Over de beveiligingsinhoud van OS X El Capitan 10.11.1, Beveiligingsupdate 2015-004 Yosemite en Beveiligingsupdate 2015-007 Mavericks

In dit document wordt de beveiligingsinhoud van OS X El Capitan 10.11.1, Beveiligingsupdate 2015-004 Yosemite en Beveiligingsupdate 2015-007 Mavericks beschreven.

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Meer informatie over Apple productbeveiliging vindt u op de website Apple productbeveiliging.

Raadpleeg Hoe gebruikt u de Apple Product Security PGP-sleutel voor meer informatie over het gebruik van de Apple PGP-sleutel voor productbeveiliging.

Waar mogelijk worden CVE-ID's als referentie voor kwetsbaarheden gebruikt voor verdere informatie.

Raadpleeg Apple beveiligingsupdates voor meer informatie over andere beveiligingsupdates.

OS X El Capitan 10.11.1, Beveiligingsupdate 2015-004 Yosemite en Beveiligingsupdate 2015-007 Mavericks

  • Accelerate Framework

    Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: het bezoeken van een kwaadwillig vervaardigde website kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er was een probleem met geheugenbeschadiging in het Accelerate Framework in de modus met meerdere threads. Dit probleem is verholpen door een verbeterde validatie van het accessor-element en een verbeterde objectvergrendeling.

    CVE-ID

    CVE-2015-5940: Apple

  • apache_mod_php

    Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: meerdere kwetsbaarheden in PHP

    Beschrijving: er waren meerdere kwetsbaarheden in versies van PHP lager dan 5.5.29 en 5.4.45. Deze zijn verholpen door PHP bij te werken naar versies 5.5.29 en 5.4.45.

    CVE-ID

    CVE-2015-0235

    CVE-2015-0273

    CVE-2015-6834

    CVE-2015-6835

    CVE-2015-6836

    CVE-2015-6837

    CVE-2015-6838

  • ATS

    Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: een bezoek aan een kwaadwillig vervaardigde webpagina kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

    Beschrijving: er was een probleem met geheugenbeschadiging in ATS. Dit probleem is verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-6985: John Villamil (@day6reak), Yahoo Pentest Team

  • Audio

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een kwaadwillig vervaardigd programma kan willekeurige code uitvoeren

    Beschrijving: er was een probleem met niet-geïnitialiseerde geheugentoegang in coreaudiod. Dit probleem is verholpen door een verbeterde geheugeninitialisatie.

    CVE-ID

    CVE-2015-7003: Mark Brand van Google Project Zero

  • Audio

    Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: het afspelen van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er waren meerdere problemen met geheugenbeschadiging bij de verwerking van audiobestanden. Deze problemen zijn verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-5933: Apple

    CVE-2015-5934: Apple

  • Bom

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: het uitpakken van een kwaadwillig vervaardigd archief kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er was een kwetsbaarheid met een bestandspassage bij de verwerking van CPIO-archieven. Dit probleem is verholpen door een verbeterde validatie van metagegevens.

    CVE-ID

    CVE-2015-7006: Mark Dowd van Azimuth Security

  • CFNetwork

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een bezoek aan een kwaadwillig vervaardigde website kan leiden tot het overschrijven van cookies

    Beschrijving: er was een probleem met het parseren bij de verwerking van cookies met een ander hoofdlettergebruik. Dit probleem is verholpen door een verbeterde parsering.

    CVE-ID

    CVE-2015-7023: Marvin Scholz en Michael Lutonsky; Xiaofeng Zheng en Jinjin Liang van Tsinghua University, Jian Jiang van University of California, Berkeley, Haixin Duan van Tsinghua University en International Computer Science Institute, Shuo Chen van Microsoft Research Redmond, Tao Wan van Huawei Canada, Nicholas Weaver van International Computer Science Institute en University of California, Berkeley, gecoördineerd via CERT/CC

  • configd

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een schadelijk programma kan de bevoegdheden verhogen

    Beschrijving: er was een probleem met een heapbufferoverflow in de bibliotheek met DNS-clients. Een schadelijk programma met de mogelijkheid om reacties van de lokale configd-voorziening te vervalsen, kon de uitvoering van willekeurige code in DNS-clients veroorzaken.

    CVE-ID

    CVE-2015-7015: PanguTeam

  • CoreGraphics

    Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: het bezoeken van een kwaadwillig vervaardigde website kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er waren meerdere problemen met geheugenbeschadiging in CoreGraphics. Deze problemen zijn verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-5925: Apple

    CVE-2015-5926: Apple

  • CoreText

    Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er waren meerdere problemen met geheugenbeschadiging bij de verwerking van lettertypebestanden. Deze problemen zijn verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2015-6992: John Villamil (@day6reak), Yahoo Pentest Team

  • CoreText

    Beschikbaar voor: OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er waren meerdere problemen met geheugenbeschadiging bij de verwerking van lettertypebestanden. Deze problemen zijn verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2015-6975: John Villamil (@day6reak), Yahoo Pentest Team

  • CoreText

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er waren meerdere problemen met geheugenbeschadiging bij de verwerking van lettertypebestanden. Deze problemen zijn verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2015-7017: John Villamil (@day6reak), Yahoo Pentest Team

  • CoreText

    Beschikbaar voor: OS X Mavericks v10.9.5 en OS X Yosemite v10.10.5

    Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er waren meerdere problemen met geheugenbeschadiging bij de verwerking van lettertypebestanden. Deze problemen zijn verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2015-5944: John Villamil (@day6reak), Yahoo Pentest Team

  • Adreslijsthulpprogramma

    Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: een lokale gebruiker kan willekeurige code uitvoeren met rootbevoegdheden

    Beschrijving: er was een probleem met de identiteitscontrole tijdens het instellen van nieuwe sessies. Dit probleem is verholpen door verbeterde identiteitscontroles.

    CVE-ID

    CVE-2015-6980: Michael van Westside Community Schools

  • Schijfkopieën

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een kwaadaardig programma kan willekeurige code uitvoeren met systeembevoegdheden

    Beschrijving: er was een probleem met geheugenbeschadiging bij het parseren van schijfkopieën. Dit probleem is verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-6995: Ian Beer van Google Project Zero

  • EFI

    Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: een aanvaller kan ongebruikte EFI-functies toepassen

    Beschrijving: er was een probleem met de verwerking van EFI-argumenten. Dit is verholpen door de aangetaste functies te verwijderen.

    CVE-ID

    CVE-2014-4860: Corey Kallenberg, Xeno Kovah, John Butterworth en Sam Cornwell van The MITRE Corporation, gecoördineerd via CERT

  • Bestandsbladwijzer

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: gaan naar een map met misvormde bladwijzers kan zorgen voor het onverwacht beëindigen van het programma

    Beschrijving: er was een probleem met invoervalidatie bij het parseren van de metagegevens van bladwijzers. Dit probleem is verholpen door verbeterde validatiecontroles.

    CVE-ID

    CVE-2015-6987: Luca Todesco (@qwertyoruiop)

  • FontParser

    Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er waren meerdere problemen met geheugenbeschadiging bij de verwerking van lettertypebestanden. Deze problemen zijn verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2015-5927: Apple

    CVE-2015-5942

    CVE-2015-6976: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-6977: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-6978: Jaanus Kp, Clarified Security in samenwerking met het Zero Day Initiative van HP

    CVE-2015-6991: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-6993: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-7009: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-7010: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-7018: John Villamil (@day6reak), Yahoo Pentest Team

  • FontParser

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er waren meerdere problemen met geheugenbeschadiging bij de verwerking van lettertypebestanden. Deze problemen zijn verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2015-6990: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-7008: John Villamil (@day6reak), Yahoo Pentest Team

  • Grand Central Dispatch

    Beschikbaar voor: OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: het verwerken van een kwaadwillig vervaardigd pakket kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er was een probleem met geheugenbeschadiging bij de verwerking van dispatch-aanroepen. Dit probleem is verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-6989: Apple

  • Grafische besturingsbestanden

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een lokale gebruiker kan zorgen voor het onverwacht beëindigen van het systeem of het lezen van kernelgeheugen

    Beschrijving: er waren meerdere problemen met het lezen buiten het bereik in het grafische besturingsbestand van NVIDIA. Deze problemen zijn verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2015-7019: Ian Beer van Google Project Zero

    CVE-2015-7020: Moony Li van Trend Micro

  • Grafische besturingsbestanden

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een lokale gebruiker kan willekeurige code uitvoeren met kernelbevoegdheden

    Beschrijving: er was een probleem met geheugenbeschadiging in de kernel. Dit probleem is verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-7021: Moony Li van Trend Micro

  • ImageIO

    Beschikbaar voor: OS X Mavericks v10.9.5 en OS X Yosemite v10.10.5

    Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er waren meerdere problemen met geheugenbeschadiging bij het parseren van metagegevens van afbeeldingen. Deze problemen zijn verholpen door een verbeterde validatie van metagegevens.

    CVE-ID

    CVE-2015-5935: Apple

    CVE-2015-5938: Apple

  • ImageIO

    Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er waren meerdere problemen met geheugenbeschadiging bij het parseren van metagegevens van afbeeldingen. Deze problemen zijn verholpen door een verbeterde validatie van metagegevens.

    CVE-ID

    CVE-2015-5936: Apple

    CVE-2015-5937: Apple

    CVE-2015-5939: Apple

  • IOAcceleratorFamily

    Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: een kwaadaardig programma kan willekeurige code uitvoeren met systeembevoegdheden

    Beschrijving: er was een probleem met geheugenbeschadiging in IOAcceleratorFamily. Dit probleem is verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-6996: Ian Beer van Google Project Zero

  • IOHIDFamily

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een schadelijk programma kan willekeurige code uitvoeren met kernelbevoegdheden

    Beschrijving: er was een probleem met geheugenbeschadiging in de kernel. Dit probleem is verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-6974: Luca Todesco (@qwertyoruiop)

  • Kernel

    Beschikbaar voor: OS X Yosemite v10.10.5

    Impact: een lokale gebruiker kan willekeurige code uitvoeren met systeembevoegdheden

    Beschrijving: er was een type confusion-probleem bij de validatie van Mach-taken. Dit probleem is verholpen door een verbeterde validatie van Mach-taken.

    CVE-ID

    CVE-2015-5932: Luca Todesco (@qwertyoruiop), Filippo Bigarella

  • Kernel

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een aanvaller in een geprivilegieerde netwerkpositie kan willekeurige code uitvoeren

    Beschrijving: er was een probleem met niet-geïnitialiseerd geheugen in de kernel. Dit probleem is verholpen door een verbeterde geheugeninitialisatie.

    CVE-ID

    CVE-2015-6988: The Brainy Code Scanner (m00nbsd)

  • Kernel

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een lokaal programma kan een denial of service veroorzaken

    Beschrijving: er was een probleem met het hergebruik van virtueel geheugen. Dit probleem is verholpen door een verbeterde validatie.

    CVE-ID

    CVE-2015-6994: Mark Mentovai van Google Inc.

  • libarchive

    Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: een schadelijk programma kan willekeurige bestanden overschrijven

    Beschrijving: er was een probleem bij de validatielogica van het pad voor symlinks. Dit probleem is verholpen door verbeterde opschoning van het pad.

    CVE-ID

    CVE-2015-6984: Christopher Crone van Infinit, Jonathan Schleifer

  • MCX-programmabeperkingen

    Beschikbaar voor: OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: een uitvoerbaar bestand dat is ondertekend door de ontwikkelaar kan beperkt toegankelijke rechten verkrijgen

    Beschrijving: er was een probleem met de validatie van rechten in Beheerde configuratie. Een app die is ondertekend door de ontwikkelaar, kon beperkingen voor het gebruik van beperkt toegankelijke rechten omzeilen en meer rechten verkrijgen. Dit probleem is verholpen door een verbeterde validatie van het voorzieningenprofiel.

    CVE-ID

    CVE-2015-7016: Apple

  • mDNSResponder

    Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan v10.11

    Impact: een externe aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken

    Beschrijving: er waren meerdere problemen met geheugenbeschadiging bij het parseren van DNS-gegevens. Deze problemen zijn verholpen door middel van een verbeterde controle van de grenzen.

    CVE-ID

    CVE-2015-7987: Alexandre Helie

  • mDNSResponder

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een lokaal programma kan een denial of service veroorzaken

    Beschrijving: er is een null pointer dereference-probleem aangepakt door verbeterde geheugenverwerking.

    CVE-ID

    CVE-2015-7988: Alexandre Helie

  • Net-SNMP

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een aanvaller in een geprivilegieerde netwerkpositie kan een denial of service veroorzaken

    Beschrijving: er waren meerdere problemen in versie 5.6 van netsnmp. Deze problemen zijn verholpen met patches die van invloed zijn op OS X vanaf upstream.

    CVE-ID

    CVE-2012-6151

    CVE-2014-3565

  • OpenGL

    Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: het bezoeken van een kwaadwillig vervaardigde website kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er was een probleem met geheugenbeschadiging in OpenGL. Dit probleem is verholpen door een verbeterde verwerking van het geheugen.

    CVE-ID

    CVE-2015-5924: Apple

  • OpenSSH

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een lokale gebruiker kon imitatie-aanvallen uitvoeren

    Beschrijving: er was een probleem met het scheiden van bevoegdheden in PAM-support. Dit probleem is verholpen door middel van verbeterde identiteitscontroles.

    CVE-ID

    CVE-2015-6563: Moritz Jodeit van Blue Frost Security GmbH

  • Sandbox

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een lokale gebruiker kan willekeurige code uitvoeren met kernelbevoegdheden

    Beschrijving: er was een probleem met invoervalidatie bij de verwerking van NVRAM-parameters. Dit probleem is verholpen door een verbeterde validatie.

    CVE-ID

    CVE-2015-5945: Rich Trouton (@rtrouton), Howard Hughes Medical Institute, Apple

  • Scripteditor

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een aanvaller kan een gebruiker misleiden om een willekeurig AppleScript uit te voeren

    Beschrijving: in bepaalde gevallen werd de gebruiker door Scripteditor niet om bevestiging gevraagd alvorens AppleScripts uit te voeren. Dit probleem is verholpen door de gebruiker om bevestiging te vragen alvorens AppleScripts uit te voeren.

    CVE-ID

    CVE-2015-7007: Joe Vennix

  • Beveiliging

    Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan 10.11

    Impact: een door Apple ondertekende binary kon worden gebruikt om willekeurige bestanden te laden

    Beschrijving: bepaalde door Apple ondertekende uitvoerbare bestanden laadden programma's van relatieve locaties. Dit is verholpen middels aanvullende controles in Gatekeeper.

    CVE-ID

    CVE-2015-7024: Patrick Wardle van Synack

  • Beveiliging

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: het verwerken van een kwaadwillig vervaardigd certificaat kan leiden tot het uitvoeren van willekeurige code

    Beschrijving: er waren meerdere problemen met geheugenbeschadiging in de ASN.1-decoder. Deze problemen zijn verholpen door een verbeterde invoervalidatie.

    CVE-ID

    CVE-2015-7059: David Keeler van Mozilla

    CVE-2015-7060: Tyson Smith van Mozilla

    CVE-2015-7061: Ryan Sleevi van Google

  • Beveiliging

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een schadelijk programma kan willekeurige bestanden overschrijven

    Beschrijving: er was een double free-probleem bij de verwerking van AtomicBufferedFile-descriptors. Dit probleem is verholpen door een verbeterde validatie van AtomicBufferedFile-descriptors.

    CVE-ID

    CVE-2015-6983: David Benjamin, Greg Kerr, Mark Mentovai en Sergey Ulanov van het Chrome Team

  • SecurityAgent

    Beschikbaar voor: OS X El Capitan 10.11

    Impact: een kwaadwillig vervaardigd programma kan prompts voor sleutelhangertoegang programmatisch controleren

    Beschrijving: er was een methode voor programma's om synthetische klikken in prompts van sleutelhanger te genereren. Dit is verholpen door synthetische klikken in vensters voor sleutelhangertoegang uit te schakelen.

    CVE-ID

    CVE-2015-5943

OS X El Capitan v10.11.1 bevat de beveiligingsinhoud van Safari 9.0.1.

Beveiligingsupdate 2015-004 en 2015-007 worden aanbevolen voor alle gebruikers en verbeteren de beveiliging van OS X.

Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Aan het gebruik van internet zijn risico’s verbonden. Neem contact op met de leverancier voor meer informatie. Andere bedrijfs- en productnamen zijn mogelijk handelsmerken van de respectievelijke eigenaars.

Publicatiedatum: