Over beveiligingsupdate 2007-007
In dit document wordt beveiligingsupdate 2007-007 beschreven, die kan worden gedownload en geïnstalleerd via de voorkeuren van Software Update of via Apple Downloads.
Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Meer informatie over Apple productbeveiliging vind je op de website Apple productbeveiliging.
Raadpleeg Hoe gebruik je de Apple Product Security PGP-sleutel? voor meer informatie over het gebruik van de Apple PGP-sleutel voor productbeveiliging.
Waar mogelijk worden CVE-ID's als referentie voor kwetsbaarheden gebruikt voor verdere informatie.
Zie Apple beveiligingsupdates voor meer informatie over andere beveiligingsupdates.
Beveiligingsupdate 2007-007
bzip2
CVE-ID: CVE-2005-0758
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: het uitvoeren van bzgrep op een bestand met een kwaadwillig vervaardigde naam kan leiden tot het uitvoeren van willekeurige code.
Beschrijving: er treedt een probleem op met de verwerking van bestandsnamen in bzgrep. Door een gebruiker ertoe te verleiden bzgrep uit te voeren op een bestand met een kwaadwillig vervaardigde naam, kan een aanvaller het probleem veroorzaken, wat kan leiden tot het uitvoeren van willekeurige code. Deze update lost het probleem op door een verbeterde verwerking van bestandsnamen.
CFNetwork
CVE-ID: CVE-2007-2403
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: klikken op een FTP-URI kan ertoe leiden dat er willekeurige FTP-opdrachten worden gegeven.
Beschrijving: door een gebruiker ertoe te verleiden een kwaadwillig vervaardigde FTP-URI te volgen, kan een aanvaller ervoor zorgen dat de FTP-client van de gebruiker willekeurige FTP-opdrachten geeft aan een toegankelijke FTP-server, met behulp van de inloggegevens van de gebruiker. Deze update verhelpt het probleem door aanvullende validatie van FTP-URI's uit te voeren.
CFNetwork
CVE-ID: CVE-2007-2404
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: programma's die CFNetwork gebruiken om HTTP-verzoeken te doen, kunnen kwetsbaar zijn voor een reactiesplitsende aanval.
Beschrijving: er bestaat een kwetsbaarheid voor het splitsen van HTTP-reacties in CFNetwork. Door een kwaadwillig vervaardigde HTTP-reactie te sturen op het HTTP-verzoek van een gebruiker, kan een aanvaller de opeenvolgende reacties van de gebruiker wijzigen, wat kan leiden tot cross-site scripting. Deze update verhelpt het probleem door een verbeterde parsering van HTTP-reacties. Met dank aan Steven Kramer van sprintteam.nl voor het melden van dit probleem.
CoreAudio
CVE-ID: CVE-2007-3745
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: het bezoeken van een kwaadwillig vervaardigde website kan leiden tot het uitvoeren van willekeurige code.
Beschrijving: er treedt een ontwerpprobleem op in de Java-interface naar CoreAudio. JDirect legt een interface bloot waarmee willekeurig geheugen kan worden vrijgemaakt. Door een gebruiker te verleiden een webpagina te bezoeken die een kwaadwillig vervaardigde Java-applet bevat, kan een aanvaller het probleem veroorzaken, dat kan leiden tot het uitvoeren van willekeurige code. Deze update lost het probleem op door aanvullende beveiligingscontroles uit te voeren in de Java-interface naar CoreAudio.
CoreAudio
CVE-ID: CVE-2007-3746
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: het bezoeken van een kwaadwillig vervaardigde website kan leiden tot het uitvoeren van willekeurige code.
Beschrijving: er treedt een probleem op in de Java-interface naar CoreAudio, waardoor lezen of schrijven mogelijk is buiten de grenzen van de toegewezen heap. Door een gebruiker te verleiden een webpagina te bezoeken die een kwaadwillig vervaardigde Java-applet bevat, kan een aanvaller het probleem veroorzaken, dat kan leiden tot het uitvoeren van willekeurige code. Deze update lost het probleem op door een aanvullende bereikcontrole uit te voeren.
CoreAudio
CVE-ID: CVE-2007-3747
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: het bezoeken van een kwaadwillig vervaardigde website kan leiden tot het uitvoeren van willekeurige code.
Beschrijving: er treedt een probleem op in de Java-interface naar CoreAudio, waardoor instantiëring of manipulatie van objecten mogelijk is buiten de grenzen van de toegewezen heap. Door een gebruiker te verleiden een webpagina te bezoeken die een kwaadwillig vervaardigde Java-applet bevat, kan een aanvaller het probleem veroorzaken, dat kan leiden tot het uitvoeren van willekeurige code. Deze update lost het probleem op door aanvullende beveiligingscontroles uit te voeren in de Java-interface naar CoreAudio.
cscope
CVE-ID: CVE-2004-0996, CVE-2004-2541
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: meerdere kwetsbaarheden in Cscope
Beschrijving: Cscope is bijgewerkt naar versie 15.6 om verschillende kwetsbaarheden te verhelpen, waarvan de ernstigste bufferoverloop en onveilige kwetsbaarheden tijdens het maken van tijdelijke bestanden zijn. Verdere informatie is beschikbaar via de Cscope-website op http://cscope.sourceforge.net/.
gnuzip
CVE-ID: CVE-2005-0758
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: het uitvoeren van zgrep op een bestand met een kwaadwillig vervaardigde naam kan leiden tot het uitvoeren van willekeurige code.
Beschrijving: er treedt een probleem op met de verwerking van bestandsnamen in zgrep. Door een gebruiker ertoe te verleiden zgrep uit te voeren op een bestand met een kwaadwillig vervaardigde naam, kan een aanvaller het probleem veroorzaken, wat kan leiden tot het uitvoeren van willekeurige code. Deze update verhelpt het probleem door een verbeterde verwerking van bestandsnamen.
iChat
CVE-ID: CVE-2007-3748
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: een aanvaller op het lokale netwerk kan mogelijk een denial of service of het uitvoeren van willekeurige code veroorzaken.
Beschrijving: er bestaat een kwetsbaarheid voor bufferoverloop in de UPnP IGD-code (Internet Gateway Device Standardized Device Control Protocol) die wordt gebruikt om poorttoewijzingen te maken op NAT-gateways voor thuisgebruik in iChat. Door een kwaadwillig vervaardigd pakket te verzenden, kan een aanvaller de overloop activeren op het lokale netwerk, wat kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code. Deze update lost het probleem op door aanvullende validatie uit te voeren bij het verwerken van UPnP-protocolpakketten in iChat.
Kerberos
CVE-ID: CVE-2007-2442, CVE-2007-2443, CVE-2007-2798
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: meerdere kwetsbaarheden in de MIT krb5 Kerberos-beheerdaemon
Beschrijving: er zijn meerdere kwetsbaarheden in de MIT Kerberos-beheerdaemon (kadmind), die kunnen leiden tot het onverwacht beëindigen van een programma of het uitvoeren van willekeurige code met systeemrechten. Meer informatie over het probleem en de toegepaste patch is beschikbaar via de MIT Kerberos-website op http://web.mit.edu/Kerberos/. Met dank aan het MIT Kerberos-team voor het melden van deze problemen, die oorspronkelijk zijn ontdekt door Wei Wang van McAfee Avert Labs.
mDNSResponder
CVE-ID: CVE-2007-3744
Beschikbaar voor: Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: een aanvaller op het lokale netwerk kan mogelijk een denial of service of het uitvoeren van willekeurige code veroorzaken.
Beschrijving: er bestaat een kwetsbaarheid voor bufferoverloop in de UPnP IGD-code (Internet Gateway Device Standardized Device Control Protocol) die wordt gebruikt om poorttoewijzingen te maken op NAT-gateways voor thuisgebruik in de Mac OS X-implementatie van mDNSResponder. Door een kwaadwillig vervaardigd pakket te verzenden, kan een aanvaller de overloop activeren op het lokale netwerk, wat kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code. Deze update lost het probleem op door ondersteuning voor UPnP IGD te verwijderen. Dit probleem is niet van invloed op systemen ouder dan Mac OS X v10.4.
PDFKit
CVE-ID: CVE-2007-2405
Beschikbaar voor: Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: het openen van een kwaadwillig vervaardigd pdf-bestand kan het onverwacht beëindigen van het programma of uitvoering van willekeurige code tot gevolg hebben.
Beschrijving: er treedt een onderloop op bij gehele getallen bij de verwerking van PDF-bestanden door Voorvertoning. Door een gebruiker te verleiden een kwaadwillig vervaardigd PDF-bestand te openen, kan een aanvaller het probleem activeren, wat kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door aanvullende validatie van PDF-bestanden uit te voeren. Dit probleem is niet van invloed op systemen ouder dan Mac OS X v10.4.
PHP
CVE-ID: CVE-2007-1001, CVE-2007-1287, CVE-2007-1460, CVE-2007-1461, CVE-2007-1484, CVE-2007-1521, CVE-2007-1583, CVE-2007-1711, CVE-2007-1717
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: meerdere kwetsbaarheden in PHP 4.4.4
Beschrijving: PHP is bijgewerkt naar versie 4.4.7 om verschillende kwetsbaarheden te verhelpen. Verdere informatie is beschikbaar via de PHP-website op http://www.php.net.
Quartz Composer
CVE-ID: CVE-2007-2406
Beschikbaar voor: Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: het bekijken van een kwaadwillig vervaardigd Quartz Composer-bestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code.
Beschrijving: er bestaat een niet-geïnitialiseerde objectpointer-kwetsbaarheid bij de verwerking van Quartz Composer-bestanden. Door een gebruiker te verleiden een kwaadwillig vervaardigd Quartz Composer-bestand te openen, kan een aanvaller het probleem activeren, wat kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code. Deze update lost het probleem op door een correcte initialisatie van objectpointers uit te voeren. Dit probleem is niet van invloed op systemen ouder dan Mac OS X v10.4.
Samba
CVE-ID: CVE-2007-2446
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: wanneer Windows-bestandsdeling is ingeschakeld, kan een niet-geverifieerde externe aanvaller het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken.
Beschrijving: er is sprake van meerdere overlopen van heapbuffers in de Samba-daemon. Door kwaadwillig vervaardigde MS-RPC-verzoeken te verzenden, kan een externe aanvaller de overloop activeren, wat kan leiden tot het uitvoeren van willekeurige code. Deze update verhelpt het probleem door aanvullende validatie van MS-RPC-verzoeken uit te voeren.
Samba
CVE-ID: CVE-2007-2447
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: wanneer Windows-bestandsdeling is ingeschakeld, kan een niet-geverifieerde externe aanvaller mogelijk willekeurige shell-commando's uitvoeren.
Beschrijving: er bestaat een kwetsbaarheid in de vorm van het invoegen van een commando in de Samba-daemon. Door kwaadwillig vervaardigde MS-RPC-verzoeken te verzenden, kan een externe aanvaller het invoegen van een commando activeren. Deze update verhelpt het probleem door aanvullende validatie van MS-RPC-verzoeken uit te voeren. Dit probleem heeft geen invloed op de standaard Samba-configuratie.
Samba
CVE-ID: CVE-2007-2407
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: wanneer Windows-bestandsdeling is ingeschakeld, kunnen gebruikers quota voor bestandssystemen omzeilen.
Beschrijving: er treedt een probleem op in Samba wanneer een serverproces zijn bevoegdheden verwijdert. Hierdoor kan het afdwingen van de quota worden omzeild en kan de quota van het bestandssysteem worden overschreden. Deze update lost het probleem op door bevoegdheden correct te verwijderen. Met dank aan Mike Matz van Wyomissing Area School District voor het melden van dit probleem.
SquirrelMail
CVE-ID: CVE-2005-3128, CVE-2006-2842, CVE-2006-3174, CVE-2006-4019, CVE-2006-6142, CVE-2007-1262, CVE-2007-2589
Beschikbaar voor: Mac OS X Server v10.3.9, Mac OS X Server v10.4.10
Impact: meerdere kwetsbaarheden in SquirrelMail 1.4.5
Beschrijving: SquirrelMail is bijgewerkt naar versie 1.4.10 om verschillende kwetsbaarheden te verhelpen, waarvan de ernstigste cross-site scripting is die wordt geactiveerd door het bekijken van HTML-mail. Verdere informatie is beschikbaar via de SquirrelMail-website op http://www.SquirrelMail.org/.
Tomcat
CVE-ID: CVE-2005-2090, CVE-2007-0450, CVE-2007-1358, CVE-2007-1860
Beschikbaar voor: Mac OS X Server v10.4.10
Impact: meerdere kwetsbaarheden in Tomcat
Beschrijving: Tomcat is bijgewerkt naar versie 4.1.36 om verschillende kwetsbaarheden te verhelpen, waarvan de ernstigste cross-site scripting en het openbaar maken van informatie zijn. Meer informatie is beschikbaar op de website van Tomcat op http://tomcat.apache.org/. Deze problemen zijn niet van invloed op systemen ouder dan Mac OS X v10.4.
WebCore
CVE-ID: CVE-2007-2408
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: bij het bezoeken van een schadelijke website kunnen Java-applets worden geladen en uitgevoerd, zelfs als Java is uitgeschakeld.
Beschrijving: Safari biedt een voorkeur 'Java inschakelen', die, indien uitgeschakeld, het laden van Java-applets zou moeten voorkomen. Java-applets mogen standaard worden geladen. Door naar een kwaadwillig vervaardigde webpagina te browsen, kan een Java-applet worden geladen zonder de voorkeur te controleren. Deze update lost het probleem op dankzij een strengere controle van de voorkeur 'Java inschakelen'. Met dank aan Rhys Kidd en Scott Wilde voor het melden van dit probleem.
WebCore
CVE-ID: CVE-2007-0478
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: er kan materiaal in HTML-opmerkingen worden ingevoegd, wat kan leiden tot cross-site scripting-aanvallen.
Beschrijving: er treedt een probleem op in WebCore bij het parseren van opmerkingen in een HTML-titelelement. Hierdoor kan een aanvaller scripts invoegen in een webpagina op sites waarmee de eigenaar van de pagina HTML kan invoeren, maar geen scripts. Deze update lost het probleem op door opmerkingen in titelelementen correct te parseren.
WebCore
CVE-ID: CVE-2007-2409
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: het bezoeken van een kwaadwillende website kan resulteren in het vrijgeven van URL-materiaal.
Beschrijving: door een ontwerpprobleem in WebCore kan een pop-upvenster de URL lezen die momenteel wordt bekeken in het bovenliggende venster. Door een gebruiker te verleiden een kwaadwillig vervaardigde webpagina te bezoeken, kan een aanvaller het probleem veroorzaken, wat kan leiden tot het vrijgeven van informatie via het URL-materiaal. Deze update lost het probleem op door middel van een verbeterde beveiligingscontrole van verschillende domeinen. Met dank aan Secunia Research voor het melden van dit probleem.
WebCore
CVE-ID: CVE-2007-2410
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: het bezoeken van een kwaadaardige website kan cross-site scripting toestaan.
Beschrijving: in Safari worden eigenschappen van bepaalde globale objecten niet gewist bij het browsen naar een nieuwe URL binnen hetzelfde venster. Door een gebruiker te verleiden een kwaadwillig vervaardigde webpagina te bezoeken, kan een aanvaller dit probleem veroorzaken, wat kan leiden tot cross-site scripting. Deze update lost het probleem op door globale objecten correct te wissen.
WebKit
CVE-ID: CVE-2007-3742
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: look-alike tekens in een URL kunnen worden gebruikt om een website te maskeren.
Beschrijving: de ondersteuning van International Domain Name (IDN) en Unicode-lettertypen die in Safari zijn ingesloten, kunnen worden gebruikt om een URL te maken die look-alike tekens bevat. Deze kunnen op een kwaadwillende website worden gebruikt om de gebruiker naar een vervalste site te leiden die visueel een legitiem domein lijkt te zijn. Deze update lost het probleem op door middel van een verbeterde geldigheidscontrole van domeinnamen. Met dank aan Tomohito Yoshino van Business Architects Inc. voor het melden van dit probleem.
WebKit
CVE-ID: CVE-2007-3944
Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.10, Mac OS X Server v10.4.10
Impact: het bekijken van een kwaadwillig vervaardigde webpagina kan leiden tot het uitvoeren van willekeurige code.
Beschrijving: er is sprake van overloop van de heapbuffer in de PCRE-bibliotheek (Perl Compatible Regular Expressions) die wordt gebruikt door de JavaScript-engine in Safari. Door een gebruiker te verleiden een kwaadwillig vervaardigde webpagina te bezoeken, kan een aanvaller dit probleem veroorzaken, wat kan leiden tot het uitvoeren van willekeurige code. Deze update verhelpt het probleem door aanvullende validatie van reguliere JavaScript-expressies uit te voeren. Met dank aan Charlie Miller en Jake Honoroff van Independent Security Evaluators voor het melden van deze problemen.