Om sikkerhetsinnholdet i OS X Yosemite v10.10

Dette dokumentet beskriver sikkerhetsinnholdet i OS X Yosemite v10.10.

Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelig. Du finner mer informasjon om Apple Produktsikkerhet på nettstedet Apple Produktsikkerhet.

Du finner mer informasjon om PGP-nøkkelen fra Apple Produktsikkerhet under Slik bruker du PGP-nøkkelen fra Apple Produktsikkerhet.

Der det er mulig, brukes CVE-ID-er som henvisning til svakhetene, slik at man kan finne mer informasjon.

Hvis du vil vite mer om andre sikkerhetsoppdateringer, kan du se Apple sikkerhetsoppdateringer.

OS X Yosemite v10.10

• 802.1X

  Virkning: En angriper kan få tak i WiFi-akkreditiver

  Beskrivelse: En angriper kunne ha gitt seg ut for å være et WiFi-tilgangspunkt, tilbudt seg å godkjenne med LEAP, brutt MS-CHAPv1-hash-koden og brukt utledete akkreditiver for å få godkjenning fra det tiltenkte tilgangspunktet selv om tilgangspunktet støtter sterkere godkjenningsmetoder. Dette problemet ble løst ved å deaktivere LEAP som standard.

  CVE-ID

  CVE-2014-4364: Pieter Robyns, Bram Bonne, Peter Quax og Wim Lamotte ved Universiteit Hasselt

• AFP File Server

  Virkning: En ekstern angriper kunne finne alle nettverksadressene til systemet

  Beskrivelse: AFP-filtjeneren støttet en kommando som returnerte alle nettverksadressene til systemet. Problemet ble løst ved å fjerne adressene fra resultatet.

  CVE-ID

  CVE-2014-4426: Craig Young i Tripwire VERT

• Apache

  Virkning: Flere sårbarheter i Apache

  Beskrivelse: Det var flere sårbarheter i Apache, og de alvorligste kan føre til tjenestenekting. Disse problemene ble løst ved å oppdatere Apache til versjon 2.4.9.

  CVE-ID

  CVE-2013-6438

  CVE-2014-0098

• App Sandbox

  Virkning: Et program som er innskrenket av sandkasserestriksjoner, kan misbruke tilgjengelighets-API

  Beskrivelse: Et program i sandkassen kunne misbruke tilgjengelighets-API uten at brukeren visste det. Problemet er løst ved å kreve administratorgodkjenning for å bruke tilgjengelighets-API til enkeltprogrammer.

  CVE-ID

  CVE-2014-4427: Paul S. Ziegler i Reflare UG

• Bash

  Virkning: I visse konfigurasjoner er det mulig at en ekstern angriper kan utføre vilkårlige skallkommandoer

  Beskrivelse: Det var et problem i Bash' tolkning av miljøvariabler. Problemet ble løst gjennom forbedret tolking av miljøvariabler og bedre registrering av funksjonssluttsetningen.

  Oppdateringen innbefatter også den foreslåtte CVE-2014-7169-endringen, som nullstiller tolkertilstanden.

  I tillegg legger denne oppdateringen til en ny navneplass for eksporterte funksjoner ved å opprette en funksjonsdekorasjon for å hindre utilsiktet hodegjennomgang til Bash. Det kreves at navnene på alle miljøvariabler som introduserer funksjonsdefinisjoner, har prefikset «__BASH_FUNC<» og suffikset «>()» for å unngå utilsiktet funksjonsoverføring via HTTP -hoder.

  CVE-ID

  CVE-2014-6271: Stephane Chazelas

  CVE-2014-7169: Tavis Ormandy

• Bluetooth

  Virkning: En skadelig Bluetooth-inndataenhet kan omgå sammenkobling

  Beskrivelse: Ukrypterte forbindelser var tillatt fra Human Interface Device-class Bluetooth Low Energy-enheter. Hvis en Mac var sammenkoblet med en slik enhet, kunne en angriper forlede den lovlige enheten til å opprette en forbindelse. Problemet ble løst ved å nekte ukrypterte HID-tilkoblinger.

  CVE-ID

  CVE-2014-4428: Mike Ryan i iSEC Partners

• CFPreferences

  Virkning: Valget «Krev passord etter dvale eller skjermsparer» trådte kanskje ikke i kraft før etter en omstart

  Beskrivelse: Det var et problem med øktbehandlingen i håndteringen av systemvalginnstillinger. Dette problemet ble løst ved forbedret sporing av økter.

  CVE-ID

  CVE-2014-4425

• Retningslinjer for sertifikatgodkjenning

  Virkning: Oppdatering av retningslinjer for sertifikatgodkjenning

  Beskrivelse: Retningslinjene for sertifikatgodkjenning ble oppdatert. Den komplette listen over sertifikater kan vises på http://support.apple.com/kb/HT6005?viewlocale=no_NO.

• CoreStorage

  Virkning: Et kryptert volum kan forbli ulåst når det mates ut

  Beskrivelse: Når et kryptert volum logisk ble matet ut mens det var aktivert, ble volumet deaktivert, men nøklene ble beholdt, slik at det kunne ha blitt aktivert igjen uten passordet. Problemet ble løst ved å slette nøklene ved utmating.

  CVE-ID

  CVE-2014-4430: Benjamin King i See Ben Click Computer Services LLC, Karsten Iwen, Dustin Li (http://dustin.li/), Ken J. Takekoshi og andre anonyme forskere

• CUPS

  Virkning: En lokal bruker kan utføre vilkårlig kode med systemrettigheter

  Beskrivelse: Når CUPS-webgrensesnittet betjente filer, fulgte det symbolske koblinger. En lokal bruker kunne opprette symbolske koblinger til vilkårlige filer og hente dem via webgrensesnittet. Problemet ble løst ved ikke å tillate betjening av symbolske koblinger via CUPS-webgrensesnittet.

  CVE-ID

  CVE-2014-3537

• Dock

  Viskning: Under visse omstendigheter kan vinduer være synlige selv om skjermen er låst

  Beskrivelse: Det var et problem med tilstandsadministrasjon i håndteringen av skjermlåsen. Problemet ble løst gjennom forbedret tilstandssporing.

  CVE-ID

  CVE-2014-4431: Emil Sjölander ved Umeå universitet

• fdesetup

  Virkning: Kommandoen fdesetup kan gi villedende status for krypteringstilstanden på disk

  Beskrivelse: Etter oppdatering av innstillinger, men før omstart, ga kommandoen fdesetup en villedende status. Problemet ble løst ved forbedret statusrapportering.

  CVE-ID

  CVE-2014-4432

• iCloud Finn Mac

  Virkning: PIN-koden for iCloud Mistet-modus kan bli brutt opp

  Beskrivelse: Et problem med vedvarende tilstand ved hastighetsbegrensning tillot innbruddsangrep på PIN-koden for iCloud Mistet-modus. Problemet ble løst gjennom forbedret vedvarende tilstand på tvers av omstarter.

  CVE-ID

  CVE-2014-4435: knoy

• IOAcceleratorFamily

  Virkning: Et program kan forårsake tjenestenekting

  Beskrivelse: Det var en dereferanse til en tom peker i IntelAccelerator-driveren. Problemet ble løst gjennom forbedret feilhåndtering.

  CVE-ID

  CVE-2014-4373: cunzhang ved Adlab i Venustech

• IOHIDFamily

  Virkning: Et skadelig program kan kanskje utføre vilkårlig kode med systemrettigheter

  Beskrivelse: Det forelå en nullpeker-dereferanse i IOHIDFamilys håndtering av tasttilordningsegenskaper. Problemet ble løst gjennom forbedret validering av IOHIDFamilys nøkkeltilordningsegenskaper.

  CVE-ID

  CVE-2014-4405: Ian Beer ved Google Project Zero

• IOHIDFamily

  Virkning: Et skadelig program kan kanskje utføre vilkårlig kode med systemrettigheter

  Beskrivelse: Det var et problem med heap-bufferoverflyt i IOHIDFamilys håndtering av tasttilordningsegenskaper. Dette problemet ble løst gjennom forbedret grensekontroll.

  CVE-ID

  CVE-2014-4404: Ian Beer ved Google Project Zero

• IOHIDFamily

  Virkning: Et program kan forårsake tjenestenekting

  Beskrivelse: Det var hukommelseslesing utenfor grensene i IOHIDFamilys driver. Problemet ble løst ved forbedret validering av inndata.

  CVE-ID

  CVE-2014-4436: cunzhang ved Adlab i Venustech

• IOHIDFamily

  Virkning: En bruker kan kanskje utføre vilkårlig kode med systemrettigheter

  Beskrivelse: Det var et problem med skriving utenfor grensene i IOHIDFamilys driver. Problemet ble løst ved forbedret validering av inndata.

  CVE-ID

  CVE-2014-4380: cunzhang ved Adlab i Venustech

• IOKit

  Virkning: Et skadelig program kan kanskje lese ikke-initialiserte data fra kjernehukommelsen

  Beskrivelse: Det var et problem med tilgang til ikke-initialisert hukommelse i håndteringen av IOKit-funksjoner. Problemet ble løst ved forbedret initialisering av hukommelsen.

  CVE-ID

  CVE-2014-4407: @PanguTeam

• IOKit

  Virkning: Et skadelig program kan kanskje utføre vilkårlig kode med systemrettigheter

  Beskrivelse: Det var et problem med valideringen ved håndtering av visse metadatafelter i IODataQueue-objekter. Problemet ble løst gjennom forbedret kontroll av metadata.

  CVE-ID

  CVE-2014-4388: @PanguTeam

• IOKit

  Virkning: Et skadelig program kan kanskje utføre vilkårlig kode med systemrettigheter

  Beskrivelse: Det var et problem med valideringen ved håndtering av visse metadatafelter i IODataQueue-objekter. Problemet ble løst gjennom forbedret kontroll av metadata.

  CVE-ID

  CVE-2014-4418: Ian Beer ved Google Project Zero

• Kjerne

  Virkning: En lokal bruker kan bli i stand til å bestemme oppsett av kjernehukommelse

  Beskrivelse: Det var flere problemer med ikke-initialisert hukommelse i grensesnittet for nettverksstatistikk, som førte til at innhold i kjernehukommelsen ble avdekket. Problemet ble løst gjennom ekstra initialisering av hukommelse.

  CVE-ID

  CVE-2014-4371: Fermin J. Serna i Google Security Team

  CVE-2014-4419: Fermin J. Serna i Google Security Team

  CVE-2014-4420: Fermin J. Serna i Google Security Team

  CVE-2014-4421: Fermin J. Serna i Google Security Team

• Kjerne

  Virkning: Et skadelig filsystem kan forårsake uventet systemavslutning eller utføring av vilkårlig kode

  Beskrivelse: Det var et problem med heap-basert bufferoverflyt i håndteringen av HFS-ressursforgreninger. Et skadelig filsystem kan forårsake en uventet systemavslutning eller utføring av vilkårlig kode med kjernerettigheter. Problemet ble løst ved forbedret grensekontroll.

  CVE-ID

  CVE-2014-4433: Maksymilian Arciemowicz

• Kjerne

  Virkning: Et skadelig filsystem kan forårsake uventet systemavslutning

  Beskrivelse: Det var et problem med en NULL-dereferanse i håndteringen av HFS-filnavn. Et skadelig filsystem kan forårsake en uventet systemavslutning. Dette problemet ble løst ved å unngå NULL-dereferansen.

  CVE-ID

  CVE-2014-4434: Maksymilian Arciemowicz

• Kjerne

  Virkning: En lokal bruker kan forårsake at et system avsluttes uventet eller at vilkårlig kode utføres i kjernen

  Beskrivelse: Det var et problem med dobbel frigivelse i håndteringen av Mach-porter. Problemet ble løst gjennom forbedret kontroll av Mach-porter.

  CVE-ID

  CVE-2014-4375: en anonym forsker

• Kjerne

  Virkning: En person i en privilegert nettverksposisjon kan forårsake tjenestenekting

  Beskrivelse: Det var et problem med en race-tilstand i håndteringen av IPv6-pakker. Problemet ble løst gjennom forbedret kontroll av låsetilstanden.

  CVE-ID

  CVE-2011-2391: Marc Heuse

• Kjerne

  Virkning: En lokal bruker kan forårsake at et system avsluttes uventet eller at vilkårlig kode utføres i kjernen

  Beskrivelse: Det var et problem med lesing utenfor grensene i rt_setgate. Det kan føre til avdekking av hukommelse eller skadet hukommelse. Dette problemet ble løst gjennom forbedret grensekontroll.

  CVE-ID

  CVE-2014-4408

• Kjerne

  Virkning: En lokal bruker kan forårsake en uventet systemavslutning

  Beskrivelse: Det kunne oppstå panikk i håndteringen av meldinger som sendes til systemkontroll-sockets. Problemet ble løst ved ekstra kontroll av meldinger.

  CVE-ID

  CVE-2014-4442: Darius Davis i VMware

• Kjerne

  Virkning: Enkelte kjerneforsterkningstiltak kan omgås

  Beskrivelse: Den vilkårlige tallgeneratoren som brukes til kjerneforsterkningstiltak tidlig i oppstartsprosessen, var ikke kryptografisk sikker. Noen utdata kunne utledes fra brukerområdet, slik at forsterkningstiltakene kunne omgås. Problemet ble løst ved å bruke en kryptografisk sikker algoritme.

  CVE-ID

  CVE-2014-4422: Tarjei Mandt i Azimuth Security

• LaunchServices

  Virkning: Et lokalt program kan omgå sandkasserestriksjoner

  Beskrivelse: LaunchServices-grensesnittet for angivelse av innholdstypehåndtering tillot programmer i sandkassen å angi håndtering for eksisterende innholdstyper. Et kompromittert program kunne bruke dette til å omgå sandkasserestriksjoner. Problemet ble løst ved å hindre programmer i sandkassen i å angi innholdstypehåndtering.

  CVE-ID

  CVE-2014-4437: Meder Kydyraliev i Google Security Team

• Påloggingsvindu

  Virkning: Noen ganger låser kanskje ikke skjermen seg

  Beskrivelse: Det var en race-tilstand i LoginWindow, som noen ganger kunne hindre skjermen i å låse seg. Problemet ble løst ved å endre rekkefølgen på operasjoner.

  CVE-ID

  CVE-2014-4438: Harry Sintonen i nSense, Alessandro Lobina i Helvetia Insurances, Patryk Szlagowski i Funky Monkey Labs

• E-post

  Virkning: Mail kan sende e-post til ikke-tiltenkte mottakere

  Beskrivelse: En inkonsistens i brukergrensesnittet til Mail-programmet førte til at e-post ble sendt til adresser som var fjernet fra listen over mottakere. Problemet ble løst ved forbedret konsistenskontroll i brukergrensesnittet.

  CVE-ID

  CVE-2014-4439: Patrick J Power i Melbourne, Australia

• MCX Desktop Config Profiles

  Virkning: Innstillingene ble ikke fjernet når mobile konfigurasjonsprofiler ble avinstallert

  Beskrivelse: Webproxy-innstillinger som hadde blitt installert av en mobil konfigurasjonsprofil, ble ikke fjernet når profilen ble avinstallert. Problemet ble løst ved forbedret håndtering av profilavinstallering.

  CVE-ID

  CVE-2014-4440: Kevin Koster i Cloudpath Networks

• NetFS Client Framework

  Virkning: Fildeling kan komme i en tilstand der den ikke kan deaktiveres

  Beskrivelse: Det var et problem med tilstandsbehandlingen i fildelingsrammeverket. Dette problemet ble løst ved forbedret tilstandshåndtering.

  CVE-ID

  CVE-2014-4441: Eduardo Bonsi i BEARTCOMMUNICATIONS

• QuickTime

  Virkning: Avspilling av en skadelig m4a-fil kan føre til at et program avsluttes uventet eller at vilkårlig kode kjøres

  Beskrivelse: Det var bufferoverflyt i håndteringen av lydprøver. Dette problemet ble løst gjennom forbedret grensekontroll.

  CVE-ID

  CVE-2014-4351: Karl Smith i NCC Group

• Safari

  Virkning: Loggen over de sist besøkte sidene i en åpen fane kan bli beholdt etter at sidene er slettet fra loggen

  Beskrivelse: Tømming av Safaris logg fjernet ikke loggen for framover/bakover i åpne faner. Problemet ble løst ved å loggen for framover/bakover.

  CVE-ID

  CVE-2013-5150

• Safari

  Virkning: Åpning for push-varslinger fra et skadelig nettsted kunne føre til at man gikk glipp av framtidige push-varslinger i Safari

  Beskrivelse: Det var et problem med unntak som ikke ble fanget opp i SafariNotificationAgents håndtering av push-varslinger i Safari. Problemet ble løst gjennom forbedret håndtering av push-varslinger i Safari.

  CVE-ID

  CVE-2014-4417: Marek Isalski i Faelix Limited

• Secure Transport

  Virkning: En angriper kan dekryptere data som er beskyttet av SSL

  Beskrivelse: Det finnes kjente angrep på personlig informasjon beskyttet av SSL 3.0 når en chiffersamling bruker en blokkchiffrering i CBC-modus. En angriper kunne tvinge gjennom bruk av SSL 3.0 selv om tjeneren støttet en bedre TLS-versjon ved å blokkere TLS 1.0- og høyere tilkoblingsforsøk. Problemet ble løst ved å deaktivere CBC-chiffersamlinger når TLS-tilkoblingsforsøk mislykkes.

  CVE-ID

  CVE-2014-3566: Bodo Moeller, Thai Duong og Krzysztof Kotowicz i Google Security Team

• Sikkerhet

  Virkning: En ekstern angriper kan forårsake tjenestenekting

  Beskrivelse: Det var en null-dereferanse i håndteringen av ASN.1-data. Dette problemet ble løst gjennom ekstra validering av ASN.1-data.

  CVE-ID

  CVE-2014-4443: Coverity

• Sikkerhet

  Virkning: En lokal bruker kan ha tilgang til en annen brukers Kerberos-billetter

  Beskrivelse: Det var et problem med tilstandsbehandlingen i SecurityAgent. Ved raskt brukerbytte vil Kerberos-billetten til brukeren som det byttes til, noen ganger bli plassert i bufferen til den forrige brukeren. Dette problemet ble løst ved forbedret tilstandshåndtering.

  CVE-ID

  CVE-2014-4444: Gary Simon ved Sandia National Laboratories, Ragnar Sundblad ved KTH Royal Institute of Technology, Eugene Homyakov ved Kaspersky Lab

• Sikkerhet - Kodesignering

  Virkning: Programmer det er tuklet med, vil kanskje ikke bli hindret i å starte

  Beskrivelse: Apper som er signert for OS X før OS X Mavericks 10.9, eller apper med tilpassede ressursregler, kan være utsatt for tukling som kan gjøre signaturen ugyldig. På systemer som er satt opp for å tillate bare apper fra Mac App Store og identifiserte utviklere, kunne en nedlastet modifisert app ha blitt tillatt å kjøre som om den var lovlig. Problemet ble løst ved å ignorere signaturer på pakker med ressurskonvolutter som utelater ressurser som kan påvirke utføringen. OS X Mavericks v10.9.5 og sikkerhetsoppdatering 2014-004 for OS X Mountain Lion v10.8.5 inneholder allerede disse endringene.

  CVE-ID

  CVE-2014-4391: Christopher Hickstein som arbeider med HPs Zero Day Initiative

Merk: OS X Yosemite inkluderer Safari 8.0, som innbefatter sikkerhetsinnhold for Safari 7.1. Hvis du ønsker mer informasjon, kan du se Om sikkerhetsinnholdet i Safari 7.1.