Over de beveiligingsinhoud van beveiligingsupdate 2008-004 en Mac OS X 10.5.4

Dit document beschrijft de beveiligingsinhoud van beveiligingsupdate 2008-004 en Mac OS X 10.5.4, die kan worden gedownload en geïnstalleerd via de voorkeuren van Software-update of via Apple Downloads.

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Meer informatie over Apple productbeveiliging vind je op de website Apple productbeveiliging.

Zie Hoe gebruik je de Apple Product Security PGP-sleutel voor meer informatie over het gebruik van de Apple PGP-sleutel voor productbeveiliging.

Waar mogelijk worden CVE-ID's als referentie voor kwetsbaarheden gebruikt voor verdere informatie.

Zie "Apple-beveiligingsupdates voor meer informatie over andere beveiligingsupdates."

Beveiligingsupdate 2008-004 en Mac OS X v10.5.4

Alias Manager

CVE-ID: CVE-2008-2308.

Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11

Impact: het omzetten van een alias die kwaadwillig vervaardigde gegevens over volumekoppelingen bevat, kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code.

Beschrijving: Er is een probleem met geheugenbeschadiging bij de verwerking van gegevens over het koppelen van AFP-volumes in een aliasgegevensstructuur. Het oplossen van een alias die kwaadwillig vervaardigde gegevens over volumekoppelingen bevat, kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door aanvullende validatie van aliasgegevensstructuren uit te voeren. Dit probleem betreft alleen Intel-gebaseerde systemen met Mac OS X 10.5.1 of ouder.

CoreTypes

CVE-ID: CVE-2008-2309.

Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

Impact: gebruikers worden niet gewaarschuwd voordat ze bepaalde potentieel onveilige inhoudstypen openen.

Beschrijving: Deze update voegt XHT- en XHTM-bestanden toe aan de systeemlijst met inhoudstypen die onder bepaalde omstandigheden als mogelijk onveilig worden gemarkeerd, bijvoorbeeld wanneer ze van een webpagina worden gedownload. Hoewel deze inhoudstypen niet automatisch worden gestart, kunnen ze, als ze handmatig worden geopend, leiden tot de uitvoering van een schadelijke payload. Deze update verbetert de mogelijkheid van het systeem om gebruikers op de hoogte te stellen voordat XHT- en XHTM-bestanden worden verwerkt. In Mac OS X v10.4 wordt deze functionaliteit geleverd door de functie Downloadvalidatie. In Mac OS X v10.5 wordt deze functionaliteit geleverd door de quarantainefunctie. Met dank aan Brian Mastenbrook voor het melden van dit probleem.

c++filt

CVE-ID: CVE-2008-2310.

Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

Impact: het doorgeven van een kwaadwillig vervaardigde tekenreeks aan c++filt kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code.

Beschrijving: Er is een probleem met de opmaakreeks in c++filt, een hulpprogramma voor foutopsporing dat wordt gebruikt om C++- en Java-symbolen te onderscheiden. Het doorgeven van een kwaadwillig vervaardigde tekenreeks aan c++filt kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door een verbeterde verwerking van opmaaktekenreeksen. Dit probleem is niet van invloed op systemen ouder dan Mac OS X 10.6.

Dock

CVE-ID: CVE-2008-2314.

Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

Impact: een persoon met fysieke toegang kan de schermvergrendeling mogelijk omzeilen.

Beschrijving: Als in het systeem is ingesteld dat een ​​wachtwoord vereist is om de slaapstand of schermbeveiliging te verlaten, en interactieve hoeken van Exposé zijn ingesteld, kan een persoon met fysieke toegang mogelijk toegang krijgen tot het systeem zonder een wachtwoord in te voeren. Deze update lost het probleem op door interactieve hoeken uit te schakelen wanneer de schermvergrendeling actief is. Dit probleem is niet van invloed op systemen ouder dan Mac OS X 10.5. Met dank aan Andrew Cassell van Marine Spill Response Corporation voor het melden van dit probleem.

Launch Services

CVE-ID: CVE-2008-2311.

Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11

Impact: het bezoeken van een kwaadwillig vervaardigde website kan leiden tot het uitvoeren van willekeurige code.

Beschrijving: Er is een racevoorwaarde opgegeven voor de downloadvalidatie van symbolische links, wanneer het doel van de link verandert tijdens het korte tijdvenster van validatie. Als de voorkeur 'Open 'veilige' bestanden' is ingeschakeld in Safari, kan het bezoeken van een kwaadwillig vervaardigde website ertoe leiden dat een bestand wordt geopend op het systeem van de gebruiker, wat resulteert in het uitvoeren van willekeurige code. Deze update lost het probleem op door aanvullende validatie van gedownloade bestanden uit te voeren. Dit probleem is niet van invloed op systemen met Mac OS X 10.5 of nieuwer.

Net-SNMP

CVE-ID: CVE-2008-0960.

Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

Impact: een externe aanvaller kan mogelijk een geverifieerd SNMPv3-pakket vervalsen.

Beschrijving: Er is een probleem met de SNMPv3-authenticatie van Net-SNMP, waardoor kwaadwillig vervaardigde pakketten de authenticatiecontrole kunnen omzeilen. Deze update lost het probleem op door aanvullende validatie van SNMPv3-pakketten uit te voeren. Aanvullende informatie is beschikbaar op http://www.kb.cert.org/vuls/id/878044.

Ruby

CVE-ID: CVE-2008-2662, CVE-2008-2663, CVE-2008-2664, CVE-2008-2725, CVE-2008-2726

Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

Impact: het uitvoeren van een Ruby-script dat niet-vertrouwde invoer gebruikt om toegang te krijgen tot tekenreeksen of arrays, kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code.

Beschrijving: Er zijn meerdere problemen met geheugenbeschadiging bij de verwerking van tekenreeksen en arrays door Ruby, waarvan de ernstigste kan leiden tot het uitvoeren van willekeurige code. Deze update verhelpt het probleem door aanvullende validatie van tekenreeksen en arrays uit te voeren.

Ruby

CVE-ID: CVE-2008-1145.

Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

Impact: als WEBRick actief is, kan een externe aanvaller mogelijk toegang krijgen tot bestanden die worden beschermd door de :NondisclosureName-optie van WEBrick.

Beschrijving: De optie :NondisclosureName in de Ruby WEBrick-toolkit wordt gebruikt om de toegang tot bestanden te beperken. Het aanvragen van een bestandsnaam waarin onverwacht hoofdlettergebruik wordt gebruikt, kan de beperking :NondisclosureName omzeilen. Deze update verhelpt het probleem door extra validatie van bestandsnamen. Aanvullende informatie is beschikbaar op http://www.ruby-lang.org/en/news/2008/03/03/webrick-file-access-vulnerability/. Het probleem met het doorlopen van mappen dat in het advies wordt beschreven, heeft geen invloed op Mac OS X.

SMB-bestandsserver

CVE-ID: CVE-2008-1105.

Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

Impact: een externe aanvaller kan het onverwacht beëindigen van een app of het uitvoeren van willekeurige code veroorzaken.

Beschrijving: Er is sprake van overloop van een heapbuffer bij de verwerking van SMB-pakketten. Het verzenden van kwaadaardige SMB-pakketten naar een SMB-server, of het maken van verbinding met een schadelijke SMB-server, kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door een verbeterde bereikcontrole op de lengte van ontvangen SMB-pakketten. Met dank aan Alin Rad Pop van Secunia Research voor het melden van dit probleem.

Systeemconfiguratie

CVE-ID: CVE-2008-2313.

Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11

Impact: een lokale gebruiker kan mogelijk willekeurige code uitvoeren met de rechten van nieuwe gebruikers.

Beschrijving: Een lokale gebruiker kan mogelijk de map met gebruikerssjablonen vullen met bestanden die deel gaan uitmaken van de basismap wanneer een nieuwe gebruiker wordt aangemaakt. Hierdoor kan willekeurige code worden uitgevoerd met de rechten van de nieuwe gebruiker. Deze update verhelpt het probleem door meer beperkende machtigingen toe te passen op de map met gebruikerssjablonen. Dit probleem is niet van invloed op systemen met Mac OS X 10.5 of nieuwer. Met dank aan Andrew Mortensen van de Universiteit van Michigan voor het melden van dit probleem.

Tomcat

CVE-ID: CVE-2005-3164, CVE-2007-1355, CVE-2007-2449, CVE-2007-2450, CVE-2007-3382, CVE-2007-3383, CVE-2007-5333, CVE-2007-3385, CVE-2007-5461

Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11

Impact: meerdere kwetsbaarheden in Tomcat 4.1.36

Beschrijving: Tomcat versie 4.x is gebundeld op systemen met Mac OS X v10.4.11. Tomcat in Mac OS X v10.4.11 is bijgewerkt naar versie 4.1.37 om verschillende kwetsbaarheden te verhelpen, waarvan de ernstigste kunnen leiden tot een cross-site scripting-aanval. Meer informatie is beschikbaar op de website van Tomcat op http://tomcat.apache.org/. Tomcat versie 6.x is gebundeld met systemen met Mac OS X v10.5.

VPN

CVE-ID: CVE-2007-6276.

Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

Impact: externe aanvallers kunnen mogelijk het onverwachts beëindigen van een programma veroorzaken.

Beschrijving: Er is een probleem met delen door nul bij de verwerking van taakverdelingsgegevens door de daemon van een virtueel privénetwerk. Het verwerken van een kwaadwillig vervaardigd UDP-pakket kan leiden tot het onverwacht beëindigen van het programma. Dit probleem leidt niet tot het uitvoeren van willekeurige code. Deze update verhelpt het probleem door aanvullende validatie van taakverdelingsgegevens uit te voeren. Dit probleem is niet van invloed op systemen ouder dan Mac OS X 10.5.

WebKit

CVE-ID: CVE-2008-2307.

Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

Impact: een bezoek aan een kwaadwillig vervaardigde website kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code.

Beschrijving: Er is een probleem met geheugenbeschadiging bij de verwerking van JavaScript-arrays door WebKit. Een bezoek aan een kwaadwillig vervaardigde website kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door een verbeterde bereikcontrole. Naast deze oplossing is de versie van Safari voor Mac OS X v10.5.4 bijgewerkt naar 3.1.2. Voor Mac OS X v10.4.11 en Windows XP/Vista wordt dit probleem verholpen in Safari v3.1.2 voor die systemen. Met dank aan James Urquhart voor het melden van dit probleem.