Over de beveiligingsinhoud van beveiligingsupdate 2009-002 / Mac OS X v10.5.7
In dit document wordt de beveiligingsinhoud beschreven van beveiligingsupdate 2009-002 / Mac OS X v10.5.7. Deze versie kan worden gedownload en geïnstalleerd via het voorkeurenpaneel Software-update of via Apple Downloads.
Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Meer informatie over Apple productbeveiliging vind je op de website Apple productbeveiliging.
Raadpleeg Hoe gebruik je de Apple Product Security PGP-sleutel? voor meer informatie over het gebruik van de Apple PGP-sleutel voor productbeveiliging.
Waar mogelijk worden CVE-ID's als referentie voor kwetsbaarheden gebruikt voor verdere informatie.
Zie Apple beveiligingsupdates voor meer informatie over andere beveiligingsupdates.
Beveiligingsupdate 2009-002 / Mac OS X v10.5.7
Apache
CVE-ID: CVE-2008-2939
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11
Impact: het bezoeken van een kwaadaardige website kan cross-site scripting tot gevolg hebben
Beschrijving: er is een probleem met invoervalidatie bij de afhandeling door Apache van FTP-proxyverzoeken die jokertekens bevatten. Het bezoeken van een kwaadaardige website via een Apache-proxy kan een cross-site scripting-aanval tot gevolg hebben. Deze update lost het probleem op door de Apache-patch voor versie 2.0.63 toe te passen. Meer informatie is beschikbaar via de Apache-website op http://httpd.apache.org/ Apache 2.0.x wordt alleen geleverd met systemen met Mac OS X Server v10.4.x. Mac OS X v10.5.x en Mac OS X Server v10.5.x worden geleverd met Apache 2.2.x.
Apache
CVE-ID: CVE-2008-2939
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het bezoeken van een kwaadaardige website kan cross-site scripting tot gevolg hebben
Beschrijving: er is een probleem met invoervalidatie bij de afhandeling door Apache 2.2.9 van FTP-proxyverzoeken die jokertekens bevatten. Het bezoeken van een kwaadaardige website via een Apache-proxy kan een cross-site scripting-aanval tot gevolg hebben. Deze update lost het probleem op door Apache bij te werken naar versie 2.2.11. Meer informatie is beschikbaar via de Apache-website op http://httpd.apache.org/
Apache
CVE-ID: CVE-2008-0456
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: websites die gebruikers toestaan de naam van een aangeboden bestand te wijzigen, kunnen kwetsbaar zijn voor het invoegen van HTTP-reacties
Beschrijving: er is een probleem met nagemaakte verzoeken in Apache. Apache voegt geen escape-tekens toe aan bestandsnamen bij het onderhandelen over het juiste type materiaal dat moet worden verzonden naar een externe browser. Een gebruiker die bestanden met speciaal samengestelde namen kan publiceren naar een website, kan de eigen reactie vervangen door elke webpagina die wordt gehost op het systeem. Deze update lost het probleem op door escape-tekens toe te voegen aan bestandsnamen in reacties op onderhandelingen over materiaal.
ATS
CVE-ID: CVE-2009-0154
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het bekijken of downloaden van een document met een kwaadwillig vervaardigd ingebed CFF-lettertype kan leiden tot het uitvoeren van willekeurige code
Beschrijving: er bestaat een heapbufferoverloop in de verwerking van CFF-lettertypen (Compact Font Format) door Apple Type Services. Het bekijken of downloaden van een document met een kwaadwillig vervaardigd ingebed CFF-lettertype kan leiden tot het uitvoeren van willekeurige code. Deze update verhelpt het probleem door verbeterde bereikcontrole. Met dank aan Charlie Miller van Independent Security Evaluators, in samenwerking met het Zero Day Initiative van TippingPoint, voor het melden van dit probleem.
BIND
CVE-ID: CVE-2009-0025
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: BIND is gevoelig voor een spoofing-aanval indien geconfigureerd voor gebruik van DNSSEC
Beschrijving: de retourwaarde van de functie OpenSSL DSA_do_verify wordt niet op de juiste manier gecontroleerd door BIND. Op systemen die het DNSSEC-protocol (DNS Security Extensions) gebruiken, kan een kwaadwillig vervaardigd DSA-certificaat de validatie omzeilen, wat een spoofing-aanval tot gevolg kan hebben. DNSSEC is standaard niet ingeschakeld. Deze update lost het probleem op door BIND bij te werken naar versie 9.3.6-P1 in Mac OS X v10.4 en naar versie 9.4.3-P1 voor systemen met Mac OS X v10.5. Ga voor meer informatie naar de website van ISC op https://www.isc.org/
CFNetwork
CVE-ID: CVE-2009-0144
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: programma's die CFNetwork gebruiken, versturen mogelijk cookies in niet-versleutelde HTTP-verzoeken
Beschrijving: er is sprake van een implementatieprobleem in de parsering van Set-Cookie-headers door CFNetwork, wat tot gevolg kan hebben dat bepaalde cookies onverwacht worden verzonden via een niet-versleutelde verbinding. Dit probleem is van invloed op niet-RFC-compatibele Set-Cookie-headers die worden geaccepteerd om compatibiliteitsredenen. Dit kan tot gevolg hebben dat programma's die CFNetwork gebruiken, zoals Safari, vertrouwelijke gegevens verzenden in niet-versleutelde HTTP-verzoeken. Deze update verhelpt het probleem via een verbeterde parsering van Set-Cookie-headers. Dit probleem is niet van toepassing op systemen ouder dan Mac OS X v10.5. Met dank aan Andrew Mortensen van de Universiteit van Michigan voor het melden van dit probleem.
CFNetwork
CVE-ID: CVE-2009-0157
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het bezoeken van een kwaadaardige website kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code
Beschrijving: er bestaat een heapbufferoverloop bij het verwerken van uitzonderlijke lange HTTP-headers in CFNetwork. een bezoek aan een kwaadwillige website kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update lost het probleem op door aanvullende validatie van HTTP-headers uit te voeren. Dit probleem is niet van toepassing op systemen ouder dan Mac OS X v10.5. Met dank aan Moritz Jodeit van n.runs AG voor het melden van dit probleem.
CoreGraphics
CVE-ID: CVE-2009-0145
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het openen van een kwaadwillig vervaardigd pdf-bestand leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code
Beschrijving: er treden meerdere problemen met geheugenbeschadiging op bij het verwerken van pdf-bestanden in CoreGraphics. het openen van een kwaadwillig vervaardigd pdf-bestand kan het onverwacht beëindigen van het programma of uitvoering van willekeurige code tot gevolg hebben. Deze update verhelpt het probleem door verbeterde bereikcontrole en verbeterde foutcontrole.
CoreGraphics
CVE-ID: CVE-2009-0155
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het openen van een kwaadwillig vervaardigd pdf-bestand kan leiden tot onverwachte beëindiging van een programma of het uitvoeren van willekeurige code
Beschrijving: een onderloop van hele getallen bij het verwerken van pdf-bestanden door CoreGraphics kan leiden tot een heapbufferoverloop. het openen van een kwaadwillig vervaardigd pdf-bestand kan het onverwacht beëindigen van het programma of uitvoering van willekeurige code tot gevolg hebben. Deze update verhelpt het probleem door verbeterde bereikcontrole. Dit probleem is niet van toepassing op systemen ouder dan Mac OS X v10.5. Met dank aan Barry K. Nathan, en Christian Kohlschutter van L3S Research Center voor het melden van dit probleem.
CoreGraphics
CVE-ID: CVE-2009-0146, CVE-2009-0147, CVE-2009-0165
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het bekijken of downloaden van een pdf-bestand met een kwaadwillig vervaardigde JBIG2-stream kan leiden tot het uitvoeren van willekeurige code
Beschrijving: er is sprake van verschillende problemen met geheugenbeschadiging tijdens de verwerking van pdf-bestanden door CoreGraphics. Het bekijken of downloaden van een pdf-bestand met een kwaadwillig vervaardigde JBIG2-stream kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door verbeterde bereikcontrole. Met dank aan Apple, Alin Rad Pop van Secunia Research en Will Dormann van CERT/CC voor het melden van dit probleem.
CoreGraphics
CVE-ID: CVE-2009-0148
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het openen van een kwaadwillig vervaardigd pdf-bestand kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code
Beschrijving: er is sprake van overloop van een stackbuffer tijdens de verwerking van lange padnamen in het bestandssysteem door Cscope. Het verwerken van een kwaadwillig vervaardigd bronbestand met Cscope kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door verbeterde bereikcontrole.
CUPS
CVE-ID: CVE-2009-0164
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het bezoeken van een kwaadwillig vervaardigde website kan leiden tot onbevoegde toegang van de webinterface van CUPS
Beschrijving: onder bepaalde omstandigheden kan de webinterface van CUPS 1.3.9 en ouder toegankelijk zin voor aanvallers via aanvallen met als doel DNS-rebinding. In de standaardconfiguratie kan dit tot gevolg hebben dat een kwaadwillig vervaardigde website printers kan starten en stoppen, en toegang kan krijgen tot gegevens van printers en taken. Deze update lost het probleem op door aanvullende validatie van de Host-header uit te voeren. Met dank aan Apple.
Disk Images
CVE-ID: CVE-2009-0150
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het koppelen van een kwaadwillig vervaardigde schijfkopie kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code
Beschrijving: er is sprake van een overloop van een stackbuffer bij het verwerken van schijfkopieën. Het koppelen van een kwaadwillig vervaardigde, beperkte schijfkopie kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door verbeterde bereikcontrole. Dit probleem is niet van invloed op systemen ouder dan Mac OS X v10.5. Met dank aan Tiller Beauchamp van IOActive voor het melden van dit probleem.
CoreGraphics
CVE-ID: CVE-2009-0149
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het koppelen van een kwaadwillig vervaardigde schijfkopie kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code
Beschrijving: er is sprake van verschillende problemen met geheugenbeschadiging tijdens de verwerking van schijfkopieën door CoreGraphics. Het koppelen van een kwaadwillig vervaardigde, beperkte schijfkopie kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door verbeterde bereikcontrole. Met dank aan Apple.
enscript
CVE-ID: CVE-2004-1184, CVE-2004-1185, CVE-2004-1186, CVE-2008-3863
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: meerdere kwetsbaarheden in enscript
Beschrijving: enscript wordt bijgewerkt naar versie 1.6.4 om verschillende kwetsbaarheden op te lossen, waarvan de ernstigste kunnen leiden tot het uitvoeren van willekeurige code. Ga voor meer informatie naar de website van gnu op http://www.gnu.org/software/enscript/
Flash Player plug-in
CVE-ID: CVE-2009-0519, CVE-2009-0520, CVE-2009-0114
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: er bestaan meerdere kwetsbaarheden in de Adobe Flash Player-plugin
Beschrijving: er bestaan meerdere problemen in de Adobe Flash Player-plugin, waarvan de ernstigste kunnen leiden tot het uitvoeren van willekeurige code bij het bekijken van een kwaadwillig vervaardigde website. De problemen worden verholpen door de Flash Player-plugin bij te werken naar versie 10.0.22.87 op systemen met Mac OS X v10.5.x en naar versie 9.0.159.0 op systemen met Mac OS X v10.4.11. Ga voor meer informatie naar de website van Adobe op http://www.adobe.com/support/security/bulletins/apsb09-01.html
Help Viewer
CVE-ID: CVE-2009-0942
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het openen van een kwaadwillig vervaardigde help-URL kan leiden tot het uitvoeren van willekeurige code
Beschrijving: Help Viewer laadt Cascading Style Sheets waarnaar wordt verwezen in URL-parameters zonder te valideren of de opmaaksjablonen waarnaar wordt verwezen zich in een geregistreerd helpboek bevinden. Een kwaadwillende help-URL kan worden gebruikt om willekeurige AppleScript-bestanden aan te roepen, wat het uitvoeren van willekeurige code tot gevolg kan hebben. Deze update lost het probleem op door een verbeterde validatie van paden in het bestandssysteem tijdens het laden van opmaaksjablonen. Met dank aan Brian Mastenbrook voor het melden van dit probleem.
Help Viewer
CVE-ID: CVE-2009-0943
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het openen van een kwaadwillig vervaardigde help-URL kan leiden tot het uitvoeren van willekeurige code
Beschrijving: Help Viewer valideert niet of volledige paden naar HTML-documenten zich in geregistreerde helpboeken bevinden. Een kwaadwillende help-URL kan worden gebruikt om willekeurige AppleScript-bestanden aan te roepen, wat het uitvoeren van willekeurige code tot gevolg kan hebben. Deze update lost het probleem op door verbeterde validatie van help-URL’s. Met dank aan Brian Mastenbrook voor het melden van dit probleem.
iChat
CVE-ID: CVE-2009-0152
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: AIM-communicatie van iChat die is geconfigureerd voor SSL kan worden gedowngraded naar tekst zonder opmaak
Beschrijving: iChat ondersteunt SSL (Secure Sockets Layer) voor accounts van AOL Instant Messenger en Jabber. iChat schakelt SSL automatisch uit voor accounts van AOL Instant Messenger als er geen verbinding kan worden gemaakt. Daaropvolgende communicatie wordt verzonden als tekst zonder opmaak totdat SSL handmatig opnieuw wordt ingeschakeld. Een externe aanvaller met de mogelijkheid om netwerkverkeer te observeren vanaf een getroffen systeem kan mogelijk de inhoud verkrijgen van gesprekken in AOL Instant Messenger. Deze update lost het probleem op door het gedrag van iChat te wijzigen, zodat altijd wordt geprobeerd om SSL te gebruiken en om alleen minder veilige kanalen te gebruiken als de voorkeur 'SSL vereisen' niet is ingeschakeld. Dit probleem is niet van toepassing op systemen ouder dan Mac OS X v10.5, aangezien die SSL niet ondersteunen voor iChat-accounts. Met dank aan Chris Adams voor het melden van dit probleem.
International Components for Unicode
CVE-ID: CVE-2009-0153
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: kwaadwillig vervaardigd materiaal kan websitefilters omzeilen en cross-site scripting tot gevolg hebben
Beschrijving: er is sprake van een implementatieprobleem bij de verwerking door ICU van bepaalde tekencoderingen. Als u ICU gebruikt voor het converteren van ongeldige bytereeksen naar Unicode, kan dit overgebruik veroorzaken, waarbij volgbytes worden gezien als onderdeel van het oorspronkelijke teken. Een aanvaller kan hiervan gebruikmaken door filters op websites te omzeilen die cross-site scripting tegen proberen te gaan. In deze update wordt het probleem verholpen door een verbeterde verwerking van ongeldige bytereeksen. Dit probleem is niet van toepassing op systemen ouder dan Mac OS X v10.5. Met dank aan Chris Weber van Casaba Security voor het melden van dit probleem.
IPSec
CVE-ID: CVE-2008-3651, CVE-2008-3652
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: verschillende kwetsbaarheden in de racoon-daemon kunnen leiden tot een denial of service
Beschrijving: verschillende geheugenlekken in de racoon-daemon in ipsec-tools ouder dan 0.7.1, die een denial of service kunnen veroorzaken. Deze update verhelpt het probleem door verbeterd geheugenbeheer.
Kerberos
CVE-ID: CVE-2009-0845
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het verwerken van een kwaadwillig vervaardigd authenticatiepakket kan leiden tot een denial of service van een voor Kerberos ingeschakeld programma
Beschrijving: er is een probleem met een null pointer dereference in de SPNEGO-ondersteuning van Kerberos. Het verwerken van een kwaadwillig vervaardigd authenticatiepakket kan leiden tot een denial of service van een voor Kerberos ingeschakeld programma. Deze update lost het probleem op door te controleren op een null pointer. Dit probleem is niet van toepassing op systemen ouder dan Mac OS X v10.5.
Kerberos
CVE-ID: CVE-2009-0846, CVE-2009-0847
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het openen van een kwaadwillig vervaardigd bericht dat met ASN.1 is versleuteld, kan leiden tot een denial of service van een voor Kerberos ingeschakeld programma of het uitvoeren van willekeurige code
Beschrijving: er is sprake van verschillende problemen met geheugenbeschadiging tijdens de verwerking van met ASN.1 versleutelde berichten door Kerberos. Het verwerken van een kwaadwillig vervaardigd bericht dat met ASN.1 is versleuteld, kan leiden tot een denial of service van een voor Kerberos ingeschakeld programma. Meer informatie over de problemen en de toegepaste patches is beschikbaar via de website van MIT Kerberos op http://web.mit.edu/Kerberos/
Kerberos
CVE-ID: CVE-2009-0844
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het verwerken van een kwaadwillig vervaardigd Kerberos-gegevenspakket kan leiden tot een denial of service van een voor Kerberos ingeschakeld programma
Beschrijving: Er is sprake van toegang tot geheugen buiten het bereik in Kerberos. Het verwerken van een kwaadwillig vervaardigd Kerberos-gegevenspakket kan leiden tot een denial of service van een voor Kerberos ingeschakeld programma. Deze update verhelpt het probleem door verbeterde bereikcontrole. Dit probleem is niet van toepassing op systemen ouder dan Mac OS X v10.5. Met dank aan Apple.
Kernel
CVE-ID: CVE-2008-1517
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: een lokale gebruiker kan systeembevoegdheden verkrijgen
Beschrijving: er is sprake van een probleem met een niet-gecontroleerde index tijdens de verwerking van werkwachtrijen door de kernel, wat kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code met kernelbevoegdheden. Deze update lost het probleem op door verbeterde indexcontrole. Met dank aan een anonieme onderzoeker, in samenwerking met het VeriSign iDefense VCP, voor het melden van dit probleem.
Launch Services
CVE-ID: CVE-2009-0156
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het downloaden van een kwaadwillig vervaardigd uitvoerbaar bestand van Mach-O kan tot gevolg hebben dat de Finder herhaaldelijk wordt afgesloten en herstart
Beschrijving: er is geheugen buiten het bereik gelezen in Launch Services. Het downloaden van een kwaadwillig vervaardigd uitvoerbaar bestand van Mach-O kan tot gevolg hebben dat de Finder herhaaldelijk wordt afgesloten en herstart. Deze update verhelpt het probleem door verbeterde bereikcontrole.
libxml
CVE-ID: CVE-2008-3529
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het bezoeken van een kwaadwillig vervaardigde website kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code
Beschrijving: er is sprake van overloop van een heapbuffer tijdens de verwerking van lange entiteitsnamen door libxml. Het bezoeken van een kwaadwillig vervaardigde website kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door verbeterde bereikcontrole.
Net-SNMP
CVE-ID: CVE-2008-4309
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: een externe aanvaller kan de SNMP-service beëindigen
Beschrijving: er is sprake van een overloop van gehele getallen in de functie netsnmp_create_subtree_cache. Door het versturen van een kwaadwillig vervaardigd SNMPv3-pakket kan een aanvaller de SNMP-server afsluiten en zo service aan legitieme clients weigeren. Deze update lost het probleem op door de Net-SNMP-patches toe te passen op systemen met Mac OS X v10.4.11, en door net_snmp bij te werken naar versie 5.4.2.1 op systemen met Mac OS X v10.5.x. De SNMP-service is standaard niet ingeschakeld in Mac OS X of Mac OS X Server.
Network Time
CVE-ID: CVE-2009-0021
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: Network Time is gevoelig voor een spoofing-aanval als NTP-authenticatie is ingeschakeld
Beschrijving: de retourwaarde van de functie OpenSSL EVP_VerifyFinal wordt niet op de juiste manier gecontroleerd door de ntpd-daemon. Op systemen die NTPv4-authenticatie gebruiken, kan een kwaadwillig vervaardigde handtekening hierdoor de validatie van cryptografische handtekeningen omzeilen, wat een spoofing-aanval tot gevolg kan hebben. NTP-authenticatie is standaard niet ingeschakeld. Deze update lost het probleem op door de retourwaarde van de functie EVP_VerifyFinal function op de juiste manier te controleren.
Network Time
CVE-ID: CVE-2009-0159
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: de opdracht 'ntpq' gebruiken om gegevens van een peer op te vragen van een kwaadwillende externe tijdserver kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code
Beschrijving: er is sprake van overloop van een stackbuffer in het programma ntpq. Als het programma 'ntpq' wordt gebruikt om gegevens van een peer op te vragen van een externe tijdserver, kan een kwaadwillig vervaardigde reactie leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door verbeterde bereikcontrole. Met dank aan Apple.
Networking
CVE-ID: CVE-2008-3530
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: een externe gebruiker kan leiden tot onverwachte beëindiging van het systeem
Beschrijving: als IPv6-ondersteuning is ingeschakeld, kunnen IPv6-knooppunten ICMPv6 gebruiken om fouten te melden die zijn opgetreden tijdens het verwerken van pakketten. Een implementatieprobleem bij de afhandeling van binnenkomende berichten van ICMPv6 dat een pakket te groot is, kan tot gevolg hebben dat het systeem onverwacht wordt uitgeschakeld. Deze update lost het probleem op door een verbeterde afhandeling van ICMPv6-foutberichten.
OpenSSL
CVE-ID: CVE-2008-5077
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: een man-in-the-middle aanvaller kan zich voordoen als een vertrouwde server of gebruiker in programma's die OpenSSL gebruiken voor de verificatie van SSL-certificaten
Beschrijving: de resultaatwaarde van de functie EVP_VerifyFinal wordt niet op de juiste manier gecontroleerd door verschillende functies in de OpenSSL-bibliotheek. Een man-in-the-middle aanvaller kan zich voordoen als een vertrouwde server of gebruiker in programma's die OpenSSL gebruiken voor de verificatie van SSL-certificaten voor DSA- en ECDSA-sleutels. Deze update lost het probleem op door de retourwaarde van de functie EVP_VerifyFinal function op de juiste manier te controleren.
PHP
CVE-ID: CVE-2008-3659, CVE-2008-2829, CVE-2008-3660, CVE-2008-2666, CVE-2008-2371, CVE-2008-2665, CVE-2008-3658, CVE-2008-5557
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: meerdere kwetsbaarheden in PHP 5.2.6
Beschrijving: PHP wordt bijgewerkt naar versie 5.2.8 om meerdere kwetsbaarheden te verhelpen, waarvan de ernstigste kunnen leiden tot het uitvoeren van willekeurige code. Ga voor meer informatie naar de PHP-website op http://www.php.net/
QuickDraw Manager
CVE-ID: CVE-2009-0160
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het openen van een kwaadwillig vervaardigde PICT-afbeelding kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code
Beschrijving: er is sprake van een probleem met geheugenbeschadiging tijdens de verwerking van PICT-afbeeldingen door QuickDraw. Het openen van een kwaadwillig vervaardigde PICT-afbeelding kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door aanvullende validatie van PICT-afbeeldingen uit te voeren. Met dank aan Apple.
QuickDraw ManagerCVE-ID: CVE-2009-0010 Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6 Impact: het openen van een kwaadwillig vervaardigde PICT-afbeelding kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code Beschrijving: een onderloop van hele getallen bij het verwerken van PICT-afbeeldingen kan leiden tot een heapbufferoverloop. Het openen van een kwaadwillig vervaardigd PICT-bestand kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door aanvullende validatie van PICT-afbeeldingen uit te voeren. Met dank aan Damian Put en Sebastian Apelt, in samenwerking met het Zero Day Initiative van TippingPoint, en Chris Ries van Carnegie Mellon University Computing Services voor het melden van dit probleem.
ruby
CVE-ID: CVE-2008-3443, CVE-2008-3655, CVE-2008-3656, CVE-2008-3657, CVE-2008-3790
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: meerdere kwetsbaarheden in Ruby 1.8.6
Beschrijving: er is sprake van meerdere kwetsbaarheden in Ruby 1.8.6. Deze update lost de problemen op door Ruby bij te werken naar versie 1.8.6-p287. Ga voor meer informatie naar de website van Ruby op http://www.ruby-lang.org/en/security/
ruby
CVE-ID: CVE-2009-0161
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: Ruby-programma's kunnen ingetrokken certificaten accepteren
Beschrijving: er is sprake van een onvolledige foutcontrole bij het gebruik door Ruby van de OpenSSL-bibliotheek. De module OpenSSL::OCSP Ruby kan een ongeldige reactie interpreteren als een OCSP-validatie van het certificaat. Deze update verhelpt het probleem door een verbeterde foutcontrole tijdens het verifiëren van OCSP-reacties.
Safari
CVE-ID: CVE-2009-0162
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het openen van een kwaadwillig vervaardigde feed-URL kan leiden tot het uitvoeren van willekeurige code
Beschrijving: er zijn meerdere problemen met de validatie van invoer tijdens de verwerking van feed-URL's door Safari. Het openen van een kwaadwillig vervaardigde feed-URL kan leiden tot het uitvoeren van willekeurig JavaScript. Deze update verhelpt de problemen door aanvullende validatie van feed-URL's uit te voeren. Deze problemen zijn niet van toepassing op systemen ouder dan Mac OS X v10.5. Met dank aan Billy Rios van Microsoft Vulnerability Research (MSVR) en Alfredo Melloni voor het melden van deze problemen.
Spotlight
CVE-ID: CVE-2009-0944
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het downloaden van een kwaadwillig vervaardigd Microsoft Office-bestand kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code
Beschrijving: er is sprake van verschillende problemen met geheugenbeschadiging in Mac OS X Microsoft Office Spotlight Importer. Het downloaden van een kwaadwillig vervaardigd Microsoft Office-bestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code. Deze update lost het probleem op door aanvullende validatie van Microsoft Office-bestanden.
system_cmds
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het commando 'login' voert de standaard-shell altijd uit met normale prioriteit
Beschrijving: het commando 'login' start een interactieve shell nadat een lokale gebruiker is geauthenticeerd. Het prioriteitsniveau voor de interactieve shell wordt teruggezet naar de standaardwaarde, waardoor de shell kan worden uitgevoerd met een onverwacht hoge prioriteit. Deze update lost het probleem op door de prioriteitsinstelling van het aanroepende proces te respecteren als de aanroepende partij de supergebruiker is of de gebruiker die is ingelogd.
telnet
CVE-ID: CVE-2009-0158
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het verbinding maken met een TELNET-server met een zeer lange canonieke naam in de bijbehorende DNS-adresrecord kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code
Beschrijving: er is sprake van overloop van een stackbuffer in een telnet-commando. Het maken van verbinding met een TELNET-server met een zeer lange canonieke naam in de bijbehorende DNS-adresrecord kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door verbeterde bereikcontrole. Met dank aan Apple.
Terminal
CVE-ID: CVE-2009-1717
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: met behulp van Terminal verbinding maken met een extern systeem kan leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code
Beschrijving: een overloop van hele getallen tijdens de verwerking van de grootte van het Terminal-venster kan leiden tot een overloop van de heapbuffer. Als u Terminal gebruikt om verbinding te maken met een extern systeem, bijvoorbeeld door een telnet-URL te openen, kan dit leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update lost het probleem op door de breedte van het Terminal-venster te beperken tot 2048 tekens. Dit probleem is niet van toepassing op systemen ouder dan Mac OS X v10.5. Met dank aan Rob King van TippingPoint DVLabs voor het melden van dit probleem.
WebKit
CVE-ID: CVE-2009-0945
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het bezoeken van een kwaadwillig vervaardigde website kan leiden tot het uitvoeren van willekeurige code
Beschrijving: er is sprake van een probleem met geheugenbeschadiging tijdens de verwerking van SVGList-objecten door WebKit. het bezoeken van een kwaadwillig vervaardigde website kan leiden tot het uitvoeren van willekeurige code. Deze update verhelpt het probleem door verbeterde bereikcontrole. Dit probleem kan voor Mac OS X v10.4.11 en Mac OS X Server v10.4.11 worden opgelost door bij te werken naar Safari 3.2.3. Met dank aan Nils, in samenwerking met het Zero Day Initiative van TippingPoint, voor het melden van dit probleem.
X11
CVE-ID: CVE-2006-0747, CVE-2007-2754
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11
Impact: meerdere kwetsbaarheden in FreeType v2.1.4
Beschrijving: er bestaan meerdere kwetsbaarheden in FreeType v2.1.4, waarvan de ernstigste kunnen leiden tot het uitvoeren van willekeurige code tijdens het verwerken van een kwaadwillig vervaardigd lettertype. Deze update lost de problemen op door FreeType bij te werken naar versie 2.3.8. Meer informatie is beschikbaar op de website van FreeType op http://www.freetype.org/ De problemen zijn al opgelost op systemen die werken met Mac OS X v10.5.6.
X11
CVE-ID: CVE-2008-2383
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: het weergeven van kwaadwillig vervaardigde gegevens binnen een xterm-terminal kan leiden tot het uitvoeren van willekeurige code
Beschrijving: het programma xterm ondersteunt een commandoreeks die bekend staat als DECRQSS en die kan worden gebruikt om informatie over de huidige terminal te retourneren. De geretourneerde informatie wordt verzonden als terminalinvoer doe vergelijkbaar is met de toetsenbordinvoer van een gebruiker. Het weergeven van kwaadwillig vervaardigde gegevens met dergelijke reeksen binnen een xterm-terminal kan leiden tot het invoegen van commando's. Deze update lost het probleem op door aanvullende validatie van de uitvoergegevens uit te voeren. Dit probleem is niet van toepassing op systemen ouder dan Mac OS X v10.5.
X11
CVE-ID: CVE-2008-1382, CVE-2009-0040
Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: meerdere kwetsbaarheden in versie 1.2.26 van libpng
Beschrijving: er is sprake van meerdere kwetsbaarheden in versie 1.2.26 van libpng, waarvan de ernstigste kunnen leiden tot het uitvoeren van willekeurige code. Deze update lost de problemen op door libpng bij te werken naar versie 1.2.35. Meer informatie is beschikbaar op de website van libpng op http://www.libpng.org/pub/png/libpng.html Deze problemen zijn niet van invloed op systemen ouder dan Mac OS X v10.5.
X11
CVE-ID: CVE-2009-0946
Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.6, Mac OS X Server v10.5 tot en met v10.5.6
Impact: meerdere kwetsbaarheden in FreeType v2.3.8
Beschrijving: er is sprake van meerdere overlopen van hele getallen in FreeType v2.3.8, die kunnen leiden tot onverwachte beëindiging van het programma of het uitvoeren van willekeurige code. Deze update verhelpt het probleem door verbeterde bereikcontrole. Met dank aan Tavis Ormandy van het Google Security Team voor het melden van deze problemen.
Belangrijk: De vermelding van websites en producten van derden is alleen bedoeld ter informatie en impliceert niet dat wij deze websites of producten goedkeuren of aanbevelen. Apple aanvaardt geen verantwoordelijkheid met betrekking tot de selectie, prestaties of het gebruik van informatie of producten op websites van derden. Apple biedt dit alleen aan voor het gemak van onze gebruikers. Apple heeft de informatie op deze sites niet getest en doet geen uitspraken over de juistheid of betrouwbaarheid ervan. Er zijn risico's verbonden aan het gebruik van informatie of producten die op internet worden gevonden en Apple aanvaardt in dit verband geen enkele verantwoordelijkheid. Het is belangrijk om je te realiseren dat een site van derden onafhankelijk is van Apple en dat Apple geen controle heeft over het materiaal op die website. Neem voor meer informatie contact op met de leverancier.