Over de beveiligingsinhoud van OS X Mavericks v10.9.5 en Beveiligingsupdate 2014-004

In dit document wordt de beveiligingsinhoud van OS X Mavericks v10.9.5 en Beveiligingsupdate 2014-004 beschreven.

Deze update kan worden gedownload en geïnstalleerd via Software-update of vanaf de Apple Support-website.

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Bezoek de website Apple-productbeveiliging voor meer informatie over Apple-productbeveiliging.

Raadpleeg Hoe gebruikt u de Apple Product Security PGP-sleutel voor meer informatie over het gebruik van de Apple PGP-sleutel voor productbeveiliging.

Waar mogelijk worden CVE-ID’s als referentie voor kwetsbaarheden gebruikt voor verdere informatie.

Raadpleeg Apple-beveiligingsupdates voor meer informatie over andere beveiligingsupdates.

Opmerking: OS X Mavericks v10.9.5 bevat de beveiligingsinhoud van Safari 7.0.6.

OS X Mavericks v10.9.5 en Beveiligingsupdate 2014-004

  • apache_mod_php

    Beschikbaar voor: OS X Mavericks v10.9 t/m v10.9.4

    Impact: meerdere kwetsbaarheden in PHP 5.4.24

    Beschrijving: er waren meerdere kwetsbaarheden in PHP 5.4.24 waarvan de ernstigste mogelijk hebben geleid tot het uitvoeren van willekeurige code. Deze update verhelpt de problemen door PHP bij te werken naar versie 5.4.30

    CVE-ID

    CVE-2013-7345

    CVE-2014-0185

    CVE-2014-0207

    CVE-2014-0237

    CVE-2014-0238

    CVE-2014-1943

    CVE-2014-2270

    CVE-2014-3478

    CVE-2014-3479

    CVE-2014-3480

    CVE-2014-3487

    CVE-2014-3515

    CVE-2014-3981

    CVE-2014-4049

  • Bluetooth

    Beschikbaar voor: OS X Mavericks v10.9 t/m v10.9.4

    Impact: een kwaadaardig programma kan willekeurige code uitvoeren met systeembevoegdheden

    Beschrijving: er was een validatieprobleem bij de verwerking van een Bluetooth API-aanroep. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2014-4390: Ian Beer van Google Project Zero

  • CoreGraphics

    Beschikbaar voor: OS X Mavericks v10.9 t/m v10.9.4

    Impact: het openen van een kwaadwillig vervaardigd pdf-bestand kan leiden tot het onverwacht beëindigen van het programma of het vrijgeven van informatie

    Beschrijving: er was een probleem met het lezen van geheugen buiten het bereik bij de verwerking van pdf-bestanden. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2014-4378: Felipe Andres Manzano van Binamuse VRT in samenwerking met iSIGHT Partners GVP Program

  • CoreGraphics

    Beschikbaar voor: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 t/m v10.9.4

    Impact: het openen van een kwaadwillig vervaardigd pdf-bestand kan het onverwacht beëindigen van het programma of uitvoering van willekeurige code tot gevolg hebben.

    Beschrijving: er was een overloop bij gehele getallen bij de verwerking van pdf-bestanden. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2014-4377: Felipe Andres Manzano van Binamuse VRT in samenwerking met iSIGHT Partners GVP Program

  • Foundation

    Beschikbaar voor: OS X Mavericks v10.9 t/m v10.9.4

    Impact: een programma dat NSXMLParser gebruikt, kan worden misbruikt om informatie vrij te geven

    Beschrijving: er was een ‘XML External Entity’-probleem bij de verwerking van XML door NSXMLParser. Dit probleem is verholpen door externe entiteiten niet over oorsprongen heen te laden.

    CVE-ID

    CVE-2014-4374: George Gal van VSR (http://www.vsecurity.com/)

  • Intel Graphics Driver

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 t/m v10.9.4

    Impact: niet-vertrouwde GLSL-shaders compileren kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

    Beschrijving: er was een bufferoverloop van gebruikersruimte in het compileerprogramma van de shader. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2014-4393: Apple

  • Intel Graphics Driver

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 t/m v10.9.4

    Impact: een kwaadaardig programma kan willekeurige code uitvoeren met systeembevoegdheden

    Beschrijving: er waren meerdere validatieproblemen met de routine van ingebouwde grafische besturingsbestanden. Deze problemen zijn verholpen door middel van verbeterde bounds checking.

    CVE-ID

    CVE-2014-4394: Ian Beer van Google Project Zero

    CVE-2014-4395: Ian Beer van Google Project Zero

    CVE-2014-4396: Ian Beer van Google Project Zero

    CVE-2014-4397: Ian Beer van Google Project Zero

    CVE-2014-4398: Ian Beer van Google Project Zero

    CVE-2014-4399: Ian Beer van Google Project Zero

    CVE-2014-4400: Ian Beer van Google Project Zero

    CVE-2014-4401: Ian Beer van Google Project Zero

    CVE-2014-4416: Ian Beer van Google Project Zero

  • IOAcceleratorFamily

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 t/m v10.9.4

    Impact: een kwaadaardig programma kan willekeurige code uitvoeren met systeembevoegdheden

    Beschrijving: er was een null pointer-dereferentie bij de verwerking van IOKit API-argumenten. Dit probleem is verholpen door een verbeterde validatie van IOKit API-argumenten.

    CVE-ID

    CVE-2014-4376: Ian Beer van Google Project Zero

  • IOAcceleratorFamily

    Beschikbaar voor: OS X Mavericks v10.9 t/m v10.9.4

    Impact: een kwaadaardig programma kan willekeurige code uitvoeren met systeembevoegdheden

    Beschrijving: er was een probleem met het lezen buiten het bereik bij de verwerking van een IOAcceleratorFamily-functie. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2014-4402: Ian Beer van Google Project Zero

  • IOHIDFamily

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 t/m v10.9.4

    Impact: een lokale gebruiker kan kernel pointers lezen, wat kan worden gebruikt om de Address Space Layout Randomization van de kernel te negeren

    Beschrijving: er was een probleem met het lezen buiten het bereik bij de verwerking van een IOHIDFamily-functie. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2014-4379: Ian Beer van Google Project Zero

  • IOKit

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 t/m v10.9.4

    Impact: een kwaadaardig programma kan willekeurige code uitvoeren met systeembevoegdheden

    Beschrijving: er was een validatieprobleem bij de verwerking van bepaalde velden voor metagegevens van IODataQueue-objecten. Dit probleem is verholpen door een verbeterde validatie van metagegevens.

    CVE-ID

    CVE-2014-4388: @PanguTeam

  • IOKit

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 t/m v10.9.4

    Impact: een kwaadaardig programma kan willekeurige code uitvoeren met systeembevoegdheden

    Beschrijving: er was een overloop bij gehele getallen bij de verwerking van IOKit-functies. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2014-4389: Ian Beer van Google Project Zero

  • Kernel

    Beschikbaar voor: OS X Mavericks v10.9 t/m v10.9.4

    Impact: een lokale gebruiker kan kerneladressen afleiden en de Address Space Layout Randomization van de kernel negeren

    Beschrijving: in sommige gevallen is de CPU Global Descriptor Table toegewezen aan een voorspelbaar adres. Dit probleem is verholpen door de Global Descriptor Table altijd toe te wijzen aan willekeurige adressen.

    CVE-ID

    CVE-2014-4403: Ian Beer van Google Project Zero

  • Libnotify

    Beschikbaar voor: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 t/m v10.9.4

    Impact: een kwaadaardig programma kan willekeurige code uitvoeren met rootbevoegdheden

    Beschrijving: er was een probleem met het schrijven buiten het bereik in Libnotify. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen

    CVE-ID

    CVE-2014-4381: Ian Beer van Google Project Zero

  • OpenSSL

    Beschikbaar voor: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 t/m v10.9.4

    Impact: meerdere kwetsbaarheden in OpenSSL 0.9.8y, waaronder een kwetsbaarheid die kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er waren meerdere kwetsbaarheden in OpenSSL 0.9.8y. Deze update is verholpen door OpenSSL bij te werken naar versie 0.9.8za.

    CVE-ID

    CVE-2014-0076

    CVE-2014-0195

    CVE-2014-0221

    CVE-2014-0224

    CVE-2014-3470

  • QT Media Foundation

    Beschikbaar voor: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 t/m v10.9.4

    Impact: het afspelen van een kwaadwillig vervaardigd filmbestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

    Beschrijving: er was een probleem met geheugenbeschadiging bij de verwerking van RLE-gecodeerde filmbestanden. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2014-1391: Fernando Munoz in samenwerking met iDefense VCP, Tom Gallagher & Paul Bates in samenwerking met het Zero Day Initiative van HP

  • QT Media Foundation

    Beschikbaar voor: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 t/m v10.9.4

    Impact: het afspelen van een kwaadwillig vervaardigd MIDI-bestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

    Beschrijving: er was een bufferoverloop bij de verwerking van MIDI-bestanden. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2014-4350: s3tm3m in samenwerking met het Zero Day Initiative van HP

  • QT Media Foundation

    Beschikbaar voor: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5, OS X Mavericks v10.9 t/m v10.9.4

    Impact: het afspelen van een kwaadwillig vervaardigd filmbestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

    Beschrijving: er was een probleem met geheugenbeschadiging bij de verwerking van ‘mvhd’-atomen. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2014-4979: Andrea Micalizzi aka rgod in samenwerking met het Zero Day Initiative van HP

  • ruby

    Beschikbaar voor: OS X Mavericks v10.9 t/m v10.9.4

    Impact: een externe aanvaller kan het uitvoeren van willekeurige code veroorzaken

    Beschrijving: er was een heapbufferoverloop bij de verwerking van met procent gecodeerde tekens in een URI door LibYAML. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen. Deze update verhelpt de problemen door LibYAML bij te werken naar versie 0.1.6.

    CVE-ID

    CVE-2014-2525

Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Aan het gebruik van internet zijn risico’s verbonden. Neem contact op met de leverancier voor meer informatie. Andere bedrijfs- en productnamen zijn mogelijk handelsmerken van de respectievelijke eigenaars.

Publicatiedatum: