À propos de Security Update 2006-001

This article has been archived and is no longer updated by Apple.

Ce document décrit Security Update 2006-001, qui peut être téléchargé et installé via les préférences Mise à jour de logiciels ou les Téléchargements Apple.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été menée et que des correctifs ou mises à jour ne sont pas mis à disposition. Pour en savoir plus sur la sécurité des produits Apple, rendez-vous sur la page Sécurité produit du site Web d’Apple.

Pour plus d’informations sur la clé PGP de sécurité des produits Apple, consultez l’article « Comment utiliser la clé PGP de sécurité des produits Apple ».

Lorsque cela est possible, des références CVE sont utilisées afin de référencer les vulnérabilités pour plus d’informations.

Pour connaître les autres mises à jour de sécurité, consultez l’article « Mises à jour de sécurité Apple ».

Security Update 2006-001

  • apache_mod_php

    Références CVE : CVE-2005-3319, CVE-2005-3353, CVE-2005-3391 et CVE-2005-3392.

    Disponible pour : Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.5, Mac OS X Server v10.4.5.

    Conséquences : multiples problèmes de sécurité dans PHP 4.4.

    Description : PHP 4.4.1 résout plusieurs problèmes de sécurité dans le module Apache et l'environnement de script. Les détails des correctifs sont disponibles sur le site Web PHP (www.php.net). PHP est fourni avec Mac OS X mais est désactivé par défaut.

  • automount

    Référence CVE : CVE-2006-0384.

    Disponible pour : Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.5, Mac OS X Server v10.4.5.

    Conséquences : des serveurs de réseau malveillants pouvaient causer un déni de service et conduire à l'exécution de code quelconque.

    Description : les serveurs de fichiers situés sur le réseau local pourraient provoquer le montage de systèmes de fichiers avec des noms réservés par des systèmes Mac OS X. Les systèmes pourraient alors ne plus répondre, voire autoriser un code quelconque fourni par les serveurs de fichiers à s'exécuter sur le système cible.

  • BOM

    Référence CVE : CVE-2006-0391.

    Disponible pour : Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.5, Mac OS X Server v10.4.5.

    Conséquences : un parcours de répertoire peut se produire lors du dégroupage d'archives avec BOM.

    Description : le cadre BOM gère le dégroupage de certains types d'archives. Ce cadre est vulnérable à une attaque de type parcours de répertoire, qui peut permettre le dégroupage de fichiers archivés à des emplacements quelconques pour lesquels l'utilisateur actuel possède des droits d'écriture. Cette mise à jour corrige le problème en assainissant correctement ces chemins. Nous remercions Stéphane Kardas de CERTA pour avoir signalé ce problème.

  • Services de répertoires

    Références CVE : CVE-2005-2713, CVE-2005-2714.

    Disponible pour : Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.5, Mac OS X Server v10.4.5.

    Conséquences : un utilisateur local malveillant peut créer et manipuler des fichiers en tant que racine.

    Description : le programme passwd est vulnérable aux attaques de fichiers temporaires. Cela pourrait à conduire à une élévation des privilèges. Cette mise à jour corrige le problème en anticipant un environnement hostile et en créant des fichiers temporaires en toute sécurité. Nous remercions Ilja van Sprundel de Suresec LTD, vade79 et iDefense (idefense.com) pour avoir signalé ce problème.

  • FileVault

    Référence CVE : CVE-2006-0386.

    Disponible pour : Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.5, Mac OS X Server v10.4.5.

    Conséquences : FileVault peut autoriser l'accès aux fichiers lors de sa première activation.

    Description : les répertoires utilisateurs sont montés de manière non sécurisée lors de la création d'une image FileVault. Cette mise à jour sécurise la manière dont une image FileVault est créée.

  • IPSec

    Référence CVE : CVE-2006-0383.

    Disponible pour : Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.5, Mac OS X Server v10.4.5.

    Conséquences : un déni de service distant contre les connexions VPN.

    Description : une gestion incorrecte des conditions d'erreur pour des réseaux privés virtuels (VPN) basés sur IPSec peut permettre à un attaquant distant de provoquer une interruption du service. Cette mise à jour corrige le problème en gérant correctement les conditions pouvant causer une panne. Nous remercions OUSPG de l'Université d'Oulu, NISCC et CERT-FI pour avoir signalé ensemble ce problème.

  • LibSystem

    Référence CVE : CVE-2005-3706.

    Disponible pour : Mac OS X v10.4.5, Mac OS X Server v10.4.5.

    Conséquences : des attaquants peuvent provoquer des pannes ou l'exécution d'un code quelconque en fonction de l'application.

    Description : un attaquant capable d'amener une application à demander de grandes quantités de mémoire peut également déclencher un dépassement de mémoire tampon. L'application ciblée peut alors tomber en panne ou exécuter un code quelconque. Cette mise à jour corrige le problème en gérant correctement ces demandes de mémoire. Ce risque est absent dans les systèmes antérieurs à Mac OS X v10.4. Nous remercions Neil Archibald de Suresec LTD pour avoir signalé ce problème.

  • Mail

    Référence CVE : CVE-2006-0395.

    Disponible pour : Mac OS X v10.4.5, Mac OS X Server v10.4.5.

    Conséquences : la fonction de validation de téléchargement ne vous avertit plus des types de fichier dangereux.

    Description : dans Mac OS X v10.4 Tiger, lorsque vous double-cliquez dans Mail sur une pièce jointe à un message, la fonction de validation de téléchargement vous avertit si le fichier est d'un type « dangereux ». Certaines techniques peuvent servir à déguiser le type de fichier de manière à contourner la fonction de validation de téléchargement. Cette mise à jour corrige le problème en présentant le fichier entier à la fonction de validation de téléchargement, qui dispose alors de plus d'informations pour détecter les fichiers de types dangereux ou inconnus dans une pièce jointe.

  • perl

    Référence CVE : CVE-2005-4217.

    Disponible pour : Mac OS X v10.3.9, Mac OS X Server v10.3.9

    Conséquences : les programmes Perl peuvent conserver des privilèges.

    Description : lorsqu'un programme Perl fonctionnant en tant que root essaie de passer à un autre identifiant utilisateur, l'opération peut échouer sans en notifier le programme. Ce dernier peut alors continuer à fonctionner avec des privilèges root, en supposant qu'ils ont été abandonnés. Cela peut entraîner des problèmes de sécurité dans les outils tiers. Cette mise à jour corrige le problème en empêchant ces applications de continuer à fonctionner si l'opération échoue. Ce problème ne concerne par les systèmes Mac OS X v10.4 ou ultérieure. Nous remercions Jason Self pour avoir signalé ce problème.

  • rsync

    Référence CVE : CVE-2005-3712.

    Disponible pour : Mac OS X v10.4.5, Mac OS X Server v10.4.5.

    Conséquences : un utilisateur authentifié peut provoquer la panne d'un serveur rsync ou l'exécution d'un code quelconque.

    Description : un dépassement de mémoire tampon peut être déclenché lorsque le serveur rsync est utilisé avec l'indicateur permettant le transfert d'attributs étendus. Un utilisateur malveillant ayant accès à un serveur rsync peut provoquer un déni de service ou l'exécution de code. Cette mise à jour corrige le problème en assurant que la mémoire tampon de destination est assez importante pour pouvoir contenir les attributs étendus. Ce risque est absent dans les systèmes antérieurs à Mac OS X v10.4. Nous remercions Jan-Derk Bakker pour avoir signalé ce problème.

  • Safari

    Référence CVE : CVE-2006-4504.

    Disponible pour : Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.5, Mac OS X Server v10.4.5.

    Conséquences : l'affichage d'une page Web construite de manière malveillante peut conduire à l'exécution de code quelconque.

    Description : un dépassement de mémoire tampon lors du traitement de certains langages HTML par WebKit peut permettre à un site Web malveillant de provoquer une panne ou l'exécution de code quelconque pendant qu'un utilisateur visite le site. Cette mise à jour corrige le problème en supprimant la cause du dépassement de la mémoire tampon. Nous remercions Suresec LTD pour avoir signalé ce problème.

  • Safari

    Référence CVE : CVE-2006-0387.

    Disponible pour : Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.5, Mac OS X Server v10.4.5.

    Conséquences : l'affichage d'une page Web malveillante peut entraîner l'exécution de code quelconque.

    Description : en préparant une page Web comprenant un code JavaScript spécial, un attaquant peut provoquer un dépassement de mémoire tampon dans la pile, conduisant à l'exécution de code quelconque avec les privilèges de l'utilisateur. Cette mise à jour résout le problème en effectuant des contrôles supplémentaires de limitation des zones adressables.

  • Safari

    Référence CVE : CVE-2006-0388.

    Disponible pour : Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.5, Mac OS X Server v10.4.5.

    Conséquences : des sites Web distants peuvent rediriger vers des ressources locales, permettant à un code JavaScript de s'exécuter dans le domaine local.

    Description : le modèle de sécurité de Safari empêche les ressources distantes d'entraîner une redirection vers des ressources locales. Un problème de redirection HTTP peut amener le navigateur à accéder à un fichier local en contournant certaines restrictions. Cette mise à jour corrige le problème en empêchant les redirections HTTP entre domaines.

  • Safari, LaunchServices

    Référence CVE : CVE-2006-0394.

    Disponible pour : Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.5, Mac OS X Server v10.4.5.

    Conséquences : l'affichage d'un site Web malveillant peut conduire à l'exécution de code quelconque.

    Description : il est possible de créer un fichier qui ait l'apparence d'un fichier sûr, comme une image ou une séquence, alors qu'il s'agit en fait d'une application. Lorsque l'option « Ouvrir les fichiers “fiables” automatiquement » est activée dans les Préférences générales de Safari, la visite d'un site Web malveillant peut conduire au téléchargement et à l'exécution automatiques d'un tel fichier. Une preuve de ce concept a été détectée sur des sites Web publics. Elle démontre l'exécution automatique de scripts shell. Cette mise à jour corrige le problème en effectuant des contrôles supplémentaires de validation de téléchargement, de manière à avertir l'utilisateur du danger potentiel (dans Mac OS X v10.4.5) ou à ne pas ouvrir automatiquement le fichier téléchargé (dans Mac OS X v10.3.9).

  • Syndication

    Référence CVE : CVE-2006-0389.

    Disponible pour : Mac OS X v10.4.5, Mac OS X Server v10.4.5.

    Conséquences : un abonnement à un contenu RSS malveillant peut conduire à l'exécution de scripts entre sites.

    Description : La syndication (RSS Safari) peut permettre à un code JavaScript incorporé dans les flux de s'exécuter dans le contexte du document du lecteur RSS ; les flux malveillants peuvent alors déjouer le modèle de sécurité de Safari. Cette mise à jour corrige le problème en supprimant correctement le code JavaScript des flux. La syndication n'est disponible que dans Mac OS X v10.4 et ultérieur.

Les améliorations de sécurité suivantes sont également incluses dans cette mise à jour :

  • FileVault Les images disque FileVault chiffrées AES-128 sont désormais créées avec des permissions du système d'exploitation plus restrictives. Nous remercions Eric Hall de DarkArt Consulting Services pour avoir signalé ce problème.

  • iChat Une application malveillante du nom de Leap.A qui essaie de se propager par le biais d'iChat a été détectée. Grâce à cette mise à jour pour Mac OS X v10.4.5 et Mac OS X Server v10.4.5, iChat utilise désormais la fonction de validation de téléchargement pour prévenir l'utilisateur du transfert de fichiers de type inconnu ou dangereux.

Vous devez être vigilant lorsque vous ouvrez des fichiers provenant d'un réseau. Consultez l'article Conseils de sécurité relatifs au traitement des pièces jointes et des fichiers téléchargés sur Internet.

Published Date: 7 oct. 2016