Info over de beveiligingsinhoud van beveiligingsupdate 2008-004 en Mac OS X 10.5.4

In dit document wordt de beveiligingsinhoud van beveiligingsupdate 2008-004 en Mac OS X 10.5.4 beschreven, die u kunt downloaden en installeren op voorkeuren voor Software-update of op Apple-downloads.

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Raadpleeg de website Apple productbeveiliging voor meer informatie over de Apple-productbeveiliging.

Zie 'How to use the Apple Product Security PGP Key' (Hoe gebruikt u de Apple PGP-sleutel voor productbeveiliging) voor meer informatie over het gebruik van de Apple PGP-sleutel voor productbeveiliging.

Waar mogelijk worden CVE-ID's gebruikt om verwijzingen te bieden voor kwetsbare punten voor nadere informatie.

Zie 'Apple beveiligingsupdates' voor meer informatie over andere beveiligingsupdates.

 

Dit artikel is gearchiveerd en wordt niet meer bijgewerkt door Apple.

Beveiligingsupdate 2008-004 en Mac OS X v10.5.4

  • Alias Manager

    CVE-ID: CVE-2008-2308

    Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Impact: het omzetten van een alias die kwaadwillig vervaardigde volumekoppelingsgegevens bevat, kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code.

    Beschrijving: er bestaat een probleem met betrekking tot geheugenbeschadiging bij de verwerking van volumekoppelingsgegevens voor AFP in een aliasgegevensstructuur. Het omzetten van een alias die kwaadwillig vervaardigde volumekoppelingsgegevens bevat, kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code. Deze update verhelpt dat probleem door extra validatie van de aliasgegevensstructuren uit te voeren. Dit probleem is alleen van invloed op Intel-systemen die in Mac OS X 10.5.1 of lager worden uitgevoerd.

  • CoreTypes

    CVE-ID: CVE-2008-2309

    Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

    Impact: gebruikers worden niet gewaarschuwd voordat ze bepaalde mogelijk onveilige inhoudstypen openen

    Beschrijving: met deze update worden .xht- en .xhtm-bestanden toegevoegd aan de lijst met inhoudstypen van het systeem die zijn gemarkeerd als mogelijk onveilig onder bepaalde omstandigheden, zoals wanneer ze vanaf een webpagina worden gedownload. Hoewel deze inhoudstypen niet automatisch worden gestart, kunnen ze wel leiden tot de uitvoering van een schadelijke payload als ze handmatig worden geopend. Deze update verbetert de mogelijkheid van het systeem om gebruikers op de hoogte te stellen voordat .xht- en .xhtm-bestanden worden gebruikt. In Mac OS X v10.4 wordt deze functionaliteit geleverd door de functie voor downloadvalidatie. In Mac OS X v10.5 wordt deze functionaliteit geleverd door de quarantainefunctie. Met dank aan Brian Mastenbrook voor het melden van dit probleem.

  • c++filt

    CVE-ID: CVE-2008-2310

    Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

    Impact: het doorgeven van een kwaadwillig vervaardigde tekenreeks aan c++filt kan leiden tot het onverwacht afsluiten van het programma of het uitvoeren van willekeurige code.

    Beschrijving: er bestaat een probleem met betrekking tot opmaakreeksen in c++filt. Dit is een hulpmiddel voor foutopsporing waarmee C++- en Java-symbolen kunnen worden gedecodeerd. Het doorgeven van een kwaadwillig vervaardigde tekenreeks aan c++filt kan leiden tot het onverwacht afsluiten van het programma of het uitvoeren van willekeurige code. In deze update wordt het probleem verholpen dankzij een verbeterde afhandeling van opmaakreeksen. Deze kwestie heeft geen invloed op systemen ouder dan Mac OS X 10.5.

  • Startservices

    CVE-ID: CVE-2008-2311

    Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Impact: het bezoeken van een kwaadwillig vervaardigde website kan leiden tot het uitvoeren van willekeurige code.

    Beschrijving: er bestaat een racevoorwaarde in de downloadvalidatie van symbolische koppelingen, wanneer de bestemmingspagina van de koppeling wordt gewijzigd tijdens het korte tijdsbestek van de validatie. Als de voorkeur 'Open 'veilige' bestanden' is ingeschakeld in Safari, kan het bezoeken van een kwaadwillig vervaardigde website ervoor zorgen dat een bestand wordt geopend op het systeem van de gebruiker, wat resulteert in het uitvoeren van willekeurige code. In deze update wordt het probleem verholpen door extra validatie van gedownloade bestanden uit te voeren. Dit probleem is niet van invloed op systemen met Mac OS X 10.5 of hoger.

  • Net-SNMP

    CVE-ID: CVE-2008-0960

    Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

    Impact: een extern kwaadwillend persoon is mogelijk in staat om een geverifieerd SNMPv3-pakket te simuleren.

    Beschrijving: er bestaat een probleem bij de SNMPv3-verificatie van Net-SNMP's waardoor kwaadwillig vervaardigde pakketten mogelijk verificatie kunnen overslaan. In deze update wordt het probleem verholpen door extra validatie van SNMPv3-pakketten. Aanvullende informatie vindt u op http://www.kb.cert.org/vuls/id/878044

  • Ruby

    CVE-ID: CVE-2008-2662, CVE-2008-2663, CVE-2008-2664, CVE-2008-2725, CVE-2008-2726

    Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

    Impact: het uitvoeren van een Ruby-script dat niet-vertrouwde invoer gebruikt om tekenreeksen of matrices te openen, kan leiden tot het onverwacht afsluiten van het programma of het uitvoeren van willekeurige code.

    Beschrijving: er bestaan meerdere problemen met betrekking tot geheugenbeschadiging bij de verwerking van tekenreeksen en matrices door middel van Ruby, waarvan de belangrijkste kan leiden tot het uitvoeren van willekeurige code. In deze update wordt het probleem verholpen door extra validatie van tekenreeksen en matrices uit te voeren.

  • Ruby

    CVE-ID: CVE-2008-1145

    Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

    Impact: als WEBrick wordt uitgevoerd, kan een extern kwaadwillend persoon in staat zijn bestanden te openen die zijn beveiligd door middel van de optie :NondisclosureName van WEBrick.

    Beschrijving: de optie :NondisclosureName in de toolkit Ruby WEBrick wordt gebruikt om de toegang tot bestanden te beperken. Door een bestandsnaam aan te vragen die gebruikmaakt van onverwachte hoofdletters kan de beperking :NondisclosureName worden overgeslagen. In deze update wordt het probleem verholpen door extra validatie van bestandsnamen. Aanvullende informatie vindt u op http://www.ruby-lang.org/en/news/2008/03/03/webrick-file-access-vulnerability/. Het probleem met betrekking tot directory traversal dat wordt beschreven in dit adviesrapport is niet van invloed op Mac OS X.

  • SMB-bestandsserver

    CVE-ID: CVE-2008-1105

    Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

    Impact: een extern kwaadwillend persoon kan in staat zijn een onverwachte beëindiging van het programma of het uitvoeren van willekeurige code te veroorzaken.

    Beschrijving: er bestaat een 'heap buffer overflow' bij het verwerken van SMB-pakketten. Het verzenden van schadelijke SMB-pakketten naar een SMB-server of het verbinding maken met een schadelijke SMB-server kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code. In deze update wordt het probleem verholpen door verbeterde bounds checking op volledige ontvangen SMB-pakketten. Met dank aan Alin Rad Pop van Secunia Research voor het melden van dit probleem.

  • Systeemconfiguratie

    CVE-ID: CVE-2008-2313

    Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Impact: een lokale gebruiker kan in staat zijn willekeurige code uit te voeren met de bevoegdheden van nieuwe gebruikers

    Beschrijving: een lokale gebruiker is mogelijk in staat de directory met gebruikerssjablonen te vullen met bestanden die onderdeel worden van de basisdirectory wanneer een nieuwe gebruiker wordt gemaakt. Dit kan leiden tot het uitvoeren van willekeurige code met de bevoegdheden van de nieuwe gebruiker. In deze update wordt het probleem verholpen door meer beperkte machtigingen toe te passen op de directory met gebruikerssjablonen. Dit probleem is niet van invloed op systemen met Mac OS X 10.5 of hoger. Met dank aan Andrew Mortensen van de University of Michigan voor het melden van dit probleem.

  • Tomcat

    CVE-ID: CVE-2005-3164, CVE-2007-1355, CVE-2007-2449, CVE-2007-2450, CVE-2007-3382, CVE-2007-3383, CVE-2007-5333, CVE-2007-3385, CVE-2007-5461

    Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Impact: meerdere kwetsbaarheden in Tomcat 4.1.36

    Beschrijving: Tomcat versie 4.x is onderdeel van het Mac OS X v10.4.11-systeem. Tomcat op Mac OS X v10.4.11 is bijgewerkt naar versie 4.1.37 om verschillende kwetsbaarheden te verhelpen, waarvan de belangrijkste kan leiden tot een aanval met cross-site scripting. Meer informatie vindt u op de Tomcat-site op http://tomcat.apache.org/. Tomcat versie 6.x is onderdeel van het Mac OS X v10.5-systeem.

  • VPN

    CVE-ID: CVE-2007-6276

    Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

    Impact: externe kwaadwillende personen zijn mogelijk in staat tot het veroorzaken van het onverwacht beëindigen van het programma.

    Beschrijving: er bestaat een probleem met betrekking tot delen door nul bij het verwerken van informatie over taakverdeling in de daemon van het virtueel particulier netwerk. Het verwerken van een kwaadwillig vervaardigd UDP-pakket kan leiden tot het onverwacht beëindigen van het programma. Dit probleem leidt niet tot het uitvoeren van willekeurige code. In deze update wordt het probleem verholpen door extra validatie van informatie over taakverdeling uit te voeren. Dit probleem is niet van invloed op systemen ouder dan Mac OS X 10.5.

  • WebKit

    CVE-ID: CVE-2008-2307

    Beschikbaar voor: Mac OS X v10.5 tot en met v10.5.3, Mac OS X Server v10.5 tot en met v10.5.3

    Impact: een bezoek aan een kwaadwillig vervaardigde website kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code.

    Beschrijving: er bestaat een probleem met betrekking tot geheugenbeschadiging bij de verwerking van JavaScript-matrices door WebKit. Een bezoek aan een kwaadwillig vervaardigde website kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code. In deze update wordt dat probleem verholpen door middel van verbeterde bounds checking. In aanvulling op deze update is de versie van Safari voor Mac OS X v10.5.4 bijgewerkt naar 3.1.2. Voor Mac OS X v10.4.11 en Windows XP/Vista wordt dit probleem verholpen in Safari v3.1.2 voor deze systemen. Met dank aan James Urquhart voor het melden van dit probleem.

Belangrijk: de vermelding van websites en producten van derden is alleen bedoeld voor informatieve doeleinden en impliceert niet dat wij deze websites of producten goedkeuren of aanbevelen. Apple kan niet aansprakelijk worden gesteld voor de selectie, de prestaties of het gebruik van informatie of producten op websites van derden. Apple biedt deze vermeldingen alleen aan als dienst naar zijn gebruikers. Apple heeft de informatie op deze websites niet getest en geeft geen verklaring wat betreft de nauwkeurigheid en betrouwbaarheid van deze informatie. Er zijn risico’s verbonden aan het gebruik van informatie of producten die u op internet vindt, en Apple kan hiervoor niet aansprakelijk worden gesteld. Houd er rekening mee dat websites van derden niet afhankelijk zijn van Apple en dat Apple geen enkele controle heeft over de inhoud van die websites. Neem contact op met de leverancier voor meer informatie.

Publicatiedatum: