Om sikkerhetsinnholdet i Mac OS X 10.4.8-oppdateringen og sikkerhetsoppdatering 2006-006

Dette dokumentet beskriver sikkerhetsoppdatering 2006-006 og sikkerhetsinnholdet i Mac OS X 10.4.8-oppdateringen, som kan lastes ned og installeres via Programvareoppdatering, eller fra Apple-nedlastinger.

Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelige. Du finner mer informasjon om Apple-produktsikkerhet på nettstedet for Apple-produktsikkerhet.

Mer informasjon finnes her: Slik bruker du PGP-nøkkelen for Apple-produktsikkerhet.

Der det er mulig, brukes CVE-ID-er som henvisning for ytterligere informasjon om svakhetene.

Mer informasjon om andre sikkerhetsoppdateringer finnes her: Apple-sikkerhetsoppdateringer.

Mac OS X v10.4.8 og sikkerhetsoppdatering 2006-006

• CFNetwork

  CVE-ID: CVE-2006-4390

  Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 til Mac OS X v10.4.7, Mac OS X Server v10.4 til Mac OS X Server v10.4.7

  Virkning: CFNetwork-klienter, for eksempel Safari, kan tillate at uautentiserte SSL-nettsteder vises som autentiserte

  Beskrivelse: Tilkoblinger opprettet med SSL er vanligvis autentiserte og krypterte. Når kryptering er implementert uten autentisering, kan skadelige nettsteder gi seg ut for å være pålitelige nettsteder. I tilfellet med Safari kan dette føre til at låseikonet vises når identiteten til et eksternt nettsted ikke kan stoles på. Denne oppdateringen håndterer problemet ved at anonyme SSL-tilkoblinger ikke er tillatt som standard. Takk til Adam Bryzak fra Queensland University of Technology som rapporterte dette problemet.

• Flash Player

  CVE-ID: CVE-2006-3311, CVE-2006-3587, CVE-2006-3588, CVE-2006-4640

  Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 til Mac OS X v10.4.7, Mac OS X Server v10.4 til Mac OS X Server v10.4.7

  Virkning: Avspilling av Flash-innhold kan føre til utføring av vilkårlig kode

  Beskrivelse: Adobe Flash Player inneholder kritiske sårbarheter som kan føre til utføring av vilkårlig kode ved håndtering av skadelig innhold. Denne oppdateringen håndterer problemet ved å innlemme versjon 9.0.16.0 av Flash Player på Mac OS X v10.3.9 og versjon 9.0.20.0 av Flash Player på Mac OS X v.10.4-systemer.

  Du finner mer informasjon om dette på Adobe-nettstedet http://www.adobe.com/support/security/bulletins/apsb06-11.html.

• ImageIO

  CVE-ID: CVE-2006-4391

  Tilgjengelig for: Mac OS X v10.4 til Mac OS X v10.4.7, Mac OS X Server v10.4 til Mac OS X Server v10.4.7

  Virkning: Visning av et skadelig JPEG2000-bilde kan føre til et appkrasj eller utføring av vilkårlig kode

  Beskrivelse: Gjennom nøye oppretting av et korrupt JPEG2000-bilde kan en angriper utløse en bufferoverflyt, noe som kan føre til et appkrasj eller utføring av vilkårlig kode. Denne oppdateringen håndterer problemet ved å utføre ytterligere validering av JPEG2000-bilder. Dette problemet påvirker ikke systemer eldre enn Mac OS X v10.4. Takk til Tom Saxton fra Idle Loop Software Design som rapporterte dette problemet.

• Kernel

  CVE-ID: CVE-2006-4392

  Tilgjengelig for: Mac OS X v10.4 til Mac OS X v10.4.7, Mac OS X Server v10.4 til Mac OS X Server v10.4.7

  Virkning: Lokale brukere kan utføre vilkårlig kode med avanserte rettigheter

  Beskrivelse: En feil ved håndtering av mekanisme i Kernel, kjent som Mach-unntaksporter, tilbyr muligheten til å kontrollere programmer når bestemte typer feil oppstår. Lokale brukere med skadelige intensjoner kan bruke denne mekanismen til å utføre vilkårlig kode i privilegerte programmet hvis det oppstår en feil. Denne oppdateringen håndterer problemet ved å begrense tilgang til Mach-unntaksporter for privilegerte programmer. Takk til Dino Dai Zovi fra Matasano Security som rapporterte dette problemet.

• LoginWindow

  CVE-ID: CVE-2006-4397

  Tilgjengelig for: Mac OS X v10.4 til Mac OS X v10.4.7, Mac OS X Server v10.4 til Mac OS X Server v10.4.7

  Virkning: Etter et mislykket forsøk på å logge på en nettverkskonto kan Kerberos-støtteforespørsler være tilgjengelige for andre lokale brukere

  Beskrivelse: På grunn av en ubehandlet feiltilstand er det ikke sikkert at Kerberos-støtteforespørsler blir skikkelig slettet etter mislykkede forsøk på å logge på en nettverkskonto via loginwindow. Dette kan føre til uautorisert tilgang for andre lokale brukere til en tidligere brukers Kerberos-støtteforespørsler. Denne oppdateringen håndterer problemet ved å tømme påloggingsbufferen etter mislykkede påloggingsforsøk. Dette problemet påvirker ikke systemer eldre enn Mac OS X v10.4. Takk til Patrick Gallagher fra Digital Peaks Corporation som rapporterte dette problemet.

• LoginWindow

  CVE-ID: CVE-2006-4393

  Tilgjengelig for: Mac OS X v10.4 til Mac OS X v10.4.7, Mac OS X Server v10.4 til Mac OS X Server v10.4.7

  Virkning: Kerberos-støtteforespørsler kan være tilgengelige for andre lokale brukere hvis raskt brukerbytte er slått på

  Beskrivelse: En feil i håndteringen av raskt brukerbytte kan tillate at en lokal bruker får tilgang til Kerberos-støtteforespørslene til andre lokale brukere. Raskt brukerbytte er oppdatert for å forhindre dette. Dette problemet påvirker ikke systemer eldre enn Mac OS X v10.4. Takk til Ragnar Sundblad ved Kungliga Tekniska högskolan i Stockholm i Sverige som rapporterte dette problemet.

• LoginWindow

  CVE-ID: CVE-2006-4394

  Tilgjengelig for: Mac OS X v10.4 til Mac OS X v10.4.7, Mac OS X Server v10.4 til Mac OS X Server v10.4.7

  Virkning: Nettverkskontoer kan ha muligheten til å omgå kontroller for tilgang til loginwindow-tjenesten

  Beskrivelse: Kontroller for tjenestetilgang kan brukes til å begrense hvilke brukere kan logge på et system via loginwindow. En logisk feil i loginwindow tillater at nettverkskontoer uten GUID-er kan omgå kontroller for tjenestetilgang. Dette problemet påvirker bare systemer som er konfigurert til å bruke kontroller for tjenestetilgang for loginwindow og for å la nettverkskontoer autentisere brukere uten GUID. Dette problemer er håndtert gjennom riktig håndtering av kontroller for tjenestetilgang i loginwindow. Dette problemet berører ikke eldre systemer enn Mac OS X v10.4.

• Preferences

  CVE-ID: CVE-2006-4387

  Tilgjengelig for: Mac OS X v10.4 til Mac OS X v10.4.7, Mac OS X Server v10.4 til Mac OS X Server v10.4.7

  Virkning: Etter fjerning av en kontos administratorrettigheter kan kontoen fremdeles administrere WebObjects-apper

  Beskrivelse: Oppheving av merkingen i avmerkingsboksen «Tillatt at brukeren administrerer denne datamaskinen» i Systemvalg fører ikke nødvendigvis til at kontoen blir fjernet fra appserveradm- eller appserverusr-gruppene. Disse gruppene tillater at en konto kan administrere WebObjects-apper. Denne oppdateringen håndterer problemet ved å sikre at kontoen blir fjernet fra de riktige gruppene. Dette problemet påvirker ikke systemer eldre enn Mac OS X v10.4. Takk til Phillip Tejada fra Fruit Bat Software som rapporterte dette problemet.

• QuickDraw Manager

  CVE-ID: CVE-2006-4395

  Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 til Mac OS X v10.4.7, Mac OS X Server v10.4 til Mac OS X Server v10.4.7

  Virkning: Åpning av et skadelig PICT-bilde med bestemte apper kan føre til et appkrasj eller utføring av vilkårlig kode

  Beskrivelse: Bestemte apper utfører en ustøttet QuickDraw-handling for å vise PICT-bilder. Gjennom nøye oppretting av et skadet PICT-bilde kan en angriper ødelegge minne i disse appene, noe som kan føre til et appkrasj eller utføring av vilkårlig kode. Denne oppdateringen håndterer problemet ved å forhindre den ustøttede handlingen.

• SASL

  CVE-ID: CVE-2006-1721

  Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 til Mac OS X v10.4.7, Mac OS X Server v10.4 til Mac OS X Server v10.4.7

  Virkning: Eksterne angripere kan føre til tjenestenekt for en IMAP-tjener

  Beskrivelse: Et problem med DIGEST-MD5-forhandlingsstøtte i Cyrus SASL kan føre til en segmentert feil i IMAP-tjeneren med en skadelig områdeoverskrift. Denne oppdateringen håndterer problemet gjennom forbedret håndtering av områdeoverskrifter i autentiseringsforsøk.

• WebCore

  CVE-ID: CVE-2006-3946

  Tilgjengelig for: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 til Mac OS X v10.4.7, Mac OS X Server v10.4 til Mac OS X Server v10.4.7

  Virkning: Visning av en skadelig nettside kan føre til utføring av vilkårlig kode

  Beskrivelse: En feil med håndtering av minne i WebKits håndtering av bestemt HTML kan tillate at et skadelig nettsted fører til et krasj eller utføring av vilkårlig kode mens brukeren ser på nettstedet. Denne oppdateringen håndterer problemet ved å forhindre tilstanden som forårsaker overflyten. Takk til Jens Kutilek fra Netzallee, Lurene Grenier (Senior Research Engineer hos Sourcefire VRT) og Jose Avila III (Security Analyst hos ONZRA) som rapporterte dette problemet.

• Workgroup Manager

  CVE-ID: CVE-2006-4399

  Tilgjengelig for: Mac OS X Server v10.4 til Mac OS X Server v10.4.7

  Virkning: Kontoer i en overordnet NetInfo som ser ut til å bruke ShadowHash-passord, kan fremdeles bruke kryptering

  Beskrivelse: Workgroup Manager ser ut til å tillate bytting av autentiseringstype fra kryptering til ShadowHash-passord i en overordnet NetInfo, selv om det faktisk ikke er tilfelle. Oppdatering av kontovisningen i en overordnet NetInfo indikerer nøyaktig om kryptering fremdeles brukes. Denne oppdateringen håndterer problemet ved å ikke tillate at administratorer kan velge ShadowHash-passord for kontoer i en overordnet NetInfo. Takk til Chris Pepper ved The Rockefeller University som rapporterte dette problemet.

Installasjonsnotat

Programvareoppdatering presenterer oppdateringen som gjelder for systemkonfigurasjonen din. Du trenger bare én.

Sikkerhetsoppdatering 2006-006 blir installert på Mac OS X v10.3.9- og Mac OS X Server v10.3.9-systemer.

Mac OS X v10.4.8 inneholder sikkerhetsløsningene i sikkerhetsoppdatering 2006-006 og blir installert på Mac OS X v10.4 eller nyere samt Mac OS X Server v10.4 eller nyere.