Over de beveiliging van Mac OS X v10.4.11 en Beveiligingsupdate 2007-008

In dit document wordt de beveiliging beschreven van Mac OS X v10.4.11 en Security Update 2007-008, die kan worden gedownload en geïnstalleerd via Software Update-voorkeuren of via Apple Downloads.

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet tot een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Raadpleeg de website Apple Product Security voor meer informatie over de beveiliging van Apple-producten.

Zie "Hoe gebruikt u de Apple Product Security PGP-sleutel?" voor meer informatie over het gebruik van de Apple Product Security PGP-sleutel.

Waar mogelijk worden CVE-ID's gebruikt om kwetsbare punten te refereren voor nadere informatie.

Zie "Apple Security-updates" voor meer informatie over overige beveiligingsupdates.

Dit artikel is gearchiveerd en wordt niet meer bijgewerkt door Apple.

Mac OS X v10.4.11 en Beveiligingsupdate 2007-008

  • Flash Player-plug-in

    CVE-ID: CVE-2007-3456

    Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Wanneer u Flash-inhoud opent die met verkeerde intenties is geschreven, kan dat leiden tot de uitvoering van willekeurige code.

    Beschrijving: In Adobe Flash Player komt een probleem voor met de validatie van invoer. Door een gebruiker aan te zetten tot het openen van met slechte intenties geschreven Flash-inhoud kan een agressor zorgen voor uitvoering van willekeurige code. In deze update wordt het probleem verholpen door Adobe Flash Player te updaten naar versie 9.0.47.0. Meer informatie is verkrijgbaar via de website van Adobe op http://www.adobe.com/support/security/bulletins/apsb07-12.html

  • AppleRAID

    CVE-ID: CVE-2007-4678

    Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Wanneer u een met kwaadwillende intenties gemaakt schijfimage opent, kan het systeem hierdoor onverwachts worden uitgeschakeld.

    Beschrijving: Bij montage van een striped disk image kan er in AppleRAID 'null-pointer dereference'-probleem ontstaan. Het systeem kan hierdoor onverwachts worden uitgeschakeld. Let op: Safari zorgt voor automatische montage van schijfimages wanneer de optie "Open veilige bestanden na downloaden" actief is. Dit probleem wordt in de update verholpen doordat er een extra validatie van schijfimages wordt uitgevoerd. Dank aan Mark Tull van SSAM1 aan de universiteit van Hertfordshire, en Joel Vink van Zetera Corporation voor het melden van dit probleem.

  • BIND

    CVE-ID: CVE-2007-2926

    Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een agressor kan in staat zijn de inhoud te besturen die door een DNS-server wordt geleverd

    Beschrijving: ISC BIND 9 tot en met 9.5.0a5 gebruikt een zwakke 'random number generator' tijdens de aanmaak van DNS query-ID's bij het beantwoorden van resolver-vragen of het zenden van NOTIFY-berichten aan slave name-servers. Hierdoor wordt het voor een externe agressor eenvoudiger om de volgende query-ID te raden en DNS cache-vergiftiging uit te voeren. In deze update wordt het probleem verholpen door een verbetering van de 'random number generator'.

  • bzip2

    CVE-ID: CVE-2005-0953, CVE-2005-1260

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Meerdere kwetsbare plekken in bzip2

    Beschrijving: bzip2 is bijgewerkt naar versie 1.0.4 on het hoofd te bieden aan een externe denial-of-service, en vanwege een race-condition die optreedt tijdens wijziging van bestandsautorisaties. Meer informatie is verkrijgbaar via de website van bzip2 op http://bzip.org/

  • CFFTP

    CVE-ID: CVE-2007-4679

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    De FTP-client van een gebruiker kon op afstand worden bediend om verbinding te maken met andere hosts

    Beschrijving: In het File Transfer Protocol (FTP)-gedeelte van CFNetwork treedt een implementatieprobleem op. Door illegale reply's te sturen op FTP PASV (passive) commando's kunnen FTP-servers ervoor zorgen dat clients verbinding maken met andere hosts. Dit probleem wordt in de update verholpen doordat er een extra validatie van IP-adressen wordt uitgevoerd. Het probleem doet zich niet voor met systemen die ouder zijn dan Mac OS X v10.4. Dank aan Dr Bob Lopez PhD voor het melden van deze kwestie.

  • CFNetwork

    CVE-ID: CVE-2007-4680

    Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een externe agressor kan ervoor zorgen dat een niet-vertrouwd certificaat als vertrouwd wordt aanzien.

    Beschrijving: Er doet zich een probleem voor bij de validatie van certificaten. Een tussenliggende agressor kan de gebruiker naar een legitieme website met een geldig SSL-certificaat leiden om de gebruiker vervolgens naar een spoofed website te brengen, die onterecht wordt weergegeven als een betrouwbare bron. Hierdoor kunnen eventueel persoonlijke of financiële gegevens van de gebruiker worden verkregen. In deze update wordt het probleem verholpen dankzij een verbeterde afhandeling van certificaten. Dank aan Marko Karppinen, Petteri Kamppuri en Nikita Zhuk van MK&C voor het melden van dit probleem.

  • CFNetwork

    CVE-ID: CVE-2007-0464

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Het parseren van HTTP-reply's via het CFNetwork-framework kan leiden tot onverwachte afsluiting van de toepassing.

    Beschrijving: In het CFNetwork-framework doet zich een 'null pointer dereferencing'-probleem voor. Door de gebruiker aan te zetten via een kwetsbare toepassing verbinding te maken met een gevaarlijke server kan een agressor ervoor zorgen dat de toepassing onverwachts wordt afgesloten. Er zijn geen kwetsbare toepassingen bekend. Deze kwestie leidt niet tot de uitvoering van willekeurige code. Dit probleem is beschreven op de website Month of Apple Bugs (MOAB-25-01-2007). Dit probleem wordt in de update verholpen door een extra validatie uit te voeren op HTTP-reply's. Dit probleem doet zich niet voor bij systemen die ouder zijn dan Mac OS X v10.4.

  • CoreFoundation

    CVE-ID: CVE-2007-4681

    Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Het lezen van een maphiërarchie kan ertoe leiden dat de toepassing onverwachts wordt afgesloten of tot uitvoering van willekeurige code.

    Beschrijving: In CoreFoundation kan een bufferoverflow van één byte optreden bij het opsommen van de inhoud van een map. Door een gebruiker aan te zetten om een met slechte intenties opgezette mapstructuur te lezen, kan een agressor zorgen voor een onverwachte afsluiting van de toepassing of voor de uitvoering van willekeurige code. In deze update wordt het probleem verholpen door ervoor te zorgen dat de bestemmingsbuffer de juiste afmetingen heeft om de gegevens te bevatten.

  • CoreText

    CVE-ID: CVE-2007-4682

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: De weergave van met slechte intenties geschreven tekstinhoud kan ertoe leiden dat de toepassing onverwachts wordt afgesloten of tot uitvoering van willekeurige code.

    Beschrijving: Bij de verwerking van tekstinhoud kan er een kwetsbaarheid voor niet-geïnitialiseerde objectpointers voor teksten voorkomen. Door een gebruiker aan te zetten om een met slechte intenties opgezette tekst te lezen, kan een agressor ervoor zorgen dat de toepassing onverwachts wordt afgesloten of dat willekeurige code wordt uitgevoerd. Dit probleem wordt in de update verholpen doordat er een extra validatie van object-pointers wordt uitgevoerd. Dank aan Will Dormann van CERT/CC voor het melden van dit probleem.

  • Kerberos

    CVE-ID: CVE-2007-3999, CVE-2007-4743

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een externe agressor kan een denial-of-service veroorzaken of ervoor zorgen dat willekeurige code wordt uitgevoerd als de beheer-daemon Kerberos actief is.

    Beschrijving: De beheersdaemon MIT Kerberos (kadmind) bevat een stackbufferoverloop die ertoe kan leiden dat de toepassing onverwachts wordt afgesloten of dat willekeurige code met systeemprivileges wordt uitgevoerd. Nadere informatie is verkrijgbaar via de website van MIT Kerberos op http://web.mit.edu/Kerberos/ Dit probleem treedt niet op bij systemen ouder dan Mac OS X v10.4.

  • Kernel

    CVE-ID: CVE-2007-3749

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een lokale gebruiker kan willekeurige code uitvoeren met systeemprivileges.

    Beschrijving: Tijdens het uitvoeren van een privileged binary zal de kernel de huidige Mach threadpoort of thread-exceptionpoort niet resetten. Daardoor kan een lokale gebruiker kans zien willekeurige gegevens te schrijven naar de adresruimte van het proces dat als systeem wordt uigevoerd, en dat kan leiden tot de uitvoering van willekeurige code met systeemprivileges. Dit probleem wordt in deze update verholpen door alle speciale poorten die moeten worden gereset, te resetten. Dank aan een anonieme onderzoeker, werkzaam bij VeriSign iDefense VCP voor het melden van dit probleem.

  • Kernel

    CVE-ID: CVE-2007-4683

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Processen met restrictie via chroot system call kunnen toegang krijgen tot willekeurige bestanden.

    Beschrijving: Het mechanisme chroot is bestemd om een beperking op te leggen aan de reeks bestanden waartoe een proces toegang kan krijgen. Door de werkdirectory via een relatief pad te wijzigen, kan een agressor deze beperking omzeilen. Het probleem wordt in deze update verholpen middels verbeterde toegangscontroles. Dank aan Johan Henselmans en Jesper Skov voor het melden van dit probleem.

  • Kernel

    CVE-ID: CVE-2007-4684

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een lokale gebruiker kan systeemprivileges verkrijgen.

    Beschrijving: Er bestaat een integer overflow in de systeemaanroep i386_set_ldt, waardoor een lokale gebruiker willekeurige code kan uitvoeren met verhoogde privileges. In deze update wordt het probleem verholpen dankzij een verbeterde validatie van invoerargumenten. Dank aan RISE Security voor het melden van dit probleem.

  • Kernel

    CVE-ID: CVE-2007-4685

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een lokale gebruiker kan systeemprivileges verkrijgen.

    Beschrijving: Er bestaat een probleem in de afhandeling van standaard bestandsdescriptors tijdens de uitvoering van setuid- en setgidprogramma's. Hierdoor kan een lokale gebruiker systeemprivileges krijgen door setuidprogramma's uit te voeren met de standaard bestandsdescriptors in een onverwachte staat. In deze update wordt het probleem verholpen door bij de uitvoering van setuid- of setgidprogramma's standaard bestandsdescriptors te initialiseren tot in een bekende staat. Dank aan Ilja van Sprundel, voormalig medewerker Suresec Inc. voor het melden van dit probleem.

  • Kernel

    CVE-ID: CVE-2006-6127

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een lokale gebruiker kan ervoor zorgen dat het systeem onverwachts wordt uitgeschakeld.

    Beschrijving: Er doet zich een implementatieprobleem voor in kevent() tijdens de registratie van een NOTE_TRACK kernelevenement met een kernelevenementsqueue die door een bovenliggend proces is gemaakt. Hierdoor kan een lokale gebruiker het systeem onverwachts uitschakelen. Dit probleem is beschreven op de website Month of Kernel Bugs (MOKB-24-11-2006). In deze update wordt het probleem verholpen door support voor NOTE_TRACK-evenementen te verwijderen.

  • Kernel

    CVE-ID: CVE-2007-4686

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Kwaadaardige ioctl-verzoeken kunnen leiden tot een onverwachte afsluiting van het systeem of de uitvoering van willekeurige code met systeemprivileges.

    Beschrijving: Er bestaat een integer overflow bij de afhandeling van een ioctl-verzoek. Door een gevaarlijk ioctl-verzoek te versturen, kan een lokale gebruiker ervoor zorgen dat het systeem onverwachts wordt afgesloten of dat willekeurige code met systeemprivileges wordt uitgevoerd. Dit probleem wordt in de update verholpen doordat er een extra validatie van ioctl-verzoeken wordt uitgevoerd. Dank aan Tobias Klein van www.trapkit.de voor het melden van dit probleem.

  • remote_cmds

    CVE-ID: CVE-2007-4687

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Als tftpd is ingeschakeld, kunnen clients met de standaardconfiguratie toegang krijgen tot alle paden in het systeem.

    Beschrijving: Standaard bevat de map /private/tftpboot/private een symbolische koppeling naar de hoofdmap, waardoor clients toegang kunnen krijgen tot alle paden in het systeem. In deze update wordt het probleem verholpen door de map /private/tftpboot/private te verwijderen. Dank aan James P. Javery van Stratus Data Systems, Inc. voor het melden van dit probleem.

  • Netwerken

    CVE-ID: CVE-2007-4688

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een externe gebruiker kan alle adressen van een host verkrijgen.

    Beschrijving: In het Node Information Query-mechanisme doet zich een implementatieprobleem voor, waardoor een externe gebruiker alle adressen kan opvragen van een host, ook link-local adressen. In deze update wordt het probleem verholpen door node information query's van systemen die niet op het lokale netwerk zijn aangesloten, te negeren. Dank aan Arnaud Ebalard van EADS Innovation Works voor het melden van dit probleem.

  • Netwerken

    CVE-ID: CVE-2007-4269

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Als AppleTalk is ingeschakeld, kan een lokale gebruiker ervoor zorgen dat het systeem onverwachts wordt uitgeschakeld, of dat willekeurige code met systeemprivileges wordt uitgevoerd.

    Beschrijving: Er bestaat een integer overflow bij de afhandeling van ASP-berichten bij AppleTalk. Door via een AppleTalk-socket een gevaarlijk ASP-bericht te versturen, kan een lokale gebruiker ervoor zorgen dat het systeem onverwachts wordt afgesloten of dat willekeurige code met systeemprivileges wordt uitgevoerd. Dit probleem wordt in de update verholpen doordat er een extra validatie van ASP-berichten wordt uitgevoerd. Dank aan Sean Larsson van VeriSign iDefense Labs voor het melden van dit probleem.

  • Netwerken

    CVE-ID: CVE-2007-4689

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Bepaalde IPV6-pakketten kunnen leiden tot een onverwachte afsluiting van het systeem of tot uitvoering van willekeurige code.

    Beschrijving: Bij de afhandeling van bepaalde IPV6-pakketten bestaat een double-free probleem, dat kan leiden tot onverwachte afsluiting van het systeem of tot uitvoering van willekeurige code met systeemprivileges. In deze update wordt het probleem verholpen dankzij een verbeterde afhandeling van IPV6-pakketten. Dit probleem is niet van invloed op systemen met Intel-processors. Dank aan Bhavesh Davda van VMware, en aan Brian "chort" Keefer van Tumbleweed Communications voor het melden van dit probleem.

  • Netwerken

    CVE-ID: CVE-2007-4267

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Als AppleTalk is ingeschakeld en in routing mode staat, kan een lokale gebruiker ervoor zorgen dat het systeem onverwachts wordt afgesloten of dat willekeurige code wordt uitgevoerd.

    Beschrijving: Wanneer er een nieuwe AppleTalk-zone wordt toegevoegd, kan er een stackbufferoverloopprobleem ontstaan. Door aan een AppleTalk-socket een gevaarlijk ioctl-verzoek te versturen, kan een lokale gebruiker ervoor zorgen dat het systeem onverwachts wordt afgesloten of dat willekeurige code met systeemprivileges wordt uitgevoerd. In deze update wordt het probleem in AppleTalk verholpen door middel van verbeterde bounds checking voor ioctl-verzoeken. Dank aan een anonieme onderzoeker, werkzaam bij VeriSign iDefense VCP voor het melden van dit probleem.

  • Netwerken

    CVE-ID: CVE-2007-4268

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Als AppleTalk is ingeschakeld, kan een lokale gebruiker ervoor zorgen dat het systeem onverwachts wordt uitgeschakeld, of dat willekeurige code met systeemprivileges wordt uitgevoerd.

    Beschrijving: Bij de afhandeling van geheugentoewijzing treedt er in AppleTalk een rekenfout op; deze kan leiden tot een heap buffer overflow. Door een gevaarlijk AppleTalk-bericht te versturen, kan een lokale gebruiker ervoor zorgen dat het systeem onverwachts wordt afgesloten of dat willekeurige code met systeemprivileges wordt uitgevoerd. In deze update wordt het probleem in AppleTalk verholpen door middel van verbeterde bounds checking voor AppleTalk-berichten. Dank aan Sean Larsson van VeriSign iDefense Labs voor het melden van dit probleem.

  • NFS

    CVE-ID: CVE-2007-4690

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een gevaarlijke AUTH_UNIX RPC call kan ertoe leiden dat het systeem onverwachts wordt uitgeschakeld of dat willekeurige code wordt uitgevoerd.

    Beschrijving: Tijdens de verwerking van een AUTH_UNIX RPC-aanroep kan een double free-probleem optreden in NFS. Door via TCP of UDP een gevaarlijke AUTH_UNIX RPC call te verzenden, kan een externe agressor ervoor zorgen dat het systeem onverwachts wordt afgesloten of dat willekeurige code wordt uitgevoerd. In deze update wordt het probleem verholpen dankzij een verbeterde validatie van AUTH_UNIX RPC-pakketten. Dank aan Alan Newson van NGSSoftware en Renaud Deraison van Tenable Network Security, Inc. voor het melden van dit probleem.

  • NSURL

    CVE-ID: CVE-2007-4691

    Beschikbaar voor: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een bezoek aan een gevaarlijke website kan ertoe leiden dat willekeurige code wordt uitgevoerd.

    Beschrijving: In NSURL doet zich een probleem met hoofdlettergevoeligheid voor bij de bepaling of een URL gebruik maakt van het lokale bestandssysteem. Hierdoor kan de aanroeper van de API onjuiste beveiligingsbeslissingen nemen, die mogelijk kunnen leiden tot de uitvoering van bestanden in het lokale systeem of netwerkvolumes zonder een geschikte waarschuwing. In deze update wordt dit probleem verholpen door een niet-hoofdlettergevoelige vergelijking te gebruiken.

  • Safari

    CVE-ID: CVE-2007-0646

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Het openen van een .download-bestand met een illegaal opgestelde naam kan ertoe leiden dat de toepassing onverwachts wordt afgesloten of dat willekeurige code wordt uitgevoerd.

    Beschrijving: Safari vertoont een kwetsbaarheid voor opmaaktekenreeksen. Door een gebruiker aan te zetten om een .download-bestand met een illegale naam te openen, kan een agressor zorgen voor een onverwachte afsluiting van de toepassing of voor de uitvoering van willekeurige code. Dit probleem is beschreven op de website Month of Apple Bugs (MOAB-30-01-2007). In deze update wordt het probleem verholpen dankzij een verbeterde afhandeling van opmaaktekenreeksen.

  • Safari

    CVE-ID: CVE-2007-4692

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een probleem bij het browsen in Safari Tabbed kan leiden tot de bekendmaking van persoonlijke gegevens van gebruikers.

    Beschrijving: In de Tabbed-browsingfunctie van Safari doet zich een implementatieprobleem voor. Als een site wordt geladen die HTTP-verificatie gebruikt in een andere dan de actieve tab, kan er een verificatieblad worden weergegeven, ook al zijn de tab en de bijbehorende pagina niet zichtbaar. De gebruiker kan dit blad beschouwen als afkomstig van de op dat moment actieve pagina, en dit kan leiden tot de bekendmaking van gebruikersgegevens. In deze update wordt het probleem verholpen dankzij een verbeterde afhandeling van verificatiebladen. Dank aan Michael Roitzsch van de Technische Universiteit Dresden voor het melden van dit probleem.

  • SecurityAgent

    CVE-ID: CVE-2007-4693

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Iemand die fysiek toegang heeft tot een systeem, kan het verificatiedialoogvenster in de screensaver omzeilen.

    Beschrijving: Wanneer een computer de energiebesparende of screensaver-modus verlaat , kan iemand die fysiek aanwezig is enkele toetsaanslagen sturen naar een proces dat achter het controledialoogvenster in de screensaver actief is. In deze update wordt het probleem verholpen door middel van een verbeterde afhandeling van de toetsenbordfocus tussen beveiligde tekstvelden. Dank aan Faisal N. Jawdat voor het melden van dit probleem.

  • WebCore

    CVE-ID: CVE-2007-4694

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Lokale bestanden kunnen vanuit externe content worden geladen.

    Beschrijving: Safari blokkeert geen bestand:// URL's bij het laden van resources. Door een gebruiker aan te zetten een bezoek te brengen aan een met slechte intenties opgezette website kan een externe agressor de inhoud van lokale bestanden bekijken, hetgeen kan leiden tot bekendmaking van vertrouwelijke informatie. In deze update wordt het probleem verholpen door te voorkomen dat lokale bestanden worden geladen vanuit externe webpagina's. Dank aan lixlpixel voor het melden van dit probleem.

  • WebCore

    CVE-ID: CVE-2007-4695

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Het laden van een met slechte intenties geschreven bestand kan ertoe leiden dat formuliergegevens worden gemanipuleerd.

    Beschrijving: Er is een invoervalidatieprobleem bij de afhandeling van HTML-formulieren. Door een gebruiker aan te zetten tot het uploaden van een met slechte intenties opgesteld bestand kan een agressor de waarden van formuliervelden wijzigen, wat kan leiden tot onverwacht gedrag wanneer het formulier door de server wordt verwerkt. In deze update wordt het probleem verholpen dankzij een verbeterde afhandeling van bestandsuploads. Dank aan Bodo Ruskamp van Itchigo Communications GmbH voor het melden van dit probleem.

  • WebCore

    CVE-ID: CVE-2007-4696

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Bezoek aan een kwaadwillende website kan leiden tot de bekendmaking van vertrouwelijke informatie.

    Beschrijving: Er doet zich een race-condition voor in de manier waarop Safari de overgangen tussen pagina's afhandelt. Door een gebruiker aan te zetten tot een bezoek aan een illegale webpagina kan een agressor kans zien om toegang te krijgen tot informatie die is ingevuld in formulieren op andere websites, hetgeen kan leiden tot bekendmaking van vertrouwelijke informatie. In deze update wordt het probleem verholpen door de formuliergegevens op de juiste wijze te wissen bij overgangen tussen pagina's. Dank aan Ryan Grisso van NetSuite voor het melden van dit probleem.

  • WebCore

    CVE-ID: CVE-2007-4697

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een bezoek aan een illegale website kan ertoe leiden dat de toepassing onverwachts wordt afgesloten of tot uitvoering van willekeurige code.

    Beschrijving: Er doet zich een geheugenbeschadigingsprobleem voor bij de afhandeling van de historie van de browser. Door een gebruiker aan te zetten om een illegale webpagina te bezoeken, kan een agressor zorgen voor een onverwachte afsluiting van de toepassing of voor de uitvoering van willekeurige code. Dank aan David Bloom voor het melden van dit probleem.

  • WebCore

    CVE-ID: CVE-2007-4698

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een bezoek aan een illegale website kan leiden tot cross-site scripting.

    Beschrijving: In Safari kunnen JavaScript-events worden gekoppeld aan het verkeerde frame. Door een gebruiker aan te zetten een bezoek te brengen aan een met slechte intenties geschreven website kan een agressor ervoor zorgen dat JavaScript wordt uitgevoerd in de context van een andere website. In deze update wordt het probleem verholpen door JavaScript-events te koppelen aan het juiste sourceframe.

  • WebCore

    CVE-ID: CVE-2007-3758

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een bezoek aan een kwaadwillende website kan leiden tot cross-site scripting.

    Beschrijving: Dankzij een cross-site scriptingprobleem in Safari kunnen kwaadwillende websites JavaScript-venstereigenschappen instellen van websites die vanuit een ander domein worden bediend. Door de gebruiker aan te zetten een bezoek te brengen aan een met slechte intenties geschreven website kan een agressor kans zien de vensterstatus en -locatie op te halen of in te stellen van pagina's die worden bediend vanuit andere websites. In deze update wordt dit probleem verholpen dankzij een verbeterde toegangsregeling voor deze eigenschappen. Dank aan Michal Zalewski van Google Inc. voor het melden van dit probleem.

  • WebCore

    CVE-ID: CVE-2007-3760

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een bezoek aan een illegale website kan leiden tot cross-site scripting.

    Beschrijving: Dankzij een cross-site scriptingprobleem in Safari kan een kwaadwillende website het beleid voor dezelfde oorsprong negeren door embedded objects te hosten met URL's in JavaScript. Door een gebruiker aan te zetten een bezoek te brengen aan een met slechte intenties geschreven website kan een agressor ervoor zorgen dat JavaScript wordt uitgevoerd in de context van een andere website. In deze update wordt het probleem verholpen door het gebruik van het javascript URL-schema te beperken en extra oorsprongvalidatie toe te voegen voor deze URL's. Dank aan Michal Zalewski van Google Inc. en Secunia Research voor het melden van dit probleem.

  • WebCore

    CVE-ID: CVE-2007-4671

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: JavaScript op websites kan toegang geven tot, of manipulatief gebruikmaken van, de inhoud van documenten die worden bediend via HTTPS

    Beschrijving: Vanwege een probleem in Safari kan inhoud die via HTTP wordt bediend veranderingen aanbrengen in, of toegang krijgen tot, inhoud die wordt bediend via HTTPS in hetzelfde domein. Door een gebruiker aan te zetten een bezoek te brengen aan een met slechte intenties geschreven website kan een agressor ervoor zorgen dat JavaScript wordt uitgevoerd in de context van HTTPS-webpagina's in dat domein. In deze update wordt het probleem verholpen door te voorkomen dat JavaScript vanuit HTTP toegang krijgt tot HTTPS-frames. Dank aan Keigo Yamazaki van LAC Co., Ltd. (Little eArth Corporation Co., Ltd.) voor het melden van dit probleem.

  • WebCore

    CVE-ID: CVE-2007-3756

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Bezoek aan een kwaadwillende website kan leiden tot de bekendmaking van URL-inhoud.

    Beschrijving: Safari kan een webpagina toestemming geven de URL te lezen die momenteel in het hoofdvenster wordt weergegeven. Door een gebruiker aan te zetten een bezoek te brengen aan een met slechte intenties geschreven website kan een agressor de URL verkrijgen van een niet-gerelateerde pagina. In deze update wordt het probleem verholpen door middel van een verbeterde cross-domain beveiligingscontrole Dank aan Michal Zalewski van Google Inc. en Secunia Research voor het melden van dit probleem.

  • WebKit

    CVE-ID: CVE-2007-4699

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Ongeoorloofde toepassingen kunnen toegang krijgen tot private sleutels die door Safari aan de sleutelhanger zijn toegevoegd.

    Beschrijving: Standaard krijgen alle toepassingen zonder waarschuwing toegang tot de sleutel wanneer Safari een private sleutel aan de sleutelhanger toevoegt. In deze update wordt het probleem verholpen door de gebruiker om toestemming te vragen wanneer andere toepassingen dan Safari willen gebruikmaken van de sleutel.

  • WebKit

    CVE-ID: CVE-2007-4700

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een illegale website kan kans zien Safari aan te zetten tot verzending van extern opgegeven data naar willekeurige TCP-poorten.

    Beschrijving: Safari kan een illegale website toestemming geven om extern opgegeven data naar willekeurige TCP-poorten te sturen. In deze update wordt het probleem verholpen door de toegang tot bepaalde poorten te blokkeren. Dank aan Kostas G. Anagnostakis van het Institute for Infocomm Research, Singapore, en Spiros Antonatos van FORTH-ICS, Griekenland voor het melden van dit probleem.

  • WebKit

    CVE-ID: CVE-2007-4701

    Beschikbaar voor: Mac OS X v10.4 tot en met Mac OS X v10.4.10, Mac OS X Server v10.4 tot en met Mac OS X Server v10.4.10

    Impact: Een lokale gebruiker kan kans zien om de inhoud van geopende .pdf-bestanden te lezen.

    Beschrijving: Webkit/Safari gebruikt een onveilige methode voor het schrijven van tijdelijke bestanden tijdens de weergave van een afdrukvoorbeeld van een .pdf-bestand, zodat een lokale gebruiker toegang kan krijgen tot de inhoud van het bestand. Dit kan leiden tot bekendmaking van vertrouwelijke informatie. In deze update wordt het probleem verholpen door strengere permissies voor tijdelijke bestanden te gebruiken tijdens de weergave van .pdf-afdrukvoorbeelden. Dank aan Jean-Luc Giraud en Moritz Borgmann van ETH Zurich voor het melden van dit probleem.

Belangrijk: de vermelding van websites en producten van derden is alleen bedoeld voor informatieve doeleinden en impliceert niet dat wij deze websites of producten goedkeuren of aanbevelen. Apple kan niet aansprakelijk worden gesteld voor de selectie, de prestaties of het gebruik van informatie of producten op websites van derden. Apple biedt deze vermeldingen alleen aan als dienst naar zijn gebruikers. Apple heeft de informatie op deze websites niet getest en geeft geen verklaring wat betreft de nauwkeurigheid en betrouwbaarheid van deze informatie. Er zijn risico’s verbonden aan het gebruik van informatie of producten die u op internet vindt, en Apple kan hiervoor niet aansprakelijk worden gesteld. Houd er rekening mee dat websites van derden niet afhankelijk zijn van Apple en dat Apple geen enkele controle heeft over de inhoud van die websites. Neem contact op met de leverancier voor meer informatie.

Publicatiedatum: