Om sikkerhetsinnholdet i OS X Yosemite v10.10

Dette dokumentet beskriver sikkerhetsinnholdet i OS X Yosemite v10.10.

Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelig. Du finner mer informasjon om Apple Produktsikkerhet på nettstedet Apple Produktsikkerhet.

Du finner mer informasjon om PGP-nøkkelen fra Apple Produktsikkerhet under Slik bruker du PGP-nøkkelen fra Apple Produktsikkerhet.

Der det er mulig, brukes CVE-ID-er som henvisning til svakhetene, slik at man kan finne mer informasjon.

Hvis du vil vite mer om andre sikkerhetsoppdateringer, kan du se Apple sikkerhetsoppdateringer.

OS X Yosemite v10.10

  • 802.1X

    Virkning: En angriper kan få tak i WiFi-akkreditiver

    Beskrivelse: En angriper kunne ha gitt seg ut for å være et WiFi-tilgangspunkt, tilbudt seg å godkjenne med LEAP, brutt MS-CHAPv1-hash-koden og brukt utledete akkreditiver for å få godkjenning fra det tiltenkte tilgangspunktet selv om tilgangspunktet støtter sterkere godkjenningsmetoder. Dette problemet ble løst ved å deaktivere LEAP som standard.

    CVE-ID

    CVE-2014-4364: Pieter Robyns, Bram Bonne, Peter Quax og Wim Lamotte ved Universiteit Hasselt

  • AFP File Server

    Virkning: En ekstern angriper kunne finne alle nettverksadressene til systemet

    Beskrivelse: AFP-filtjeneren støttet en kommando som returnerte alle nettverksadressene til systemet. Problemet ble løst ved å fjerne adressene fra resultatet.

    CVE-ID

    CVE-2014-4426: Craig Young i Tripwire VERT

  • Apache

    Virkning: Flere sårbarheter i Apache

    Beskrivelse: Det var flere sårbarheter i Apache, og de alvorligste kan føre til tjenestenekting. Disse problemene ble løst ved å oppdatere Apache til versjon 2.4.9.

    CVE-ID

    CVE-2013-6438

    CVE-2014-0098

  • App Sandbox

    Virkning: Et program som er innskrenket av sandkasserestriksjoner, kan misbruke tilgjengelighets-API

    Beskrivelse: Et program i sandkassen kunne misbruke tilgjengelighets-API uten at brukeren visste det. Problemet er løst ved å kreve administratorgodkjenning for å bruke tilgjengelighets-API til enkeltprogrammer.

    CVE-ID

    CVE-2014-4427: Paul S. Ziegler i Reflare UG

  • Bash

    Virkning: I visse konfigurasjoner er det mulig at en ekstern angriper kan utføre vilkårlige skallkommandoer

    Beskrivelse: Det var et problem i Bash' tolkning av miljøvariabler. Problemet ble løst gjennom forbedret tolking av miljøvariabler og bedre registrering av funksjonssluttsetningen.

    Oppdateringen innbefatter også den foreslåtte CVE-2014-7169-endringen, som nullstiller tolkertilstanden.

    I tillegg legger denne oppdateringen til en ny navneplass for eksporterte funksjoner ved å opprette en funksjonsdekorasjon for å hindre utilsiktet hodegjennomgang til Bash. Det kreves at navnene på alle miljøvariabler som introduserer funksjonsdefinisjoner, har prefikset «__BASH_FUNC<» og suffikset «>()» for å unngå utilsiktet funksjonsoverføring via HTTP -hoder.

    CVE-ID

    CVE-2014-6271: Stephane Chazelas

    CVE-2014-7169: Tavis Ormandy

  • Bluetooth

    Virkning: En skadelig Bluetooth-inndataenhet kan omgå sammenkobling

    Beskrivelse: Ukrypterte forbindelser var tillatt fra Human Interface Device-class Bluetooth Low Energy-enheter. Hvis en Mac var sammenkoblet med en slik enhet, kunne en angriper forlede den lovlige enheten til å opprette en forbindelse. Problemet ble løst ved å nekte ukrypterte HID-tilkoblinger.

    CVE-ID

    CVE-2014-4428: Mike Ryan i iSEC Partners

  • CFPreferences

    Virkning: Valget «Krev passord etter dvale eller skjermsparer» trådte kanskje ikke i kraft før etter en omstart

    Beskrivelse: Det var et problem med øktbehandlingen i håndteringen av systemvalginnstillinger. Dette problemet ble løst ved forbedret sporing av økter.

    CVE-ID

    CVE-2014-4425

  • Retningslinjer for sertifikatgodkjenning

    Virkning: Oppdatering av retningslinjer for sertifikatgodkjenning

    Beskrivelse: Retningslinjene for sertifikatgodkjenning ble oppdatert. Den komplette listen over sertifikater kan vises på http://support.apple.com/kb/HT6005?viewlocale=no_NO.

  • CoreStorage

    Virkning: Et kryptert volum kan forbli ulåst når det mates ut

    Beskrivelse: Når et kryptert volum logisk ble matet ut mens det var aktivert, ble volumet deaktivert, men nøklene ble beholdt, slik at det kunne ha blitt aktivert igjen uten passordet. Problemet ble løst ved å slette nøklene ved utmating.

    CVE-ID

    CVE-2014-4430: Benjamin King i See Ben Click Computer Services LLC, Karsten Iwen, Dustin Li (http://dustin.li/), Ken J. Takekoshi og andre anonyme forskere

  • CUPS

    Virkning: En lokal bruker kan utføre vilkårlig kode med systemrettigheter

    Beskrivelse: Når CUPS-webgrensesnittet betjente filer, fulgte det symbolske koblinger. En lokal bruker kunne opprette symbolske koblinger til vilkårlige filer og hente dem via webgrensesnittet. Problemet ble løst ved ikke å tillate betjening av symbolske koblinger via CUPS-webgrensesnittet.

    CVE-ID

    CVE-2014-3537

  • Dock

    Viskning: Under visse omstendigheter kan vinduer være synlige selv om skjermen er låst

    Beskrivelse: Det var et problem med tilstandsadministrasjon i håndteringen av skjermlåsen. Problemet ble løst gjennom forbedret tilstandssporing.

    CVE-ID

    CVE-2014-4431: Emil Sjölander ved Umeå universitet

  • fdesetup

    Virkning: Kommandoen fdesetup kan gi villedende status for krypteringstilstanden på disk

    Beskrivelse: Etter oppdatering av innstillinger, men før omstart, ga kommandoen fdesetup en villedende status. Problemet ble løst ved forbedret statusrapportering.

    CVE-ID

    CVE-2014-4432

  • iCloud Finn Mac

    Virkning: PIN-koden for iCloud Mistet-modus kan bli brutt opp

    Beskrivelse: Et problem med vedvarende tilstand ved hastighetsbegrensning tillot innbruddsangrep på PIN-koden for iCloud Mistet-modus. Problemet ble løst gjennom forbedret vedvarende tilstand på tvers av omstarter.

    CVE-ID

    CVE-2014-4435: knoy

  • IOAcceleratorFamily

    Virkning: Et program kan forårsake tjenestenekting

    Beskrivelse: Det var en dereferanse til en tom peker i IntelAccelerator-driveren. Problemet ble løst gjennom forbedret feilhåndtering.

    CVE-ID

    CVE-2014-4373: cunzhang ved Adlab i Venustech

  • IOHIDFamily

    Virkning: Et skadelig program kan kanskje utføre vilkårlig kode med systemrettigheter

    Beskrivelse: Det forelå en nullpeker-dereferanse i IOHIDFamilys håndtering av tasttilordningsegenskaper. Problemet ble løst gjennom forbedret validering av IOHIDFamilys nøkkeltilordningsegenskaper.

    CVE-ID

    CVE-2014-4405: Ian Beer ved Google Project Zero

  • IOHIDFamily

    Virkning: Et skadelig program kan kanskje utføre vilkårlig kode med systemrettigheter

    Beskrivelse: Det var et problem med heap-bufferoverflyt i IOHIDFamilys håndtering av tasttilordningsegenskaper. Dette problemet ble løst gjennom forbedret grensekontroll.

    CVE-ID

    CVE-2014-4404: Ian Beer ved Google Project Zero

  • IOHIDFamily

    Virkning: Et program kan forårsake tjenestenekting

    Beskrivelse: Det var hukommelseslesing utenfor grensene i IOHIDFamilys driver. Problemet ble løst ved forbedret validering av inndata.

    CVE-ID

    CVE-2014-4436: cunzhang ved Adlab i Venustech

  • IOHIDFamily

    Virkning: En bruker kan kanskje utføre vilkårlig kode med systemrettigheter

    Beskrivelse: Det var et problem med skriving utenfor grensene i IOHIDFamilys driver. Problemet ble løst ved forbedret validering av inndata.

    CVE-ID

    CVE-2014-4380: cunzhang ved Adlab i Venustech

  • IOKit

    Virkning: Et skadelig program kan kanskje lese ikke-initialiserte data fra kjernehukommelsen

    Beskrivelse: Det var et problem med tilgang til ikke-initialisert hukommelse i håndteringen av IOKit-funksjoner. Problemet ble løst ved forbedret initialisering av hukommelsen.

    CVE-ID

    CVE-2014-4407: @PanguTeam

  • IOKit

    Virkning: Et skadelig program kan kanskje utføre vilkårlig kode med systemrettigheter

    Beskrivelse: Det var et problem med valideringen ved håndtering av visse metadatafelter i IODataQueue-objekter. Problemet ble løst gjennom forbedret kontroll av metadata.

    CVE-ID

    CVE-2014-4388: @PanguTeam

  • IOKit

    Virkning: Et skadelig program kan kanskje utføre vilkårlig kode med systemrettigheter

    Beskrivelse: Det var et problem med valideringen ved håndtering av visse metadatafelter i IODataQueue-objekter. Problemet ble løst gjennom forbedret kontroll av metadata.

    CVE-ID

    CVE-2014-4418: Ian Beer ved Google Project Zero

  • Kjerne

    Virkning: En lokal bruker kan bli i stand til å bestemme oppsett av kjernehukommelse

    Beskrivelse: Det var flere problemer med ikke-initialisert hukommelse i grensesnittet for nettverksstatistikk, som førte til at innhold i kjernehukommelsen ble avdekket. Problemet ble løst gjennom ekstra initialisering av hukommelse.

    CVE-ID

    CVE-2014-4371: Fermin J. Serna i Google Security Team

    CVE-2014-4419: Fermin J. Serna i Google Security Team

    CVE-2014-4420: Fermin J. Serna i Google Security Team

    CVE-2014-4421: Fermin J. Serna i Google Security Team

  • Kjerne

    Virkning: Et skadelig filsystem kan forårsake uventet systemavslutning eller utføring av vilkårlig kode

    Beskrivelse: Det var et problem med heap-basert bufferoverflyt i håndteringen av HFS-ressursforgreninger. Et skadelig filsystem kan forårsake en uventet systemavslutning eller utføring av vilkårlig kode med kjernerettigheter. Problemet ble løst ved forbedret grensekontroll.

    CVE-ID

    CVE-2014-4433: Maksymilian Arciemowicz

  • Kjerne

    Virkning: Et skadelig filsystem kan forårsake uventet systemavslutning

    Beskrivelse: Det var et problem med en NULL-dereferanse i håndteringen av HFS-filnavn. Et skadelig filsystem kan forårsake en uventet systemavslutning. Dette problemet ble løst ved å unngå NULL-dereferansen.

    CVE-ID

    CVE-2014-4434: Maksymilian Arciemowicz

  • Kjerne

    Virkning: En lokal bruker kan forårsake at et system avsluttes uventet eller at vilkårlig kode utføres i kjernen

    Beskrivelse: Det var et problem med dobbel frigivelse i håndteringen av Mach-porter. Problemet ble løst gjennom forbedret kontroll av Mach-porter.

    CVE-ID

    CVE-2014-4375: en anonym forsker

  • Kjerne

    Virkning: En person i en privilegert nettverksposisjon kan forårsake tjenestenekting

    Beskrivelse: Det var et problem med en race-tilstand i håndteringen av IPv6-pakker. Problemet ble løst gjennom forbedret kontroll av låsetilstanden.

    CVE-ID

    CVE-2011-2391: Marc Heuse

  • Kjerne

    Virkning: En lokal bruker kan forårsake at et system avsluttes uventet eller at vilkårlig kode utføres i kjernen

    Beskrivelse: Det var et problem med lesing utenfor grensene i rt_setgate. Det kan føre til avdekking av hukommelse eller skadet hukommelse. Dette problemet ble løst gjennom forbedret grensekontroll.

    CVE-ID

    CVE-2014-4408

  • Kjerne

    Virkning: En lokal bruker kan forårsake en uventet systemavslutning

    Beskrivelse: Det kunne oppstå panikk i håndteringen av meldinger som sendes til systemkontroll-sockets. Problemet ble løst ved ekstra kontroll av meldinger.

    CVE-ID

    CVE-2014-4442: Darius Davis i VMware

  • Kjerne

    Virkning: Enkelte kjerneforsterkningstiltak kan omgås

    Beskrivelse: Den vilkårlige tallgeneratoren som brukes til kjerneforsterkningstiltak tidlig i oppstartsprosessen, var ikke kryptografisk sikker. Noen utdata kunne utledes fra brukerområdet, slik at forsterkningstiltakene kunne omgås. Problemet ble løst ved å bruke en kryptografisk sikker algoritme.

    CVE-ID

    CVE-2014-4422: Tarjei Mandt i Azimuth Security

  • LaunchServices

    Virkning: Et lokalt program kan omgå sandkasserestriksjoner

    Beskrivelse: LaunchServices-grensesnittet for angivelse av innholdstypehåndtering tillot programmer i sandkassen å angi håndtering for eksisterende innholdstyper. Et kompromittert program kunne bruke dette til å omgå sandkasserestriksjoner. Problemet ble løst ved å hindre programmer i sandkassen i å angi innholdstypehåndtering.

    CVE-ID

    CVE-2014-4437: Meder Kydyraliev i Google Security Team

  • Påloggingsvindu

    Virkning: Noen ganger låser kanskje ikke skjermen seg

    Beskrivelse: Det var en race-tilstand i LoginWindow, som noen ganger kunne hindre skjermen i å låse seg. Problemet ble løst ved å endre rekkefølgen på operasjoner.

    CVE-ID

    CVE-2014-4438: Harry Sintonen i nSense, Alessandro Lobina i Helvetia Insurances, Patryk Szlagowski i Funky Monkey Labs

  • E-post

    Virkning: Mail kan sende e-post til ikke-tiltenkte mottakere

    Beskrivelse: En inkonsistens i brukergrensesnittet til Mail-programmet førte til at e-post ble sendt til adresser som var fjernet fra listen over mottakere. Problemet ble løst ved forbedret konsistenskontroll i brukergrensesnittet.

    CVE-ID

    CVE-2014-4439: Patrick J Power i Melbourne, Australia

  • MCX Desktop Config Profiles

    Virkning: Innstillingene ble ikke fjernet når mobile konfigurasjonsprofiler ble avinstallert

    Beskrivelse: Webproxy-innstillinger som hadde blitt installert av en mobil konfigurasjonsprofil, ble ikke fjernet når profilen ble avinstallert. Problemet ble løst ved forbedret håndtering av profilavinstallering.

    CVE-ID

    CVE-2014-4440: Kevin Koster i Cloudpath Networks

  • NetFS Client Framework

    Virkning: Fildeling kan komme i en tilstand der den ikke kan deaktiveres

    Beskrivelse: Det var et problem med tilstandsbehandlingen i fildelingsrammeverket. Dette problemet ble løst ved forbedret tilstandshåndtering.

    CVE-ID

    CVE-2014-4441: Eduardo Bonsi i BEARTCOMMUNICATIONS

  • QuickTime

    Virkning: Avspilling av en skadelig m4a-fil kan føre til at et program avsluttes uventet eller at vilkårlig kode kjøres

    Beskrivelse: Det var bufferoverflyt i håndteringen av lydprøver. Dette problemet ble løst gjennom forbedret grensekontroll.

    CVE-ID

    CVE-2014-4351: Karl Smith i NCC Group

  • Safari

    Virkning: Loggen over de sist besøkte sidene i en åpen fane kan bli beholdt etter at sidene er slettet fra loggen

    Beskrivelse: Tømming av Safaris logg fjernet ikke loggen for framover/bakover i åpne faner. Problemet ble løst ved å loggen for framover/bakover.

    CVE-ID

    CVE-2013-5150

  • Safari

    Virkning: Åpning for push-varslinger fra et skadelig nettsted kunne føre til at man gikk glipp av framtidige push-varslinger i Safari

    Beskrivelse: Det var et problem med unntak som ikke ble fanget opp i SafariNotificationAgents håndtering av push-varslinger i Safari. Problemet ble løst gjennom forbedret håndtering av push-varslinger i Safari.

    CVE-ID

    CVE-2014-4417: Marek Isalski i Faelix Limited

  • Secure Transport

    Virkning: En angriper kan dekryptere data som er beskyttet av SSL

    Beskrivelse: Det finnes kjente angrep på personlig informasjon beskyttet av SSL 3.0 når en chiffersamling bruker en blokkchiffrering i CBC-modus. En angriper kunne tvinge gjennom bruk av SSL 3.0 selv om tjeneren støttet en bedre TLS-versjon ved å blokkere TLS 1.0- og høyere tilkoblingsforsøk. Problemet ble løst ved å deaktivere CBC-chiffersamlinger når TLS-tilkoblingsforsøk mislykkes.

    CVE-ID

    CVE-2014-3566: Bodo Moeller, Thai Duong og Krzysztof Kotowicz i Google Security Team

  • Sikkerhet

    Virkning: En ekstern angriper kan forårsake tjenestenekting

    Beskrivelse: Det var en null-dereferanse i håndteringen av ASN.1-data. Dette problemet ble løst gjennom ekstra validering av ASN.1-data.

    CVE-ID

    CVE-2014-4443: Coverity

  • Sikkerhet

    Virkning: En lokal bruker kan ha tilgang til en annen brukers Kerberos-billetter

    Beskrivelse: Det var et problem med tilstandsbehandlingen i SecurityAgent. Ved raskt brukerbytte vil Kerberos-billetten til brukeren som det byttes til, noen ganger bli plassert i bufferen til den forrige brukeren. Dette problemet ble løst ved forbedret tilstandshåndtering.

    CVE-ID

    CVE-2014-4444: Gary Simon ved Sandia National Laboratories, Ragnar Sundblad ved KTH Royal Institute of Technology, Eugene Homyakov ved Kaspersky Lab

  • Sikkerhet - Kodesignering

    Virkning: Programmer det er tuklet med, vil kanskje ikke bli hindret i å starte

    Beskrivelse: Apper som er signert for OS X før OS X Mavericks 10.9, eller apper med tilpassede ressursregler, kan være utsatt for tukling som kan gjøre signaturen ugyldig. På systemer som er satt opp for å tillate bare apper fra Mac App Store og identifiserte utviklere, kunne en nedlastet modifisert app ha blitt tillatt å kjøre som om den var lovlig. Problemet ble løst ved å ignorere signaturer på pakker med ressurskonvolutter som utelater ressurser som kan påvirke utføringen. OS X Mavericks v10.9.5 og sikkerhetsoppdatering 2014-004 for OS X Mountain Lion v10.8.5 inneholder allerede disse endringene.

    CVE-ID

    CVE-2014-4391: Christopher Hickstein som arbeider med HPs Zero Day Initiative

Merk: OS X Yosemite inkluderer Safari 8.0, som innbefatter sikkerhetsinnhold for Safari 7.1. Hvis du ønsker mer informasjon, kan du se Om sikkerhetsinnholdet i Safari 7.1.

Informasjon om produkter som ikke produseres av Apple, eller om uavhengige nettsteder som ikke styres eller testes av Apple, gis uten anbefalinger eller bifall. Apple påtar seg ikke noe ansvar med hensyn til utvalg, ytelse eller bruk av tredjeparts nettsteder eller produkter. Apple har ingen forestillinger angående nøyaktigheten eller påliteligheten til tredjeparts nettsteder. Det finnes en iboende risiko ved bruk av Internett. Ta kontakt med leverandøren for å få mer informasjon. Andre firma- og produktnavn kan være varemerker for de respektive innehaverne.

Publiseringsdato: