデート 2006-003 について説明します。このセキュリティアップデートは、「ソフトウェア・アップデート」環境設定または「サポートダウンロード」からダウンロードしてインストールできます。

お客様を保護するため、アップルは徹底的な調査を行って必要なパッチやリリースを用意できるまでは、セキュリティ上の問題を開示したり話題にしたり、正式な発表をいたしません。アップル製品のセキュリティについては「アップル製品のセキュリティ」Web サイトを参照してください。

Apple Product Security PGP キーについては「Apple Product Security PGP キーの使用方法」を参照してください。

「CVE IDs」でも、脆弱性に関する詳細な情報を参照できます。

その他のセキュリティアップデートについては「アップルセキュリティアップデート」を参照してください。

セキュリティアップデート 2006-003

  • AppKit

    CVE-ID：CVE-2006-1439

    対象となるバージョン：Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：セキュリティ機能を持つテキストフィールドに入力された文字が、同一のウインドウセッションで他のアプリケーションから読み取り可能である。

    説明：一部の環境ではテキストフィールドの切り替え時に、NSSecureTextField がセキュリティ機能を持つイベント入力を再び有効にできないことがあります。これにより、同一のウインドウセッションで他のアプリケーションによる一部の入力文字やキーボードイベントを読み取りが可能になってしまうことがあります。このアップデートでは、セキュリティ機能を持つイベント入力を有効化できるようにして、問題を解決しました。この問題は、Mac OS X v10.4 より前のシステムでは発生しません。

  • AppKit、ImageIO

    CVE-ID：CVE-2006-1982、CVE-2006-1983、CVE-2006-1984

    対象となるバージョン：Mac OS X v10.3.9、Mac OS X Server v10.3.9、Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：悪意のある GIF 画像または TIFF 画像を表示すると、任意のコードが実行される可能性がある。

    説明：不良な GIF 画像または TIFF 画像の処理により、悪意のある画像の解析時に任意のコードが実行される可能性があります。この問題は、ImageIO (Mac OS X v10.4 Tiger) または AppKit (Mac OS X v10.3 Panther) フレームワークを使って画像を読み取るアプリケーションで発生します。このアップデートでは、GIF 画像および TIFF 画像に関して追加の認証を実行することで問題を解決しました。

  • BOM

    CVE-ID：CVE-2006-1985

    対象となるバージョン：Mac OS X v10.3.9、Mac OS X Server v10.3.9、Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：アーカイブを展開すると、任意のコードが実行される可能性がある。

    説明：攻撃者は、長いパス名を含むアーカイブ (たとえば Zip アーカイブ) を意図的に作成して、BOM のヒープバッファのオーバーフローを引き起こすことのできる可能性があります。その結果、任意のコードが実行される危険があります。BOM は、Finder やその他のアプリケーションでアーカイブを処理するために使われます。このアップデートでは、バウンダリ条件を適切に処理することで、問題を解決しました。

  • BOM

    CVE-ID：CVE-2006-1440

    対象となるバージョン：Mac OS X v10.3.9、Mac OS X Server v10.3.9、Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：悪意のあるアーカイブを展開すると、任意のファイルが作成されたり上書きされたりする可能性がある。

    説明：アーカイブにあるシンボリックリンクのディレクトリトラバーサルの処理に問題が発生した場合、そのアーカイブを展開しているユーザがアクセス権を持つ任意の場所に、BOM がファイルを作成したり上書きしたりする可能性があります。BOM は、Finder やその他のアプリケーションに代わってアーカイブの処理を行います。このアップデートでは、アーカイブから展開されたファイルが展開先のディレクトリの外に保存されないようにすることで、問題を解決しました。

  • CFNetwork

    CVE-ID：CVE-2006-1441

    対象となるバージョン：Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：悪意のある Web サイトを訪問すると、任意のコードが実行される可能性がある。

    説明：チャンク化された転送エンコーディングの処理で整数データのオーバーフローが発生した結果、任意のコードが実行されることがあります。CFNetwork は Safari やその他のアプリケーションで使われます。このアップデートでは、追加の認証を実行することで問題を解決しました。この問題は Mac OS X v10.4 より前のシステムでは発生しません。

  • ClamAV

    CVE-ID：CVE-2006-1614、CVE-2006-1615、CVE-2006-1630

    対象となるバージョン：Mac OS X Server v10.4.6

    影響：悪意を持って作成された電子メールメッセージを ClamAV で処理すると、任意のコードが実行される可能性がある。

    説明：ClamAV ウイルス検出ソフトウェアの最新リリースは、セキュリティの修正を組み込むようにアップデートされています。ClamAV は Mac OS X Server v10.4 で導入された、電子メールのスキャンを行うソフトウェアです。これらの問題が深刻化すると、ClamAV のアクセス権を使って任意のコードが実行されることがあります。詳しくは、ClamAV プロジェクトの Web サイト (http://www.clamav.net/lang-pref/ja/) を参照してください。

  • CoreFoundation

    CVE-ID：CVE-2006-1442

    対象となるバージョン：Mac OS X v10.3.9、Mac OS X Server v10.3.9、Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：信頼性のないバンドルを登録すると、任意のコードが実行される可能性がある。

    説明：一部の環境では、アプリケーションまたはシステムによりバンドルが暗示的に登録されることがあります。バンドル API の機能により、クライアントアプリケーションから明示的に要求されない場合でも、バンドルの登録時に動的ライブラリが読み込まれて実行されます。その結果、信頼性のないバンドルから明示的なユーザ操作なしに任意のコードが実行される可能性があります。このアップデートでは、バンドルからのライブラリの読み込みと実行を適切な場合のみに実行するようにし、問題を解決しました。

  • CoreFoundation

    CVE-ID：CVE-2006-1443

    対象となるバージョン：Mac OS X v10.3.9、Mac OS X Server v10.3.9、Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：文字列のファイルシステム表現への変換により、任意のコードが実行される可能性があります。

    説明：CFStringGetFileSystemRepresentation のバウンダリ条件の処理中に整数データのアンダーフローが発生した結果、任意のコードが実行されることがあります。この API またはこれに関連する API のいずれか (たとえば NSFileManager の getFileSystemRepresentation:maxLength:withPath: など) を使うアプリケーションが原因でこの問題が発生し、任意のコードが実行される可能性があります。このアップデートでは、バウンダリ条件を適切に処理することで、問題を解決しました。

  • CoreGraphics

    CVE-ID：CVE-2006-1444

    対象となるバージョン：Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：セキュリティ機能を持つテキストフィールドに入力された文字が、同一のウインドウセッションで他のアプリケーションから読み取り可能である。

    説明：Quartz Event Services は、低レベルのユーザ入力イベントを検出し変更する機能をアプリケーションに提供します。通常の場合、セキュリティ機能を持つイベント入力が有効になっていると、アプリケーションはイベントをインターセプトすることができません。ただし、「補助装置にアクセスできるようにする」
がオンになっていると、セキュリティ機能を持つイベント入力が有効な場合でも Quartz Event Services を使ってイベントをインターセプトすることが可能です。このアップデートでは、セキュリティ機能を持つイベント入力が有効な場合はイベントのフィルタリングを行うようにすることで、問題を解決しました。この問題は Mac OS X v10.4 より前のシステムには影響しません。この問題は Damien Bobillot によって報告されました。

  • Finder

    CVE-ID：CVE-2006-1448

    対象となるバージョン：Mac OS X v10.3.9、Mac OS X Server v10.3.9、Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：インターネットロケーション項目を起動すると、任意のコードが実行される可能性がある。

    説明：インターネットロケーション項目は、http://、ftp://、または file:// の URL、およびその他いくつかの URL 方式を参照する、シンプルな URL コンテナです。こうした各種のインターネットロケーション項目は、目で見て区別でき、明示的に起動しても安全なように設計されています。ただし、URL の方式がインターネットロケーションの種類と異なる場合があります。攻撃者はこれを利用して、一見問題のない項目 (たとえば http:// で始まる Web インターネットロケーションなど) をユーザに起動させて、実際には他の URL 方式を使わせることができます。その結果、一部の環境では任意のコードが実行される危険があります。このアップデートでは、インターネットロケーションの種類に基づいて URL 方式に制限を適用することで、問題を解決しました。

  • FTPServer

    CVE-ID：CVE-2006-1445

    対象となるバージョン：Mac OS X v10.3.9、Mac OS X Server v10.3.9、Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：認証済みの FTP ユーザが FTP 操作を行うと、任意のコードが実行される可能性がある。

    説明：FTP サーバのパス名の処理に関する諸問題が原因で、バッファのオーバーフローが発生することがあります。悪意のある認証済みユーザは、故意にこのオーバーフローを引き起こし、FTP サーバのアクセス権を使って任意のコードが実行されるようにすることが可能です。このアップデートでは、バウンダリ条件を適切に処理することで、問題を解決しました。

  • Flash Player

    CVE-ID：2005-2628、CVE-2006-0024

    対象となるバージョン：Mac OS X v10.3.9、Mac OS X Server v10.3.9、Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：Flash コンテンツを再生すると、任意のコードが実行される可能性がある。

    説明：Adobe Flash Player に含まれている重大な脆弱性が原因で、悪意のある目的で設計されたファイルを読み込むと任意のコードが実行されることがあります。詳しくは、Adobe 社の Web サイトで http://www.adobe.com/jp/devnet/security/security_zone/apsb06-03.html を参照してください。このアップデートは、Flash Player バージョン 8.0.24.0 を組み込むことで問題を解決しました。

  • ImageIO

    CVE-ID：CVE-2006-1552

    対象となるバージョン：Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：悪意のある JPEG 画像を表示すると、任意のコードが実行される可能性がある。

    説明：JPEG メタデータの処理で整数データのオーバーフローが発生した結果、ヒープバッファのオーバーフローを引き起こすことがあります。攻撃者は、不良な JPEG メタデータを含む画像を悪意のある目的で設計することにより、この画像を表示すると任意のコードが実行されるようにすることが可能です。このアップデートでは、 画像の追加検証を実行したことで、問題が解決されました。この問題は Mac OS X v10.4 より前のシステムには影響しません。この問題は NewsGator Technologies, Inc. の Brent Simmons によって報告されました。

  • キーチェーン

    CVE-ID：CVE-2006-1446

    対象となるバージョン：Mac OS X v10.3.9、Mac OS X Server v10.3.9、Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：キーチェーンがロックされている場合でも、アプリケーションがキーチェーン項目を使えることがあります。

    説明：キーチェーンがロックされていると、アプリケーションがキーチェーン項目にアクセスするには、その前にキーチェーンのロックの解除を要求する必要があります。ただし一部の環境では、キーチェーンがロックされる前にアプリケーションがキーチェーン項目への参照を入手した場合、キーチェーンがロックされているかどうかに関係なく、そのキーチェーン項目を使い続けることができます。このアップデートでは、キーチェーンがロックされている場合はキーチェーン項目の使用要求を拒否することで、問題を解決しました。この問題は、HU Berlin の Tobias Hahn によって報告されました。

  • LaunchServices

    CVE-ID：CVE-2006-1447

    対象となるバージョン：Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：悪意のある Web サイトを表示すると、任意のコードが実行される可能性がある。

    説明：ファイル名に長い拡張子が付いていると、項目を開くためのアプリケーションがダウンロード検証により正しく判断されないことがあります。これにより攻撃者は、Safari で「ダウンロード後、"安全な" ファイルを開く」オプションを選択してあり、一部のアプリケーションがインストールされていない場合に、ダウンロード検証をバイパスして Safari が自動的に危険なコンテンツを開くようにさせることが可能です。このアップデートは、ファイル名の拡張子のチェック機能を改善することで問題を解決しました。この問題は、Mac OS X v10.4 より前のシステムでは発生しません。

  • libcurl

    CVE-ID：CVE-2005-4077

    対象となるバージョン：Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：libcurl での URL 処理により、任意のコードが実行される可能性がある。

    説明：オープンソース HTTP ライブラリの libcurl には、URL 処理のバッファのオーバーフローが含まれています。URL の処理に curl を使うアプリケーションによりこの問題が引き起こされ、その結果任意のコードが実行されることがあります。このアップデートでは、libcurl version 7.15.1 と共同で問題を解決しました。この問題は Mac OS X v10.4 より前のシステムでは発生しません。

  • Mail

    CVE-ID：CVE-2006-1449

    対象となるバージョン：Mac OS X v10.3.9、Mac OS X Server v10.3.9、Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：悪意のある電子メールメッセージを表示すると、任意のコードが実行される可能性がある。

    説明：攻撃者は、悪質な目的の MacMIME カプセル化添付の付いた電子メールメッセージを作成することで、整数データのオーバーフローを引き起こすことができます。その結果、Mail を実行しているユーザのアクセス権を使って任意のコードが実行されることがあります。このアップデートでは、メッセージの追加の認証を実行することで問題を解決しました。

  • Mail

    CVE-ID：CVE-2006-1450

    対象となるバージョン：Mac OS X v10.3.9、Mac OS X Server v10.3.9、Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：悪意のある電子メールメッセージを表示すると、任意のコードが実行される可能性がある。

    説明：リッチテキストを使った電子メールメッセージに含まれる無効なカラー情報の処理により、任意のクラスの割り当てと初期化が行われる場合があります。その結果、Mail を実行しているユーザのアクセス権を使って任意のコードが実行されることがあります。このアップデートでは、不良なリッチテキストデータを適切に処理することで、問題を解決しました。

  • MySQL マネージャ

    CVE-ID：CVE-2006-1451

    対象となるバージョン：Mac OS X Server v10.4.6

    影響：MySQL データベースに空のパスワードを使ってアクセスできる可能性がある。

    説明：MySQL マネージャを使った MySQL データベースサーバの初期セットアップの最中に、「新しい MySQL ルートパスワード」が提供されることがありますが、このパスワードは実際には使われません。その結果、MySQL ルートパスワードが空のままになり、ローカルユーザが MySQL データベースへの完全なアクセス権を取得することが可能になります。このアップデートでは、入力されたパスワードを確実に保存することで、問題を解決しました。この問題は Mac OS X Server v10.4 より前のシステムには影響しません。この問題は University of New South Wales の Ben Low によって報告されました。

  • プレビュー

    CVE-ID：CVE-2006-1452

    対象となるバージョン：Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：悪意のあるディレクトリ階層をナビゲートすると、任意のコードが実行される可能性がある。

    説明：非常に多くのレベルを持つディレクトリ階層をプレビューでナビゲートすると、スタックバッファのオーバーフローを引き起こすことがあります。攻撃者は、意図的にそのようなディレクトリ階層を作成して、プレビューでそのディレクトリを開くと任意のコードが実行されるようにすることが可能です。この問題は、Mac OS X v10.4 より前のシステムでは発生しません。

  • QuickDraw

    CVE-ID：-2006-1453、CVE-2006-1454

    対象となるバージョン：Mac OS X v10.3.9、Mac OS X Server v10.3.9、Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：悪意のある PICT 画像を表示すると、任意のコードが実行される可能性がある。

    説明：QuickDraw で PICT 画像を処理する際、2 つの問題が起きる可能性があります。不良なフォント情報によりスタックバッファのオーバーフローを引き起こす可能性と、不良な画像データによりヒープバッファのオーバーフローを引き起こす可能性です。攻撃者は、悪意のある PICT 画像を意図的に設計することにより、この画像を表示すると任意のコードが実行されるようにすることが可能です。このアップデートでは、PICT 画像の追加検証を実行したことで、問題が解決されました。この問題は McAfee AVERT Labs の Mike Price 氏によって報告されました。

  • QuickTime Streaming Server

    CVE-ID：CVE-2006-1455

    対象となるバージョン：Mac OS X Server v10.3.9、Mac OS X Server v10.4.6

    影響：不良な QuickTime ムービーにより、QuickTime Streaming Server がクラッシュする可能性がある。

    説明：トラックが欠落している QuickTime ムービーにより NULL ポインタの間接参照が発生した結果、サーバ処理がクラッシュする場合があります。これにより、アクティブなクライアント接続が中断されることがあります。ただし、サーバは自動的に再起動されます。このアップデートでは、不良なムービーが検出された場合にエラーを生成することにより、問題を解決しました。

  • QuickTime Streaming Server

    CVE-ID：CVE-2006-1456

    対象となるバージョン：Mac OS X Server v10.3.9、Mac OS X Server v10.4.6

    影響：悪意のある RTSP 要求により、クラッシュしたり任意のコードが実行されたりする可能性がある。

    説明：攻撃者は、RTSP 要求を意図的に設計することで、メッセージのログ処理中にバッファのオーバーフローを引き起こすことができることがあります。その結果、QuickTime Streaming Server のアクセス権を使って任意のコードが実行されることがあります。このアップデートでは、バウンダリ条件を適切に処理することで、問題を解決しました。この問題は、Mu Security の研究チームによって報告されました。

  • Ruby

    CVE-ID：CVE-2005-2337

    対象となるバージョン：Mac OS X v10.3.9、Mac OS X Server v10.3.9、Mac OS X v10.4.6、Mac OS X Server v10.4.6

    影響：Ruby のセーフレベルの制限がバイパスされる可能性がある。

    説明：Ruby スクリプト言語には、特定の操作を制限するための「セーフレベル」というメカニズムが用意されています。このメカニズムは、アクセス権のある Ruby アプリケーションまたは Ruby ネットワークアプリケーションを実行する際にもっともよく使われます。一部の環境では、攻撃者がこのようなアプリケーションの制限をバイパスできることがあります。セーフレベルに依存しないアプリケーションは影響を受けません。このアップデートでは、セーフレベルがバイパスされないようにすることで、問題を解決しました。

  • Safari

    CVE-ID：CVE-2006-1457

    対象となるバージョン：Mac OS X 10.4.6、Mac OS X Server v10.4.6

    影響：悪意のある Web サイトを訪問すると、ファイルが操作されたり任意のコードが実行される可能性がある。

    説明：Safari の「ダウンロード後、"安全な" ファイルを開く」オプションが有効になっていると、アーカイブが自動的に展開されます。アーカイブにシンボリックリンクが含まれている場合、ターゲットの symlink がユーザのデスクトップに移動され、起動されることがあります。このアップデートでは、ダウンロードしたシンボリックリンクを解決しないようにすることで、問題を解決しました。この問題は、Mac OS X v10.4 より前のシステムでは発生しません。

公開日：