Apple では、ユーザ保護の観点から、完全な調査が終了して必要なパッチやリリースが利用可能になるまではセキュリティ上の問題を公開、説明、または是認いたしません。Apple 製品のセキュリティについては「Apple 製品のセキュリティ」Web サイトを参照してください。
Apple Product Security PGP キーについては「Apple Product Security PGP キーの使用方法」を参照してください。
CVE ID を使って脆弱性を調べることもできます。
他のセキュリティアップデートについてはこちらの記事 を参照してください。
このアップデートは、ソフトウェア・アップデート または Apple サポートサイト からダウンロードしてインストールできます。
OS X Mavericks 10.9.2 およびセキュリティアップデート 2014-001
-
Apache
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：Apache に複数の脆弱性がある。
説明：Apache に複数の脆弱性が存在します。これらの脆弱性に起因するもっとも深刻な問題として、クロスサイトスクリプティングが発生する可能性があります。この問題は、Apache をバージョン 2.2.26 にアップデートすることによって解消されました。
CVE-ID
CVE-2013-1862
CVE-2013-1896
-
App のサンドボックス
対象：OS X Mountain Lion v10.8.5
影響：App サンドボックスがバイパスされる可能性がある。
説明：アプリケーションを起動するときに使う LaunchServices インターフェイスで、サンドボックス化した App によって、新規プロセスに引き渡す引数のリストが指定され、サンドボックス化したアプリケーションのセキュリティが脆弱な場合、サンドボックスをバイパスできる場合があります。この問題は、サンドボックス化したアプリケーションが引数を指定できないようにすることで解決されました。この問題は、OS X Mavericks 10.9 以降のシステムには関係がありません。
CVE-ID
CVE-2013-5179：The Soulmen GbR の Friedrich Graeter 氏
-
ATS
対象：OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：悪意を持って作成されたフォントが埋め込まれている文書を表示またはダウンロードすると、任意のコードが実行される可能性がある。
説明：Type 1 フォントの処理にメモリ破損の問題が存在します。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2014-1254：Google Security Team の Felix Groebert 氏
-
ATS
対象：OS X Mavericks 10.9 および 10.9.1
影響：App サンドボックスがバイパスされる可能性がある。
説明：ATS に渡される Mach メッセージの処理にメモリ破損に関する問題が存在します。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2014-1262：Google Security Team の Meder Kydyraliev 氏
-
ATS
対象：OS X Mavericks 10.9 および 10.9.1
影響：App サンドボックスがバイパスされる可能性がある。
説明：ATS に渡される Mach メッセージの処理で任意に開放される問題が存在します。この問題は、Mach メッセージの検証を強化することで解決されました。
CVE-ID
CVE-2014-1255：Google Security Team の Meder Kydyraliev 氏
-
ATS
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：App サンドボックスがバイパスされる可能性がある。
説明：ATS に渡される Mach メッセージの処理にバッファオーバーフローの問題が存在します。この問題はバウンドチェック機能を強化することで解消されました。
CVE-ID
CVE-2014-1256：Google Security Team の Meder Kydyraliev 氏
-
証明書信頼ポリシー
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：ルート証明書がアップデートされた。
説明：一連のシステムルート証明書が更新されています。認識されたシステムルートの完全なリストは、キーチェーンアクセスアプリケーションで表示できます。
-
CFNetwork Cookie
対象：OS X Mountain Lion v10.8.5
影響：Safari をリセットしても、セッションの Cookie が削除されない場合がある。
説明：Safari をリセットしても、Safari を終了するまで、セッションの Cookie が削除されない場合があります。この問題は、セッションの Cookie 処理を改善することで解決されました。この問題は、OS X Mavericks 10.9 以降のシステムには関係がありません。
CVE-ID
CVE-2014-1257：アマースト大学の Rob Ansaldo 氏、Graham Bennett 氏
-
CoreAnimation
対象：OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：悪意を持って作成されたサイトにアクセスすると、アプリケーションが予期せず終了したり、任意のコードが実行されたりする可能性がある。
説明：CoreAnimation による画像の処理に、ヒープバッファオーバーフローの問題が存在します。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2014-1258：NCC Group の Karl Smith 氏
-
CoreText
対象：OS X Mavericks 10.9 および 10.9.1
影響：CoreText を使うアプリケーションが突然終了したり、任意のコードが実行される可能性がある。
説明：CoreText の Unicode フォントの処理で、符合に関する問題が存在します。この問題は、Bounds Checking を改善することで解決されています。
CVE-ID
CVE-2014-1261：IOActive Labs の Lucas Apa 氏および Carlos Mario Penagos 氏
-
curl
対象：OS X Mavericks 10.9 および 10.9.1
影響：特権のあるネットワークポジションの攻撃者がユーザの資格情報またはその他の機密情報を攻撃する場合があります。
説明：IP アドレスを含む HTTPS URL に curl を使ってアクセスする際、IP アドレスが証明書によって検証されません。この問題は OS X Mavericks v10.9 以前のシステムには関係がありません。
CVE-ID
CVE-2014-1263：Moriz GmbH の Roland Moriz 氏
-
データセキュリティ
対象：OS X Mavericks 10.9 および 10.9.1
影響：アクセス制限のあるネットワークポジションを使用する攻撃者が、SSL/TLS で保護されているセッションのデータをキャプチャまたは変更する可能性がある。
説明：Secure Transport が接続の信頼性を検証できませんでした。この問題は、欠落している検証手順を復元することで解決されました。
CVE-ID
CVE-2014-1266
-
日付と時刻
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：権限のないユーザがシステムクロックを変更できる可能性がある。
説明：このアップデートでは、
systemsetup
コマンドの動作が変更され、システムクロックの変更に管理者権限が必要になりました。CVE-ID
CVE-2014-1265
-
ファイルのブックマーク
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：悪意を持って作成された名前を含むファイルを開くと、アプリケーションが突然終了したり、任意のコードが実行されたりする可能性がある。
説明：ファイル名の処理にバッファオーバーフローの問題が存在します。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2014-1259
-
Finder
対象：OS X Mavericks 10.9 および 10.9.1
影響：Finder からファイルの ACL にアクセスすると、ほかのユーザが権限のないファイルにアクセスできる可能性がある。
説明：Finder からファイルの ACL にアクセスすると、ファイルの ACL が破損する可能性があります。この問題は ACL の処理を改善することで解消されました。
CVE-ID
CVE-2014-1264
-
ImageIO
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：悪意を持って作成された JPEG ファイルによって、メモリのコンテンツが公開される可能性がある。
説明：libjpeg の JPEG マーカの処理で未初期化メモリアクセスの問題が存在し、メモリコンテンツ漏洩の原因となります。この問題は JPEG の処理を改善することで解消されました。
CVE-ID
CVE-2013-6629：Michal Zalewski 氏
-
IOSerialFamily
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5
影響：悪意のあるアプリケーションを実行すると、カーネル内で任意のコードが実行される場合がある。
説明：IOSerialFamily ドライバで、配列の境界を越えたアクセスが発生する場合があります。この問題はバウンドチェック機能を強化することで解消されました。この問題は、OS X Mavericks v10.9 以降のシステムには関係がありません。
CVE-ID
CVE-2013-5139：@dent1zt 氏
-
LaunchServices
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5
影響：ファイルの拡張子が誤って表示される場合がある。
説明：特定の Unicode 文字の処理に問題が存在し、ファイル名の拡張子が誤って表示される場合があります。この問題は、悪影響を及ぼす可能性がある Unicode 文字がファイル名に表示されないようにすることで解消されました。この問題は、OS X Mavericks v10.9 以降のシステムには関係がありません。
CVE-ID
CVE-2013-5178：Mozilla Corporation の Jesse Ruderman 氏、Intego の Stephane Sudre 氏
-
NVIDIA ドライバ
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：悪意のあるアプリケーションを実行すると、グラフィックカード内で任意のコードが実行される場合がある。
説明：グラフィックカード上の信頼できるメモリへの書き込みが許可される問題が存在します。この問題は、ホストによるメモリへの書き込み権限を無効にすることで解決しています。
CVE-ID
CVE-2013-5986：X.Org Foundation Nouveau プロジェクトの Marcin Kościelnicki 氏
CVE-2013-5987：X.Org Foundation Nouveau プロジェクトの Marcin Kościelnicki 氏
-
PHP
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：PHP に複数の脆弱性がある。
説明：PHP に複数の脆弱性があります。これらの脆弱性に起因するもっとも重大な問題として、任意のコードが実行される可能性があります。この問題は、OS X Mavericks v10.9 の PHP をバージョン 5.4.24 にアップデートし、OS X Lion および Mountain Lion の POP を 5.3.28 にアップデートすることで解決しています。
CVE-ID
CVE-2013-4073
CVE-2013-4113
CVE-2013-4248
CVE-2013-6420
-
クイックルック
対象：OS X Mountain Lion v10.8.5
影響：悪意を持って作成された Microsoft Office ファイルをダウンロードすると、アプリケーションが予期せず終了したり、任意のコードが実行される可能性がある。
説明：クイックルックによる Microsoft Office ファイルの処理には、メモリ破損の原因となる問題があります。悪意を持って作成された Microsoft Office ファイルをダウンロードすると、アプリケーションが予期せず終了したり、任意のコードが実行されたりする可能性があります。この問題は、OS X Mavericks 10.9 以降のシステムには関係がありません。
CVE-ID
CVE-2014-1260：Google Security Team の Felix Groebert 氏
-
クイックルック
対象：OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：悪意を持って作成された Microsoft Word 書類をダウンロードすると、アプリケーションが予期せず終了したり、任意のコードが実行される可能性がある。
説明：QuickLook の Microsoft Word 書類の処理に、ダブルフリーの問題があります。この問題はメモリ管理を改善することで解決されました。
CVE-ID
CVE-2014-1252：Google Security Team の Felix Groebert 氏
-
QuickTime
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：巧妙に細工されたムービーファイルを再生すると、アプリケーションが突然終了したり、任意のコードが実行されたりする可能性がある。
説明：「ftab」アトムの処理に、バッファオーバーフローの問題が存在します。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2014-1246：HP の Zero Day Initiative に協力する匿名の研究者
-
QuickTime
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：巧妙に細工されたムービーファイルを再生すると、アプリケーションが突然終了したり、任意のコードが実行されたりする可能性がある。
説明：「dref」アトムの処理に、メモリ破損に関する問題が存在します。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2014-1247：HP の Zero Day Initiative に協力する Tom Gallagher 氏および Paul Bates 氏
-
QuickTime
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：巧妙に細工されたムービーファイルを再生すると、アプリケーションが突然終了したり、任意のコードが実行されたりする可能性がある。
説明：「ldat」アトムの処理に、バッファオーバーフローの問題が存在します。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2014-1248：iDefense VCP に協力する Jason Kratzer 氏
-
QuickTime
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：悪意を持って作成された PSD 画像を表示すると、アプリケーションが予期せず終了したり、任意のコードが実行される可能性がある。
説明：PSD 画像の処理に、バッファオーバーフローの問題が存在します。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2014-1249：Tencent Security Team の dragonltx 氏
-
QuickTime
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：巧妙に細工されたムービーファイルを再生すると、アプリケーションが突然終了したり、任意のコードが実行されたりする可能性がある。
説明：「ttfo」要素の処理で、境界外のバイトがスワッピングされる問題が存在します。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2014-1250：iDefense VCP に協力する Jason Kratzer 氏
-
QuickTime
対象：OS X Lion v10.7.5、OS X Lion Server v10.7.5、OS X Mountain Lion v10.8.5、OS X Mavericks 10.9 および 10.9.1
影響：巧妙に細工されたムービーファイルを再生すると、アプリケーションが突然終了したり、任意のコードが実行されたりする可能性がある。
説明：「stsz」アトムの処理に、符合に関する問題が存在します。この問題は、バウンドチェックを強化することで解決されました。
CVE-ID
CVE-2014-1245：HP の Zero Day Initiative に協力する Tom Gallagher 氏および Paul Bates 氏
-
Secure Transport
対象：OS X Mountain Lion v10.8.5
影響：攻撃者が SSL によって保護されたデータを復号化する可能性がある。
説明：暗号化スイートが CBC モードでブロック暗号を使用する際に、SSL 3.0 および TLS 1.0 の機密性に対する既知の攻撃がありました。この問題を解決するため、Secure Transport を使うアプリケーションでは、この構成での 1 バイトフラグメントの攻撃緩和 (ミティゲーション) がデフォルトで有効になっています。
CVE-ID
CVE-2011-3389：Juliano Rizzo 氏および Thai Duong 氏