Informatie over de beveiligingsinhoud van Mac OS X 10.4.11 en beveiligingsupdate 2007-008

In dit document wordt de beveiligingsinhoud beschreven van Mac OS X v10.4.11 en beveiligingsupdate 2007-008, die kan worden gedownload en geïnstalleerd via de voorkeuren van Software-update of via Apple Downloads.

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Meer informatie over Apple productbeveiliging vind je op de website Apple productbeveiliging.

Raadpleeg Hoe gebruik je de Apple Product Security PGP-sleutel? voor meer informatie over het gebruik van de Apple PGP-sleutel voor productbeveiliging.

Waar mogelijk worden CVE-ID's als referentie voor kwetsbaarheden gebruikt voor verdere informatie.

Raadpleeg Apple beveiligingsupdates voor meer informatie over andere beveiligingsupdates.

Mac OS X v10.4.11 en beveiligingsupdate 2007-008

Flash Player Plug-in

CVE-ID: CVE-2007-3456.

Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: het openen van kwaadwillig vervaardigd Flash-materiaal kan leiden tot het uitvoeren van willekeurige code.

Beschrijving: Er is een probleem met de validatie van invoer in Adobe Flash Player. Door een gebruiker te verleiden om kwaadwillig vervaardigd Flash-materiaal te openen, kan een aanvaller willekeurige code uitvoeren. Deze update lost het probleem op door Adobe Flash Player bij te werken naar versie 9.0.47.0. Meer informatie is beschikbaar op de website van Adobe op http://www.adobe.com/support/security/bulletins/apsb07-12.html

AppleRAID

CVE-ID: CVE-2007-4678.

Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: het openen van een kwaadwillig vervaardigde schijfkopie kan tot gevolg hebben dat het systeem onverwacht wordt afgesloten.

Beschrijving: Er kan een probleem met een null pointer dereference optreden in AppleRAID bij het koppelen van een striped schijfkopie. Hierdoor kan het systeem onverwacht worden afgesloten. In Safari worden schijfkopieën automatisch gekoppeld als 'Open "veilige" bestanden na downloaden' is ingeschakeld. Deze update lost het probleem op door aanvullende validatie van schijfkopieën uit te voeren. Met dank aan Mark Tull van SSAM1 aan de universiteit van Hertfordshire en Joel Vink van Zetera Corporation voor het melden van dit probleem.

BIND

CVE-ID: CVE-2007-2926.

Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: een aanvaller kan mogelijk het materiaal beheren dat wordt aangeleverd door een DNS-server.

Beschrijving: ISC BIND 9 tot en met 9.5.0a5 maakt gebruik van een zwakke generator voor willekeurige getallen tijdens het aanmaken van query-id's van DNS bij het beantwoorden van resolver-vragen of het verzenden van NOTIFY-berichten naar slave-naamservers. Dit maakt het eenvoudiger voor externe aanvallers om de volgende query-id te raden en de DNS-cache te vergiftigen. Deze update lost het probleem op door de generator voor willekeurige getallen te verbeteren.

bzip2

CVE-ID: CVE-2005-0953, CVE-2005-1260.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: meerdere kwetsbaarheden in bzip2

Beschrijving: bzip2 is bijgewerkt naar versie 1.0.4 om het probleem van een externe denial-of-service op te lossen, evenals een racevoorwaarde die optreedt tijdens het wijzigen van bestandsmachtigingen. Verdere informatie is beschikbaar op de website van bzip2 op http://bzip.org/.

CFFTP

CVE-ID: CVE-2007-4679.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: de FTP-client van een gebruiker kon extern worden aangestuurd om verbinding te maken met andere hosts.

Beschrijving: Er is sprake van een implementatieprobleem in het FTP-gedeelte (File Transfer Protocol) van CFNetwork. Door het verzenden van kwaadwillig vervaardigde reacties op FTP PASV-commando's (passive) kunnen FTP-servers clients verbinding laten maken met andere hosts. Deze update lost het probleem op door aanvullende validatie van IP-adressen uit te voeren. Dit probleem is niet van invloed op systemen ouder dan Mac OS X v10.4. Met dank aan Dr Bob Lopez PhD voor het melden van dit probleem.

CFNetwork

CVE-ID: CVE-2007-4680.

Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: een externe aanvaller kan ervoor zorgen dat een niet-vertrouwd certificaat als vertrouwd wordt beschouwd.

Beschrijving: Er is een probleem met de validatie van certificaten. Een man-in-the-middle-aanval kan tot gevolg hebben dat de gebruiker wordt omgeleid naar een legitieme site met een geldig SSL-certificaat, waarna de gebruiker daarna wordt omgeleid naar een vervalste website die onjuist als vertrouwd wordt weergegeven. Hierdoor kunnen inloggegevens van de gebruiker of andere gegevens worden verzameld. Deze update lost het probleem op door verbeterde validatie van certificaten uit te voeren. Met dank aan Marko Karppinen, Petteri Kamppuri en Nikita Zhuk van MK&C voor het melden van dit probleem.

CFNetwork

CVE-ID: CVE-2007-0464.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: het parseren van HTTP-antwoorden via het framework van CFNetwork kan het onverwacht beëindigen van het programma tot gevolg hebben.

Beschrijving: Er is een probleem met een null pointer dereference in het framework van CFNetwork. Door een gebruiker te verleiden via een kwetsbaar programma verbinding te maken met een kwaadwillende server kan een aanvaller het programma onverwacht beëindigen. Er zijn geen kwetsbare programma's bekend. Dit probleem kan niet het uitvoeren van willekeurige code veroorzaken. Dit is beschreven op de website Month of Apple Bugs (MOAB-25-01-2007). Deze update lost het probleem op door aanvullende validatie van HTTP-antwoorden uit te voeren. Dit probleem is niet van invloed op systemen ouder dan Mac OS X v10.4.

CoreFoundation

CVE-ID: CVE-2007-4681.

Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: het lezen van een directoryhiërarchie kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code.

Beschrijving: Er kan sprake zijn van overloop van een 1-byte buffer in CoreFoundation bij het weergeven van de inhoud van een directory. Door een gebruiker te verleiden een kwaadwillig vervaardigde directoryhiërarchie te lezen, kan een aanvaller het programma onverwacht beëindigen of willekeurige code uitvoeren. Deze update lost het probleem op door ervoor te zorgen dat de doelbuffer groot genoeg is voor de gegevens.

CoreText

CVE-ID: CVE-2007-4682.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: het weergeven van kwaadwillig vervaardigde tekst kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code.

Beschrijving: Er is sprake van een kwetsbaarheid met een niet-geïnitialiseerde objectpointer bij het verwerken van tekst. Door een gebruiker te verleiden kwaadwillig vervaardigde tekst weer te geven kan een aanvaller het programma onverwacht beëindigen of willekeurige code uitvoeren. Deze update lost het probleem op door aanvullende validatie van objectpointers uit te voeren. Met dank aan Will Dormann van CERT/CC voor het melden van dit probleem.

Kerberos

CVE-ID: CVE-2007-3999, CVE-2007-4743.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: een externe aanvaller kan een denial-of-service veroorzaken of willekeurige code uitvoeren als de beheer-daemon van Kerberos is ingeschakeld.

Beschrijving: Er is sprake van overloop van de stackbuffer in de beheer-daemon van MIT Kerberos (kadmind), wat kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code met systeembevoegdheden. Verdere informatie is beschikbaar op de website van MIT Kerberos op http://web.mit.edu/Kerberos/. Dit probleem is niet van invloed op systemen ouder dan Mac OS X v10.4.

Kernel

CVE-ID: CVE-2007-3749.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: een lokale gebruiker kan willekeurige code uitvoeren met systeembevoegdheden.

Beschrijving: Bij het uitvoeren van een geprivilegieerd binair bestand reset de kernel niet de huidige Mach-threadpoort of threaduitzonderingspoort. Het gevolg is dat een lokale gebruiker willekeurige gegevens kan wegschrijven naar de adresruimte van het proces dat als 'system' wordt uitgevoerd, waardoor het uitvoeren van willekeurige code mogelijk kan zijn met systeembevoegdheden. Deze update lost het probleem op door alle speciale poorten te resetten waarvoor dit nodig is. Met dank aan een anonieme onderzoeker, in samenwerking met het VeriSign iDefense VCP, voor het melden van dit probleem.

Kernel

CVE-ID: CVE-2007-4683.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: processen die worden beperkt via de chroot-systeemaanroep kunnen toegang krijgen tot willekeurige bestanden.

Beschrijving: Het chroot-mechanisme is bedoeld om de set bestanden te beperken waartoe een proces toegang heeft. Door de werkdirectory te wijzigen met behulp van een relatief pad kan een aanvaller deze beperking omzeilen. Deze update lost het probleem op door middel van verbeterde toegangscontroles. Met dank aan Johan Henselmans en Jesper Skov voor het melden van dit probleem.

Kernel

CVE-ID: CVE-2007-4684.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: een lokale gebruiker kan systeembevoegdheden verkrijgen.

Beschrijving: Er is spraken van een overloop van gehele getallen binnen de systeemaanroep 'i386_set_ldt', waardoor een lokale gebruiker mogelijk willekeurige code kan uitvoeren met verhoogde bevoegdheden. Deze update lost het probleem op door verbeterde validatie van invoerargumenten uit te voeren. Met dank aan RISE Security voor het melden van dit probleem.

Kernel

CVE-ID: CVE-2007-4685.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: een lokale gebruiker kan systeembevoegdheden verkrijgen.

Beschrijving: Er is een probleem met de verwerking van standaardbestandsbeschrijvingen tijdens het uitvoeren van setuid- en setgid-programma's. Hierdoor kan een lokale gebruiker mogelijk systeembevoegdheden verkrijgen door het uitvoeren van setuid-programma's met de standaardbestandsbeschrijvingen in een onverwachte status. Deze update lost het probleem op door standaardbestandsbeschrijvingen te initialiseren naar een bekende status bij het uitvoeren van setuid- of setgid-programma's. Met dank aan Ilja van Sprundel eerder werkzaam voor Suresec Inc. voor het melden van dit probleem.

Kernel

CVE-ID: CVE-2006-6127.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: een lokale gebruiker kan het systeem onverwacht uitschakelen.

Beschrijving: Er is sprake van een implementatieprobleem in 'kevent()' bij het registreren van een NOTE_TRACK-kernelgebeurtenis met een wachtrij voor kernelgebeurtenissen die is aangemaakt door een bovenliggend proces. Hierdoor zou een lokale gebruiker het systeem onverwacht kunnen uitschakelen. Dit is beschreven op de website Month of Kernel Bugs (MOKB-24-11-2006). Deze update lost het probleem op door NOTE_TRACK-gebeurtenissen niet meer te ondersteunen.

Kernel

CVE-ID: CVE-2007-4686.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: kwaadwillig vervaardigde ioctl-verzoeken kunnen leiden tot het onverwacht uitschakelen van het systeem of het uitvoeren van willekeurige code met systeembevoegdheden.

Beschrijving: Er is sprake van een overloop van gehele getallen tijdens de verwerking van een ioctl-verzoek. Door het verzenden van een kwaadwillig vervaardigd ioctl-verzoek kan een lokale gebruiker het systeem onverwacht uitschakelen of willekeurige code uitvoeren met systeembevoegdheden. Deze update lost het probleem op door aanvullende validatie van ioctl-verzoeken uit te voeren. Met dank aan Tobias Klein van www.trapkit.de voor het melden van dit probleem.

remote_cmds

CVE-ID: CVE-2007-4687.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: als 'tftpd' is ingeschakeld, biedt de standaardconfiguratie clients toegang tot elk pad in het systeem.

Beschrijving: De directory '/private/tftpboot/private' bevat standaard een symbolische koppeling naar de rootdirectory, met als gevolg dat clients toegang hebben tot elk pad in het systeem. Deze update lost het probleem op door de directory '/private/tftpboot/private' te verwijderen. Met dank aan James P. Javery van Stratus Data Systems, Inc. voor het melden van dit probleem.

Networking

CVE-ID: CVE-2007-4688.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: een externe gebruiker kan alle adressen van een host verkrijgen.

Beschrijving: Er is sprake van een implementatieprobleem in het mechanisme Node Information Query, waardoor een externe gebruiker mogelijk via een query alle adressen van een host kan opvragen, met inbegrip van link-local adressen. Deze update lost het probleem op door query's om knooppuntgegevens te verwijderen van systemen die geen deel uitmaken van het lokale netwerk. Met dank aan Arnaud Ebalard van EADS Innovation Works voor het melden van dit probleem.

Networking

CVE-ID: CVE-2007-4269.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: als AppleTalk is ingeschakeld, kan een lokale gebruiker het systeem onverwacht uitschakelen of willekeurige code uitvoeren met systeembevoegdheden.

Beschrijving: Er is sprake van een overloop van gehele getallen tijdens de verwerking ASP-berichten met AppleTalk. Door het verzenden van een kwaadwillig vervaardigd ASP-bericht via een AppleTalk-socket kan een lokale gebruiker het systeem onverwacht uitschakelen of willekeurige code uitvoeren met systeembevoegdheden. Deze update lost het probleem op door aanvullende validatie van ASP-berichten uit te voeren. Met dank aan Sean Larsson van VeriSign iDefense Labs voor het melden van dit probleem.

Networking

CVE-ID: CVE-2007-4689.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: bepaalde IPV6-pakketten kunnen tot gevolg hebben dat het systeem onverwacht wordt uitgeschakeld of willekeurige code wordt uitgevoerd.

Beschrijving: Er is sprake van een 'dubbelvrij' probleem bij de verwerking van bepaalde IPV6-pakketten, wat tot gevolg kan hebben dat het systeem onverwacht wordt uitgeschakeld of willekeurige code wordt uitgevoerd met systeembevoegdheden. Deze update lost het probleem op door verbeterde verwerking van IPV6-pakketten. Dit probleem doet zich voor met systemen met Intel-processors. Met dank aan Bhavesh Davda van VMware en Brian "chort" Keefer van Tumbleweed Communications voor het melden van dit probleem.

Networking

CVE-ID: CVE-2007-4267.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: als AppleTalk is ingeschakeld en de routeringsmodus actief is, kan een lokale gebruiker het systeem onverwacht uitschakelen of willekeurige code uitvoeren.

Beschrijving: Het toevoegen van een nieuwe AppleTalk-zone kan het probleem veroorzaken dat de stackbuffer overloopt. Door het verzenden van een kwaadwillig vervaardigd ioctl-verzoek naar een AppleTalk-socket kan een lokale gebruiker het systeem onverwacht uitschakelen of willekeurige code uitvoeren met systeembevoegdheden. Deze update lost het probleem in AppleTalk op door een verbeterde bereikcontrole voor ioctl-verzoeken. Met dank aan een anonieme onderzoeker, in samenwerking met het VeriSign iDefense VCP, voor het melden van dit probleem.

Networking

CVE-ID: CVE-2007-4268.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: als AppleTalk is ingeschakeld, kan een lokale gebruiker het systeem onverwacht uitschakelen of willekeurige code uitvoeren met systeembevoegdheden.

Beschrijving: Er is sprake van een rekenkundige fout in AppleTalk bij de verwerking van geheugentoewijzingen, waardoor de heapbuffer kan overlopen. Door het verzenden van een kwaadwillig vervaardigd AppleTalk-bericht kan een lokale gebruiker het systeem onverwacht uitschakelen of willekeurige code uitvoeren met systeembevoegdheden. Deze update lost het probleem op door een verbeterde bereikcontrole voor AppleTalk-berichten. Met dank aan Sean Larsson van VeriSign iDefense Labs voor het melden van dit probleem.

NFS

CVE-ID: CVE-2007-4690.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: een kwaadwillig vervaardigde AUTH_UNIX RPC-aanroep kan leiden tot het onverwacht uitschakelen van het systeem of het uitvoeren van willekeurige code.

Beschrijving: Er kan een 'dubbelvrij' probleem optreden in NFS bij het verwerken van een AUTH_UNIX RPC-aanroep. Door het verzenden van een kwaadwillig vervaardigde AUTH_UNIX RPC-aanroep via TCP of UDP kan een externe aanvaller het systeem onverwacht uitschakelen of willekeurige code uitvoeren. Deze update lost het probleem op door verbeterde validatie van AUTH_UNIX RPC-pakketten. Met dank aan Alan Newson van NGSSoftware en Renaud Deraison van Tenable Network Security, Inc. voor het melden van dit probleem.

NSURL

CVE-ID: CVE-2007-4691.

Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: het bezoeken van een kwaadwillende website kan de uitvoering van willekeurige code tot gevolg hebben.

Beschrijving: Er is sprake van een probleem met hoofdlettergevoeligheid in NSURL bij het bepalen of een URL verwijst naar het lokale bestandssysteem. Dit kan betekenen dat de persoon die de API aanroept onjuiste beveiligingsbeslissingen neemt, wat kan leiden tot de uitvoering van bestanden op het lokale systeem of op netwerkvolumes zonder de juiste waarschuwingen. Deze update lost het probleem op door een hoofdletterongevoelige vergelijking te gebruiken.

Safari

CVE-ID: CVE-2007-0646.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: het openen van een downloadbestand met een kwaadwillig vervaardigde naam kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code.

Beschrijving: Er is sprake van een kwetsbaarheid met opmaaktekenreeksen in Safari. Door een gebruiker te verleiden een downloadbestand met een kwaadwillig vervaardigde naam te openen kan een aanvaller het programma onverwacht beëindigen of willekeurige code uitvoeren. Dit is beschreven op de website Month of Apple Bugs (MOAB-30-01-2007). Deze update lost het probleem op door verbeterde verwerking van opmaaktekenreeksen.

Safari

CVE-ID: CVE-2007-4692.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: een probleem bij het browsen met tabbladen in Safari kan leiden tot het vrijgeven van de inloggegevens van een gebruiker.

Beschrijving: Er is sprake van een implementatieprobleem in de functie voor het browsen met tabbladen van Safari. Als HTTP-authenticatie wordt gebruikt door een site die wordt geladen op een ander tabblad dan het actieve tabblad, kan er een authenticatieblad worden weergegeven ondanks dat het tabblad en de bijbehorende pagina niet zichtbaar zijn. De gebruiker kan denken dat het blad afkomstig is van de actieve pagina, waardoor de inloggegevens van de gebruiker kunnen worden vrijgegeven. Deze update lost het probleem op door verbeterde verwerking van authenticatiebladen. Met dank aan Michael Roitzsch van Technical University Dresden voor het melden van dit probleem.

SecurityAgent

CVE-ID: CVE-2007-4693.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: een persoon met fysieke toegang tot een systeem kan het authenticatievenster van de schermbeveiliging omzeilen.

Beschrijving: Als een computer uit de slaapstand wordt gehaald of de schermbeveiliging wordt uitgeschakeld, kan een persoon met fysieke toegang toetsaanslagen verzenden naar een onderliggend proces van het authenticatievenster van de schermbeveiliging. Deze update lost het probleem op door verbeterde verwerking van de toetsenbordfocus tussen beveiligde tekstvelden. Met dank aan Faisal N. Jawdat voor het melden van dit probleem.

WebCore

CVE-ID: CVE-2007-4694.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: lokale bestanden kunnen worden geladen vanuit extern materiaal.

Beschrijving: file://-URL's worden niet geblokkeerd door Safari bij het laden van resources. Door een gebruiker te verleiden een kwaadwillend vervaardigde website te bezoeken, kan een externe aanvaller de inhoud van lokale bestanden weergeven, wat kan leiden tot het vrijgeven van vertrouwelijke gegevens. Deze update lost het probleem op door te voorkomen dat lokale bestanden worden geladen vanuit extern materiaal. Met dank aan lixlpixel voor het melden van dit probleem.

WebCore

CVE-ID: CVE-2007-4695.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: het uploaden van een kwaadwillig vervaardigd bestand kan manipulatie van formuliergegevens tot gevolg hebben.

Beschrijving: Er is een probleem met de validatie van invoer bij de verwerking van HTML-formulieren. Door een gebruiker te verleiden een kwaadwillig vervaardigd bestand te uploaden, kan een aanvaller de waarden van formuliervelden wijzigen, wat onverwacht gedrag tot gevolg kan hebben wanneer het formulier wordt verwerkt door de server. Deze update lost het probleem op door verbeterde verwerking van bestandsuploads. Met dank aan Bodo Ruskamp van Itchigo Communications GmbH voor het melden van dit probleem.

WebCore

CVE-ID: CVE-2007-4696.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: het bezoeken van een kwaadaardige website kan leiden tot het vrijgeven van vertrouwelijke gegevens.

Beschrijving: Er is sprake van een racevoorwaarde bij de verwerking door Safari van pagina-overgangen. Door een gebruiker te verleiden een kwaadaardige webpagina te bezoeken, kan een aanvaller in het bezit komen van gegevens die zijn ingevoerd op formulieren op andere websites, wat tot het vrijgeven van vertrouwelijke gegevens kan leiden. Deze update lost het probleem op door formuliergegevens goed te wissen tijdens pagina-overgangen. Met dank aan Ryan Grisso van NetSuite voor het melden van dit probleem.

WebCore

CVE-ID: CVE-2007-4697.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: een bezoek aan een kwaadwillig vervaardigde website kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code.

Beschrijving: er is een probleem met geheugenbeschadiging bij de verwerking van de browsergeschiedenis. Door een gebruiker te verleiden een kwaadwillig vervaardigde webpagina te bezoeken, kan een aanvaller het programma onverwacht beëindigen of willekeurige code uitvoeren. Met dank aan David Bloom voor het melden van dit probleem.

WebCore

CVE-ID: CVE-2007-4698.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: het bezoeken van een kwaadaardige website kan cross-site scripting tot gevolg hebben.

Beschrijving: Safari staat toe dat JavaScript-gebeurtenissen worden gekoppeld aan het verkeerde frame. Door een gebruiker te verleiden een kwaadwillig vervaardigde webpagina te bezoeken, kan een aanvaller JavaScript uitvoeren in de context van een andere site. Deze update lost het probleem op door JavaScript-gebeurtenissen te koppelen aan het juiste bronframe.

WebCore

CVE-ID: CVE-2007-3758.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: het bezoeken van een kwaadaardige website kan cross-site scripting tot gevolg hebben.

Beschrijving: Een probleem met cross-site scripting in Safari heeft tot gevolg dat kwaadaardige websites JavaScript-venstereigenschappen kunnen instellen van websites die worden aangeboden vanuit een ander domein. Door een gebruiker te verleiden een kwaadwillig vervaardigde webpagina te bezoeken, kan een aanvaller de vensterstatus en -locatie opvragen of instellen van pagina’s die worden aangeboden vanaf andere websites. Deze update lost het probleem op door verbeterde toegangscontrole voor deze eigenschappen uit te voeren. Met dank aan Michal Zalewski van Google Inc. voor het melden van dit probleem.

WebCore

CVE-ID: CVE-2007-3760.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: het bezoeken van een kwaadaardige website kan cross-site scripting tot gevolg hebben.

Beschrijving: Een probleem met cross-site scripting in Safari heeft tot gevolg dat een kwaadaardige website het beleid voor zelfde herkomst kan omzeilen door ingebedde objecten te hosten met JavaScript-URL's. Door een gebruiker te verleiden een kwaadwillig vervaardigde webpagina te bezoeken, kan een aanvaller JavaScript uitvoeren in de context van een andere site. Deze update lost het probleem op door beperkingen op te leggen aan het gebruik van het JavaScript URL-schema en door aanvullende herkomstvalidatie voor deze URL's toe te voegen. Met dank aan Michal Zalewski van Google Inc. en Secunia Research voor het melden van dit probleem.

WebCore

CVE-ID: CVE-2007-4671.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: JavaScript op websites kan toegang krijgen tot de inhoud van documenten die worden aangeboden via HTTPS of kan deze inhoud manipuleren.

Beschrijving: Een probleem in Safari zorgt ervoor dat materiaal dat wordt aangeboden via HTTP materiaal kan wijzigen of openen dat via HTTPS in hetzelfde domein wordt aangeboden. Door een gebruiker te verleiden een kwaadwillig vervaardigde webpagina te bezoeken, kan een aanvaller JavaScript uitvoeren in de context van HTTPS-webpagina's in dat domein. Deze update lost het probleem op door JavaScript geen toegang te bieden vanuit HTTP-naar-HTTPS frames. Met dank aan Keigo Yamazaki van LAC Co., Ltd. (Little eArth Corporation Co., Ltd.) voor het melden van dit probleem.

WebCore

CVE-ID: CVE-2007-3756.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: het bezoeken van een kwaadaardige website kan leiden tot het vrijgeven van URL-inhoud.

Beschrijving: Safari kan een webpagina toestemming geven om de URL te lezen die wordt weergegeven in het bovenliggende Safari-venster. Door een gebruiker te verleiden een kwaadwillig vervaardigde webpagina te bezoeken, kan een aanvaller de URL verkrijgen van een niet-gerelateerde pagina. Deze update lost het probleem op via een verbeterde cross-domain beveiligingscontrole. Met dank aan Michal Zalewski van Google Inc. en Secunia Research voor het melden van dit probleem.

WebKit

CVE-ID: CVE-2007-4699.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: onbevoegde programma's kunnen toegang krijgen tot private sleutels die door Safari zijn toegevoegd aan de sleutelhanger.

Beschrijving: Als Safari een private sleutels toevoegt aan de sleutelhanger, krijgen alle programma's standaard toegang tot de sleutel, zonder enige voorafgaande waarschuwing. Deze update lost het probleem op door de gebruiker om toestemming te vragen als andere programma's dan Safari proberen de sleutel te gebruiken.

WebKit

CVE-ID: CVE-2007-4700.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: een kwaadaardige website kan ervoor zorgen dat Safari extern opgegeven gegevens verzendt naar willekeurige TCP-poorten.

Beschrijving: Safari kan een kwaadaardige website toestaan om extern opgegeven gegevens te verzenden naar willekeurige TCP-poorten. Deze update lost het probleem op door de toegang tot bepaalde poorten te blokkeren. Met dank aan Kostas G. Anagnostakis van het Institute for Infocomm Research in Singapore en Spiros Antonatos van FORTH-ICS in Griekenland voor het melden van dit probleem.

WebKit

CVE-ID: CVE-2007-4701.

Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

Impact: een lokale gebruiker kan mogelijk de inhoud van geopende PDF-bestanden lezen.

Beschrijving: WebKit/Safari heft de beveiliging van tijdelijke bestanden op tijdens een voorvertoning van een PDF-bestand, waardoor een lokale gebruiker toegang kan krijgen tot de inhoud van het bestand. Dit kan het vrijgeven van vertrouwelijke gegevens tot gevolg hebben. Deze update lost het probleem op door meer beperkende machtigingen te gebruiken voor tijdelijke bestanden terwijl er een voorvertoning van een PDF wordt weergegeven. Met dank aan Jean-Luc Giraud en Moritz Borgmann van ETH Zurich voor het melden van dit probleem.