Over de beveiligingsinhoud van OS X Yosemite v10.10.4 en Beveiligingsupdate 2015-005

In dit document wordt de beveiligingsinhoud van OS X Yosemite v10.10.4 en Beveiligingsupdate 2015-005 beschreven.

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Meer informatie over Apple productbeveiliging vind je op de website Apple productbeveiliging.

Raadpleeg Hoe gebruik je de Apple Product Security PGP-sleutel?.

Waar mogelijk worden CVE-ID's als referentie voor kwetsbaarheden gebruikt voor verdere informatie.

Raadpleeg Apple beveiligingsreleases.

OS X Yosemite v10.10.4 en Beveiligingsupdate 2015-005

  • Admin Framework

    Impact: een proces kan beheerdersrechten verkrijgen zonder verificatie

    Impact: A process may gain admin privileges without proper authentication

    Description: An issue existed when checking XPC entitlements. This issue was addressed through improved entitlement checking.

    CVE-ID

    CVE-2015-3671 : Emil Kvarnhammar at TrueSec

  • Admin Framework

    Impact: een niet-beheerder kan beheerdersrechten verkrijgen

    Impact: A non-admin user may obtain admin rights

    Description: An issue existed in the handling of user authentication. This issue was addressed through improved error checking.

    CVE-ID

    CVE-2015-3672 : Emil Kvarnhammar at TrueSec

  • Admin Framework

    Beschikbaar voor: OS X Yosemite v10.10 tot v.10.10.3

    Impact: een aanvaller kan Directory Utility misbruiken om rootrechten te verkrijgen

    Beschrijving: Directory Utility kon worden verplaatst en gewijzigd om code uit te voeren binnen een gerechtigd proces. Dit probleem is verholpen door de locatie van de schijf te beperken vanwaar writeconfig-clients mogelijk worden uitgevoerd.

    CVE-ID

    CVE-2015-3673: Patrick Wardle van Synack, Emil Kvarnhammar van TrueSec

  • afpserver

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een externe aanvaller kan leiden tot het onverwacht beëindigen van een programma of het uitvoeren van willekeurige code

    Beschrijving: er trad een probleem met geheugenbeschadiging op in de AFP-server. Dit probleem is verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-3674: Dean Jerkovich van NCC Group

  • apache

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een aanvaller kan zonder in het bezit te zijn van de juiste gegevens mogelijk toegang tot mappen krijgen die zijn beschermd met HTTP-verificatie

    Beschrijving: de standaard Apache-configuratie bevatte mod_hfs_apple niet. Als Apache handmatig is ingeschakeld en de configuratie niet is gewijzigd, kunnen sommige bestanden die niet toegankelijk mogen zijn, toegankelijk geweest zijn met behulp van een speciaal vervaardigde URL. Dit probleem is verholpen door mod_hfs_apple in te schakelen.

    CVE-ID

    CVE-2015-3675: Apple

  • apache

    CVE-ID

    Impact: Multiple vulnerabilities exist in PHP, the most serious of which may lead to arbitrary code execution

    Description: Multiple vulnerabilities existed in PHP versions prior to 5.5.24 and 5.4.40. These were addressed by updating PHP to versions 5.5.24 and 5.4.40.

    CVE-ID

    CVE-2015-0235

    CVE-2015-0273

  • AppleGraphicsControl

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan mogelijk de kernelgeheugenlay-out bepalen

    Beschrijving: er trad een probleem op in AppleGraphicsControl dat de kernelgeheugenlay-out openbaar had kunnen maken. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2015-3676: Chen Liang van KEEN Team

  • AppleFSCompression

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan mogelijk de kernelgeheugenlay-out bepalen

    Beschrijving: er trad een probleem op in de LZVN-compressie dat de kernelgeheugeninhoud openbaar had kunnen maken. Dit probleem is verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-3677: een anonieme onderzoeker in samenwerking met het Zero Day Initiative van HP

  • AppleThunderboltEDMService

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan het uitvoeren van willekeurige code met systeembevoegdheden veroorzaken

    Beschrijving: er bevond zich een geheugenbeschadiging in de verwerking van bepaalde Thunderbolt-opdrachten van lokale processen. Dit probleem is verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-3678: Apple

  • ATS

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

    Beschrijving: er traden meerdere problemen met geheugenbeschadiging op bij de verwerking van bepaalde lettertypen. Deze problemen zijn verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-3679: Pawel Wylecial in samenwerking met het Zero Day Initiative van HP

    CVE-2015-3680: Pawel Wylecial in samenwerking met het Zero Day Initiative van HP

    CVE-2015-3681: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-3682: 魏诺德

  • Bluetooth

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan het uitvoeren van willekeurige code met systeembevoegdheden veroorzaken

    Beschrijving: er trad een probleem met geheugenbeschadiging op in de Bluetooth HCI-interface. Dit probleem is verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-3683: Roberto Paleari en Aristide Fattori van Emaze Networks

  • Certificate Trust Policy

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: een aanvaller met een bevoorrechte netwerkpositie kan mogelijk netwerkverkeer onderscheppen

    Beschrijving: een tussenliggend certificaat werd ten onrechte uitgegeven door de certificaatautoriteit CNNIC. Dit probleem is verholpen door het toevoegen van een mechanisme waarbij alleen een subreeks van certificaten wordt vertrouwd die vóór het uitreiken van het intermediaire certificaat zijn uitgereikt. Lees meer over de toestemmingslijst met gedeeltelijk vertrouwen in veiligheidskwesties.

  • Certificate Trust Policy

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Beschrijving: het vertrouwensbeleid voor certificaten is bijgewerkt. De volledige lijst met certificaten vind je in de vertrouwde opslag in OS X.

  • CFNetwork HTTPAuthentication

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: het volgen van een kwaadwillig vervaardigde URL kan het uitvoeren van willekeurige code veroorzaken

    Beschrijving: er trad een probleem met geheugenbeschadiging op in de verwerking van bepaalde URL-gegevens. Dit probleem is verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-3684: Apple

  • CoreText

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: het verwerken van een kwaadwillig vervaardigd tekstbestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

    Beschrijving: er traden meerdere problemen met geheugenbeschadiging op bij de verwerking van tekstbestanden. Deze problemen zijn verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2015-1157

    CVE-2015-3685: Apple

    CVE-2015-3686: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-3687: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-3688: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-3689: Apple

  • coreTLS

    Beschikbar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een aanvaller met bevoorrechte netwerkpositie kan mogelijk SSL-/TLS-verbindingen onderscheppen

    Beschrijving: coreTLS accepteerde korte Diffie-Hellman-sleutels (DH), zoals gebruikt in korte DH-cijfersuites met exportkracht. Dit probleem, ook bekend als Logjam, stelde een aanvaller in een geprivilegieerde netwerkpositie in staat om een downgrade van de beveiliging naar 512-bits DH uit te voeren als de server een exportsterke, kortstondige DH-coderingssuite ondersteunde. Het probleem is verholpen door de standaard minimale grootte voor kortstondige DH-sleutels te verhogen tot 768 bits.

    CVE-ID

    CVE-2015-4000: het weakdh-team van weakdh.org, Hanno Boeck

  • DiskImages

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan mogelijk de kernelgeheugenlay-out bepalen

    Beschrijving: er trad een probleem op met de openbaarmaking van informatie in de verwerking van schijfafbeeldingen. Dit probleem is verholpen door een verbeterd geheugenbeheer.

    CVE-ID

    CVE-2015-3690: Peter Rutenbar in samenwerking met het Zero Day Initiative van HP

  • Display Drivers

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan het uitvoeren van willekeurige code met systeembevoegdheden veroorzaken

    Beschrijving: er trad een probleem op in de Monitor Control Command Set-kernelextensie waardoor een userland-proces de waarde van een function pointer binnen de kernel kon beheren. Het probleem is verholpen door de desbetreffende interface te verwijderen.

    CVE-ID

    CVE-2015-3691: Roberto Paleari en Aristide Fattori van Emaze Networks

  • EFI

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma met rootrechten kan mogelijk het EFI-flashgeheugen aanpassen

    Beschrijving: er trad een probleem op met onvoldoende vergrendeling van het EFI-flashgeheugen wanneer dit uit slaapstand werd geactiveerd. Dit probleem is verholpen door een verbeterde vergrendeling.

    CVE-ID

    CVE-2015-3692: Trammell Hudson van Two Sigma Investments, Xeno Kovah en Corey Kallenberg van LegbaCore LLC, Pedro Vilaça

  • EFI

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan geheugenbeschadiging veroorzaken om bevoegdheden te escaleren

    Beschrijving: er trad een storingsfout, ook wel Rowhammer genoemd, op in DDR3 RAM. Dit had kunnen leiden tot geheugenbeschadiging. Dit probleem is verholpen door de vernieuwingsfrequentie van het geheugen te verhogen.

    CVE-ID

    CVE-2015-3693: Mark Seaborn en Thomas Dullien van Google in samenwerking met het oorspronkelijke onderzoek van Yoongu Kim et al (2014)

  • FontParser

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

    Beschrijving: er trad een probleem met geheugenbeschadiging op bij de verwerking van lettertypebestanden. Dit probleem is verholpen door een verbeterde invoervalidatie.

    CVE-ID

    CVE-2015-3694: John Villamil (@day6reak), Yahoo Pentest Team

  • Graphics Driver

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan het uitvoeren van willekeurige code met systeembevoegdheden veroorzaken

    Beschrijving: er trad een probleem met overmatig schrijven op in de NVIDIA-graphicsdriver. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2015-3712: Ian Beer van Google Project Zero

  • Intel Graphics Driver

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: meerdere problemen met bufferoverloop treden op in de Intel-graphicsdriver. De meest ernstige kan leiden tot het uitvoeren van willekeurige code met systeembevoegdheden

    Beschrijving: er traden problemen met bufferoverloop op in de Intel-graphicsdriver. Deze zijn verholpen door middel van extra controles van het bereik.

    CVE-ID

    CVE-2015-3695: Ian Beer van Google Project Zero

    CVE-2015-3696: Ian Beer van Google Project Zero

    CVE-2015-3697: Ian Beer van Google Project Zero

    CVE-2015-3698: Ian Beer van Google Project Zero

    CVE-2015-3699: Ian Beer van Google Project Zero

    CVE-2015-3700: Ian Beer van Google Project Zero

    CVE-2015-3701: Ian Beer van Google Project Zero

    CVE-2015-3702: KEEN Team

  • ImageIO

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: er zitten meerdere beveiligingslekken in libtiff. De meest ernstige kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er zaten meerdere beveiligingslekken in libtiff-versies van voor 4.0.4. Deze zijn verholpen door libtiff bij te werken naar versie 4.0.4.

    CVE-ID

    CVE-2014-8127

    CVE-2014-8128

    CVE-2014-8129

    CVE-2014-8130

  • ImageIO

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: het verwerken van een kwaadwillig vervaardigd .tiff-bestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

    Beschrijving: er trad een probleem met geheugenbeschadiging op bij de verwerking van .tiff-bestanden. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2015-3703: Apple

  • Install Framework Legacy

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan het uitvoeren van willekeurige code met systeembevoegdheden veroorzaken

    Beschrijving: er traden verschillende problemen op in hoe de 'runner' setuid binary van Install.framework bevoegdheden toe te kennen. Dit probleem is verholpen door bevoegdheden goed toe te kennen.

    CVE-ID

    CVE-2015-3704: Ian Beer van Google Project Zero

  • IOAcceleratorFamily

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan het uitvoeren van willekeurige code met systeembevoegdheden veroorzaken

    Beschrijving: er traden meerdere problemen met geheugenbeschadiging op in IOAcceleratorFamily. Deze problemen zijn verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-3705: KEEN Team

    CVE-2015-3706: KEEN Team

  • IOFireWireFamily

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan het uitvoeren van willekeurige code met systeembevoegdheden veroorzaken

    Beschrijving: er traden problemen met null pointer-dereferentie op in de FireWire-driver. Deze problemen zijn verholpen door middel van een verbeterde controle op fouten.

    CVE-ID

    CVE-2015-3707: Roberto Paleari en Aristide Fattori van Emaze Networks

  • Kernel

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan mogelijk de kernelgeheugenlay-out bepalen

    Beschrijving: er trad een probleem met geheugenbeschadiging op bij het verwerken van API's die gerelateerd zijn aan kernelextensies, wat had kunnen leiden tot de openbaarmaking van de kernelgeheugenlay-out. Dit probleem is verholpen door een verbeterd geheugenbeheer.

    CVE-ID

    CVE-2015-3720: Stefan Esser

  • Kernel

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan mogelijk de kernelgeheugenlay-out bepalen

    Beschrijving: er trad een probleem met geheugenbeschadiging op bij het verwerken van HFS-parameters, wat had kunnen leiden tot de openbaarmaking van de kernelgeheugenlay-out. Dit probleem is verholpen door een verbeterd geheugenbeheer.

    CVE-ID

    CVE-2015-3721: Ian Beer van Google Project Zero

  • kext tools

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan het overschrijven van willekeurige bestanden veroorzaken

    Beschrijving: kextd volgde symbolische links bij het maken van een nieuw bestand. Dit probleem is verholpen door een verbeterde verwerking van symbolische koppelingen.

    CVE-ID

    CVE-2015-3708: Ian Beer van Google Project Zero

  • kext tools

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een lokale gebruiker kan mogelijk niet-ondertekende kernelextensies laden

    Beschrijving: een time-of-check time-of-use (TOCTOU) racevoorwaarde was aanwezig in de validatie van paden van kernelextensies. Dit probleem is verholpen door middel van verbeterde controles om het pad van de kernelextensies te valideren.

    CVE-ID

    CVE-2015-3709: Ian Beer van Google Project Zero

  • Mail

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een kwaadwillige vervaardigde e-mail kan de inhoud van het bericht vervangen door een willekeurige webpagina als het bericht wordt bekeken

    Beschrijving: er trad een probleem op in de ondersteuning van HTML-e-mail waardoor de inhoud van een bericht kon worden vernieuwd met een willekeurige webpagina. Het probleem is verholpen door beperkte ondersteuning voor HTML-inhoud.

    CVE-ID

    CVE-2015-3710: Aaron Sigel van vtty.com, Jan Souček

  • ntfs

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan mogelijk de kernelgeheugenlay-out bepalen

    Beschrijving: er trad een probleem op in NTFS dat de kernelgeheugeninhoud openbaar had kunnen maken. Dit probleem is verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-3711: Peter Rutenbar in samenwerking met het Zero Day Initiative van HP

  • ntp

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: een aanvaller in een bevoorrechte positie kan mogelijk een denial of service-aanval uitvoeren tegen twee ntp-clients

    Beschrijving: er traden meerdere problemen op in de verificatie van ntp-pakketten die werden ontvangen door geconfigureerde eindpunten. Deze problemen zijn verholpen door een verbeterd beheer van de verbindingsstatus.

    CVE-ID

    CVE-2015-1798

    CVE-2015-1799

  • OpenSSL

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: meerdere problemen treden op in OpenSSL, waaronder een probleem waardoor een aanvaller verbindingen met een server die export-grade cijfers ondersteunt kan onderscheppen

    Beschrijving: er traden meerdere problemen op in OpenSSL 0.9.8zd die zijn verholpen door OpenSSL bij te werken naar versie 0.9.8zf.

    CVE-ID

    CVE-2015-0209

    CVE-2015-0286

    CVE-2015-0287

    CVE-2015-0288

    CVE-2015-0289

    CVE-2015-0293

  • QuickTime

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: het verwerken van een kwaadwillig vervaardigd filmbestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

    Beschrijving: er traden meerdere problemen met geheugenbeschadiging op in QuickTime. Deze problemen zijn verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-3661: G. Geshev in samenwerking met het Zero Day Initiative van HP

    CVE-2015-3662: kdot in samenwerking met het Zero Day Initiative van HP

    CVE-2015-3663: kdot in samenwerking met het Zero Day Initiative van HP

    CVE-2015-3666: Steven Seeley van Source Incite in samenwerking met Zero Day Initiative van HP

    CVE-2015-3667: Ryan Pentney, Richard Johnson van Cisco Talos en Kai Lu van Fortinet's FortiGuard Labs

    CVE-2015-3668: Kai Lu van Fortinet's FortiGuard Labs

    CVE-2015-3713: Apple

  • Security

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: een externe aanvaller kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

    Beschrijving: er trad een integeroverloop op in de Security-frameworkcode voor het parseren van S/MIME-e-mail en enkele andere ondertekende of versleutelde objecten. Dit probleem is verholpen door middel van een verbeterde controle van de geldigheid.

    CVE-ID

    CVE-2013-1741

  • Security

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: corrupte programma's worden mogelijk alsnog gestart

    Beschrijving: aangepaste bronregels in apps kunnen erop duiden dat ermee is geknoeid, maar dat dit de ondertekening niet ongeldig heeft verklaard. Dit probleem is verholpen door een verbeterde validatie van bronnen.

    CVE-ID

    CVE-2015-3714: Joshua Pitts van Leviathan Security Group

  • Security

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan mogelijk de controles op codeondertekening omzeilen

    Beschrijving: er trad een probleem op waarbij codeonderteking de bibliotheken niet controleerden die buiten de programmabundel waren geladen. Dit probleem is verholpen door een verbeterde controle van de bundel.

    CVE-ID

    CVE-2015-3715: Patrick Wardle van Synack

  • Spotlight

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 tot v10.10.3

    Impact: het zoeken naar een schadelijke bestand met Spotlight kan leiden tot het invoegen van een opdracht

    Beschrijving: er bestond een beveiligingslek met het invoegen van opdrachten in de verwerking van bestandsnamen van foto's die aan de lokale fotobibliotheek werden toegevoegd. Dit probleem is verholpen door een verbeterde invoervalidatie.

    CVE-ID

    CVE-2015-3716: Apple

  • SQLite

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een externe aanvaller kan het onverwacht beëindigen van een programma of het uitvoeren van willekeurige code veroorzaken

    Beschrijving: er traden meerdere bufferoverlopen op in de printf-implementatie van SQLite. Deze problemen zijn verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2015-3717: Peter Rutenbar in samenwerking met het Zero Day Initiative van HP

  • SQLite

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een kwaadwillig vervaardigde SQL-opdracht kan het onverwacht beëindigen van een programma of het uitvoeren van willekeurige code veroorzaken

    Beschrijving: er trad een API-probleem op in de SQLite-functionaliteit. Dit is verholpen door middel van verbeterde beperkingen.

    CVE-ID

    CVE-2015-7036: Peter Rutenbar in samenwerking met het Zero Day Initiative van HP

  • System Stats

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: een schadelijk programma kan mogelijk systemstatsd in gevaar brengen

    Beschrijving: er traden verschillende verwarringsproblemen voor typen op in de verwerking van interprocescommunicatie van systemstatsd. Door het versturen van een kwaadwillig opgemaakt bericht naar systemstatsd kan willekeurige code als het systemstatsd-proces worden uitgevoerd. Het probleem is verholpen door een extra controle van het type.

    CVE-ID

    CVE-2015-3718: Roberto Paleari en Aristide Fattori van Emaze Networks

  • TrueTypeScaler

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

    Beschrijving: er trad een probleem met geheugenbeschadiging op bij de verwerking van lettertypebestanden. Dit probleem is verholpen door een verbeterde invoervalidatie.

    CVE-ID

    CVE-2015-3719: John Villamil (@day6reak), Yahoo Pentest Team

  • zip

    Beschikbaar voor: OS X Yosemite v10.10 tot v10.10.3

    Impact: het uitpakken van een kwaadwillig vervaardigd zip-bestand met de unzip-tool kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

    Beschrijving: er traden meerdere problemen met geheugenbeschadiging op bij de verwerking van zip-bestanden. Deze problemen zijn verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2014-8139

    CVE-2014-8140

    CVE-2014-8141

OS X Yosemite v10.10.4 bevat de beveiligingsinhoud van Safari 8.0.7.

Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Neem contact op met de leverancier voor meer informatie.

Publicatiedatum: