Over de beveiligingsinhoud van OS X Mavericks v10.9.5 en Beveiligingsupdate 2014-004

In dit document wordt de beveiligingsinhoud van OS X Mavericks v10.9.5 en Beveiligingsupdate 2014-004 beschreven.

Deze update kan worden gedownload en geïnstalleerd via de voorkeuren van Software-update of vanaf de Apple Support-website.

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Meer informatie over Apple productbeveiliging vind je op de website Apple productbeveiliging.

Raadpleeg Hoe gebruik je de Apple Product Security PGP-sleutel? voor meer informatie over het gebruik van de Apple PGP-sleutel voor productbeveiliging.

Waar mogelijk worden CVE-ID's als referentie voor kwetsbaarheden gebruikt voor verdere informatie.

Raadpleeg Apple beveiligingsupdates voor meer informatie over andere beveiligingsupdates.

Opmerking: OS X Mavericks v10.9.5 bevat de beveiligingsinhoud van Safari 7.0.6.

OS X Mavericks v10.9.5 en Beveiligingsupdate 2014-004

• apache_mod_php

  Beschikbaar voor: OS X Mavericks v10.9 tot v10.9.4

  Impact: meerdere kwetsbaarheden in PHP 5.4.24

  Beschrijving: er waren meerdere kwetsbaarheden in PHP 5.4.24. De meest ernstige kan hebben geleid tot uitvoering van willekeurige code. Deze update verhelpt de problemen door PHP bij te werken naar versie 5.4.30

  CVE-ID

  CVE-2013-7345

  CVE-2014-0185

  CVE-2014-0207

  CVE-2014-0237

  CVE-2014-0238

  CVE-2014-1943

  CVE-2014-2270

  CVE-2014-3478

  CVE-2014-3479

  CVE-2014-3480

  CVE-2014-3487

  CVE-2014-3515

  CVE-2014-3981

  CVE-2014-4049

• Bluetooth

  Beschikbaar voor: OS X Mavericks v10.9 tot v10.9.4

  Impact: een kwaadaardig programma kan mogelijk willekeurige code uitvoeren met systeembevoegdheden

  Beschrijving: er was een validatieprobleem bij de verwerking van een Bluetooth API-aanroep. Dit probleem is verholpen door een verbeterde controle van de grenzen.

  CVE-ID

  CVE-2014-4390: Ian Beer van Google Project Zero

• CoreGraphics

  Beschikbaar voor: OS X Mavericks v10.9 tot v10.9.4

  Impact: het openen van een kwaadwillig vervaardigd pdf-bestand kan leiden tot het onverwacht beëindigen van het programma of openbaarmaking van gegevens

  Beschrijving: er was een probleem met lezen van geheugen buiten het bereik bij de verwerking van pdf-bestanden. Dit probleem is verholpen door een verbeterde controle van de grenzen.

  CVE-ID

  CVE-2014-4378 Felipe Andres Manzano van Binamuse VRT in samenwerking met iSIGHT Partners GVP Program

• CoreGraphics

  Beschikbaar voor: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 tot v10.9.4

  Impact: het openen van een kwaadwillig vervaardigd pdf-bestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

  Beschrijving: er trad een integeroverloop op bij de verwerking van pdf-bestanden. Dit probleem is verholpen door een verbeterde controle van de grenzen.

  CVE-ID

  CVE-2014-4377 Felipe Andres Manzano van Binamuse VRT in samenwerking met iSIGHT Partners GVP Program

• Foundation

  Beschikbaar voor: OS X Mavericks v10.9 tot v10.9.4

  Impact: een programma dat NSXMLParser gebruikt, kan worden misbruikt om gegevens openbaar te maken

  Beschrijving: er was een probleem met een externe XML-entiteit bij de verwerking van XML door NSXMLParser. Dit probleem is verholpen door externe entiteiten niet over oorsprongen heen te laden.

  CVE-ID

  CVE-2014-4374: George Gal van VSR (http://www.vsecurity.com/)

• Intel Graphics Driver

  Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 tot v10.9.4

  Impact: het compileren van niet-vertrouwde GLSL-shaders kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

  Beschrijving: er trad een bufferoverloop van gebruikersruimte op in het compileerprogramma van de shader. Dit probleem is verholpen door een verbeterde controle van de grenzen.

  CVE-ID

  CVE-2014-4393: Apple

• Intel Graphics Driver

  Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 tot v10.9.4

  Impact: een kwaadaardig programma kan mogelijk willekeurige code uitvoeren met systeembevoegdheden

  Beschrijving: er waren meerdere validatieproblemen met sommige routines van ingebouwde grafische stuurprogramma's. Deze problemen zijn verholpen door middel van een verbeterde controle van de grenzen.

  CVE-ID

  CVE-2014-4394: Ian Beer van Google Project Zero

  CVE-2014-4395: Ian Beer van Google Project Zero

  CVE-2014-4396: Ian Beer van Google Project Zero

  CVE-2014-4397: Ian Beer van Google Project Zero

  CVE-2014-4398: Ian Beer van Google Project Zero

  CVE-2014-4399: Ian Beer van Google Project Zero

  CVE-2014-4400: Ian Beer van Google Project Zero

  CVE-2014-4401: Ian Beer van Google Project Zero

  CVE-2014-4416: Ian Beer van Google Project Zero

• IOAcceleratorFamily

  Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 tot v10.9.4

  Impact: een kwaadaardig programma kan mogelijk willekeurige code uitvoeren met systeembevoegdheden

  Beschrijving: er was een null pointer-dereferentie bij de verwerking van IOKit API-argumenten. Dit probleem is verholpen door een verbeterde validatie van IOKit API-argumenten.

  CVE-ID

  CVE-2014-4376: Ian Beer van Google Project Zero

• IOAcceleratorFamily

  Beschikbaar voor: OS X Mavericks v10.9 tot v10.9.4

  Impact: een kwaadaardig programma kan mogelijk willekeurige code uitvoeren met systeembevoegdheden

  Beschrijving: er was een probleem met lezen buiten het bereik bij de verwerking van een IOAcceleratorFamily-functie. Dit probleem is verholpen door een verbeterde controle van de grenzen.

  CVE-ID

  CVE-2014-4402: Ian Beer van Google Project Zero

• IOHIDFamily

  Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 tot v10.9.4

  Impact: een lokale gebruiker kan kernelpointers lezen, wat kan worden gebruikt bij het omzeilen van de randomisatiebescherming voor de indeling van adresruimte

  Beschrijving: er was een probleem met lezen buiten het bereik bij de verwerking van een IOHIDFamily-functie. Dit probleem is verholpen door een verbeterde controle van de grenzen.

  CVE-ID

  CVE-2014-4379: Ian Beer van Google Project Zero

• IOKit

  Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 tot v10.9.4

  Impact: een kwaadaardig programma kan mogelijk willekeurige code uitvoeren met systeembevoegdheden

  Beschrijving: er was een validatieprobleem bij de verwerking van bepaalde velden met metagegevens van IODataQueue-objecten. Dit probleem is verholpen door een verbeterde validatie van metadata.

  CVE-ID

  CVE-2014-4388: @PanguTeam

• IOKit

  Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 tot v10.9.4

  Impact: een kwaadaardig programma kan mogelijk willekeurige code uitvoeren met systeembevoegdheden

  Beschrijving: er trad een integeroverloop op bij de verwerking van IOKit-functies. Dit probleem is verholpen door een verbeterde controle van de grenzen.

  CVE-ID

  CVE-2014-4389: Ian Beer van Google Project Zero

• Kernel

  Beschikbaar voor: OS X Mavericks v10.9 tot v10.9.4

  Impact: een lokale gebruiker kan kerneladressen afleiden en de randomisatiebescherming voor de indeling van adresruimte omzeilen

  Beschrijving: in sommige gevallen is de CPU Global Descriptor Table toegewezen aan een voorspelbaar adres. Dit probleem is verholpen door de Global Descriptor Table altijd toe te wijzen aan willekeurige adressen.

  CVE-ID

  CVE-2014-4403: Ian Beer van Google Project Zero

• Libnotify

  Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 tot v10.9.4

  Impact: een kwaadaardig programma kan mogelijk willekeurige code uitvoeren met rootbevoegdheden

  Beschrijving: er was een probleem met schrijven buiten het bereik in Libnotify. Dit probleem is verholpen door een verbeterde controle van de grenzen

  CVE-ID

  CVE-2014-4381: Ian Beer van Google Project Zero

• OpenSSL

  Beschikbaar voor: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 tot v10.9.4

  Impact: meerdere kwetsbaarheden in OpenSSL 0.9.8y, waaronder één die kan leiden tot het uitvoeren van willekeurige code

  Beschrijving: er waren meerdere kwetsbaarheden in OpenSSL 0.9.8y. Deze update is verholpen door OpenSSL bij te werken naar versie 0.9.8za.

  CVE-ID

  CVE-2014-0076

  CVE-2014-0195

  CVE-2014-0221

  CVE-2014-0224

  CVE-2014-3470

• QT Media Foundation

  Beschikbaar voor: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 tot v10.9.4

  Impact: het afspelen van een kwaadwillig vervaardigd filmbestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

  Beschrijving: er was een probleem met geheugenbeschadiging bij de verwerking van filmbestanden met RLE-codering. Dit probleem is verholpen door een verbeterde controle van de grenzen.

  CVE-ID

  CVE-2014-1391: Fernando Munoz in samenwerking met iDefense VCP, Tom Gallagher & Paul Bates in samenwerking met het Zero Day Initiative van HP

• QT Media Foundation

  Beschikbaar voor: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 tot v10.9.4

  Impact: het afspelen van een kwaadwillig vervaardigd MIDI-bestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

  Beschrijving: er trad een bufferoverloop op bij de verwerking van MIDI-bestanden. Dit probleem is verholpen door een verbeterde controle van de grenzen.

  CVE-ID

  CVE-2014-4350: s3tm3m in samenwerking met het Zero Day Initiative van HP

• QT Media Foundation

  Beschikbaar voor: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 tot v10.9.4

  Impact: het afspelen van een kwaadwillig vervaardigd filmbestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

  Beschrijving: er was een probleem met geheugenbeschadiging bij de verwerking van 'mvhd'-atomen. Dit probleem is verholpen door een verbeterde controle van de grenzen.

  CVE-ID

  CVE-2014-4979: Andrea Micalizzi aka rgod in samenwerking met het Zero Day Initiative van HP

• ruby

  Beschikbaar voor: OS X Mavericks v10.9 tot v10.9.4

  Impact: een externe aanvaller kan mogelijk het uitvoeren van willekeurige code veroorzaken

  Beschrijving: er trad een heapbufferoverloop op bij de verwerking van met procent gecodeerde tekens in een URI door LibYAML. Dit probleem is verholpen door verbeterde bereikcontrole. Deze update verhelpt de problemen door LibYAML bij te werken naar versie 0.1.6

  CVE-ID

  CVE-2014-2525