Uaktualnienia zabezpieczeń Apple (od 3 października 2003 r. do 11 stycznia 2005 r.)

W tym dokumencie opisano uaktualnienia zabezpieczeń produktów Apple wydane między 3 października 2003 r. a 11 stycznia 2005 r.

Ważne: informacje na temat późniejszych (nowszych) uaktualnień zabezpieczeń można znaleźć w artykule Uaktualnienia zabezpieczeń Apple.

Informacje na temat starszych uaktualnień zabezpieczeń można znaleźć w artykule Uaktualnienia zabezpieczeń Apple (do sierpnia 2003 r.).

W celu ochrony klientów Apple nie ujawnia, nie omawia ani nie potwierdza problemów dotyczących zabezpieczeń przed ich pełnym zbadaniem i udostępnieniem wszelkich niezbędnych poprawek lub wersji oprogramowania. Więcej informacji o bezpieczeństwie produktów firmy Apple można znaleźć na stronie Product Security Incident Response.

Klucz PGP serwisu Bezpieczeństwo produktów Apple

Więcej informacji można znaleźć w artykule Używanie klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Uaktualnienia zabezpieczeń

Uaktualnienia zabezpieczeń są wymienione poniżej według wersji oprogramowania, w której pojawiły się po raz pierwszy. Tam, gdzie jest to możliwe, w odniesieniu do luk w zabezpieczeniach są używane identyfikatory CVE, aby ułatwić uzyskanie dalszych informacji.

iTunes 4.7.1

Dostępne dla: systemów Mac OS X, Microsoft Windows XP, Microsoft Windows 2000

Identyfikator CVE: CAN-2005-0043

Zagrożenie: złośliwe playlisty mogły spowodować awarię aplikacji iTunes i wykonanie dowolnego kodu.

Opis: aplikacja iTunes obsługuje kilka popularnych formatów playlist. iTunes 4.7.1 naprawia błąd przepełnienia bufora podczas analizowania plików playlist m3u i pls, który mógł powodować awarię wcześniejszych wersji aplikacji iTunes i wykonanie dowolnego kodu. Problem wykrył Sean de Regge (seanderegge[at]hotmail.com), a zgłosiła firma iDEFENSE Labs.

Uaktualnienie zabezpieczeń 2004-12-02

Apache

Dostępne dla: systemów Mac OS X 10.3.6, Mac OS X Server 10.2.8

Identyfikator CVE: CAN-2004-1082

Zagrożenie: uwierzytelnianie Apache mod_digest_apple jest podatne na ataki metodą powtórzenia.

Opis: moduł mod_digest_apple specyficzny dla systemu Mac OS X Server jest oparty na module mod_digest serwera Apache. W wersjach 1.3.31 i 1.3.32 serwera Apache wprowadzono wiele poprawek dotyczących problemu powtórzenia w module mod_digest (CAN-2003-0987). To uaktualnienie naprawia problem powtórzenia w uwierzytelnianiu mod_digest_apple przy użyciu modyfikacji wprowadzonych w Apache 1.3.32.

Apache

Dostępne dla: systemów Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

Identyfikatory CVE: CAN-2003-0020, CAN-2003-0987, CAN-2004-0174, CAN-2004-0488, CAN-2004-0492, CAN-2004-0885, CAN-2004-0940

Zagrożenie: wiele luk w zabezpieczeniach serwera Apache i modułu mod_ssl, w tym lokalna eskalacja uprawnień, zdalna odmowa usługi oraz — w niektórych zmodyfikowanych konfiguracjach — wykonanie dowolnego kodu.

Opis: grupa Apache Group naprawiła szereg luk w zabezpieczeniach między wersjami 1.3.29 i 1.3.33. Strona zabezpieczeń grupy Apache Group dla serwera Apache 1.3 znajduje się pod adresem . Wcześniej zainstalowana wersja serwera Apache to 1.3.29. Domyślna instalacja serwera Apache nie włącza modułu mod_ssl. To uaktualnienie naprawia wszystkie występujące problemy, uaktualniając serwer Apache do wersji 1.3.33 i towarzyszący mu moduł mod_ssl do wersji 2.8.22.

Apache

Dostępne dla: systemów Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

Identyfikator CVE: CAN-2004-1083

Zagrożenie: konfiguracje serwera Apache nie blokowały w pełni dostępu do plików „.DS_Store” lub plików rozpoczynających się od „.ht”.

Opis: domyślna konfiguracja serwera Apache blokuje dostęp do plików zaczynających się od „.ht” z uwzględnieniem wielkości liter. System plików Apple HFS+ zapewnia dostęp do plików w sposób nieuwzględniający wielkości liter. Finder może również tworzyć pliki .DS_Store zawierające nazwy plików w lokalizacjach używanych do obsługi stron internetowych. To uaktualnienie modyfikuje konfigurację serwera Apache, aby ograniczyć dostęp do wszystkich plików zaczynających się od „.ht” lub „.DS_S” bez względu na wielkość liter. Więcej...

Apache

Dostępne dla: systemów Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

Identyfikator CVE: CAN-2004-1084

Zagrożenie: dane plików i zawartość forków zasobów mogą być pobierane za pośrednictwem protokołu HTTP z pominięciem normalnych procedur obsługi plików serwera Apache.

Opis: system plików Apple HFS+ umożliwia plikom korzystanie z wielu strumieni danych. Dostęp do tych strumieni danych można uzyskać bezpośrednio przy użyciu specjalnych nazw plików. Specjalnie spreparowane żądanie HTTP może ominąć procedurę obsługi plików serwera Apache i uzyskać bezpośredni dostęp do danych plików lub zawartości forków zasobów. To uaktualnienie modyfikuje konfigurację serwera Apache, aby odrzucać żądania dotyczące danych plików lub zawartości forków zasobów za pośrednictwem ich specjalnych nazw plików. Więcej informacji można znaleźć w tym dokumencie. Problem zgłosił NetSec.

Apache 2

Dostępne dla: systemów Mac OS X 10.3.6, Mac OS X Server 10.2.8

Identyfikatory CVE: CAN-2004-0747, CAN-2004-0786, CAN-2004-0751, CAN-2004-0748

Zagrożenie: zmodyfikowane konfiguracje serwera Apache 2 mogły pozwolić na eskalację uprawnień użytkowników lokalnych i zdalną odmowę usługi.

Opis: zmodyfikowana przez klienta konfiguracja serwera Apache 2, w której włączono funkcję AllowOverride, mogła pozwolić użytkownikowi lokalnemu na wykonanie dowolnego kodu jako użytkownik serwera Apache (www). Ten problem nie dotyczy niezmodyfikowanej konfiguracji. To uaktualnienie usuwa również błędy w serwerze Apache, które mogą powodować awarię serwera w przypadku niektórych typów żądań. Serwer Apache został uaktualniony do wersji 2.0.52. Serwer Apache 2 jest dostarczany tylko z systemem Mac OS X Server i jest domyślnie wyłączony.

Appkit

Dostępne dla: systemów Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

Identyfikator CVE: CAN-2004-1081

Zagrożenie: znaki wprowadzone w zabezpieczonym polu tekstowym mogą być odczytywane przez inne aplikacje w tej samej sesji okna.

Opis: w niektórych okolicznościach zabezpieczone pole wprowadzania tekstu nie umożliwia prawidłowego bezpiecznego wprowadzania danych. W wyniku tego inne aplikacje w tej samej sesji okna mogą widzieć niektóre wprowadzane znaki i zdarzenia klawiatury. Funkcja wprowadzania danych w zabezpieczonych polach tekstowych jest teraz włączona w sposób zapobiegający wyciekowi informacji o naciśnięciu klawisza.

Appkit

Dostępne dla: systemów Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

Identyfikatory CVE: CAN-2004-0803, CAN-2004-0804, CAN-2004-0886

Zagrożenie: przepełnienie całkowitoliczbowe i nieprawidłowe sprawdzanie zakresu w obsłudze plików TIFF mogło umożliwić wykonanie dowolnego kodu lub atak typu „odmowa usługi”.

Opis: błędy w dekodowaniu obrazów TIFF mogły powodować nadpisanie pamięci, błędy arytmetyczne skutkujące awarią lub wykonanie dowolnego kodu. To uaktualnienie rozwiązuje problemy występujące w obsłudze obrazów TIFF.

Cyrus IMAP

Dostępne dla: systemu Mac OS X Server 10.3.6

Identyfikator CVE: CAN-2004-1089

Zagrożenie: podczas korzystania z uwierzytelniania Kerberos z serwerem Cyrus IMAP uwierzytelniony użytkownik mógł uzyskać nieautoryzowany dostęp do innych skrzynek pocztowych w tym samym systemie.

Opis: podczas używania mechanizmu uwierzytelniania Kerberos z serwerem IMAP Cyrus użytkownik mógł zmienić skrzynki pocztowe po uwierzytelnieniu i uzyskać dostęp do innych skrzynek pocztowych w tym samym systemie. To uaktualnienie wiąże skrzynkę pocztową z uwierzytelnionym użytkownikiem. Ten problem dotyczący serwera nie występuje w systemie Mac OS X Server 10.2.8. Problem zgłosił johan.gradvall@gothia.se.

HIToolbox

Dostępne dla: systemów Mac OS X 10.3.6, Mac OS X Server 10.3.6

Identyfikator CVE: CAN-2004-1085

Zagrożenie: użytkownicy mogą zamykać aplikacje w trybie kiosku.

Opis: specjalna kombinacja klawiszy pozwalała użytkownikom wywołać okno wymuszenia zamknięcia nawet w trybie kiosku. To uaktualnienie blokuje wszystkie kombinacje klawiszy służące do wymuszania zamknięcia, aby nie działały w trybie kiosku. Ten problem nie występuje w systemie Mac OS X 10.2.8 ani Mac OS X Server 10.2.8. Problem zgłosił Glenn Blauvelt z University of Colorado w Boulder.

Kerberos

Dostępne dla: systemów Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

Identyfikatory CVE: CAN-2004-0642, CAN-2004-0643, CAN-2004-0644, CAN-2004-0772

Zagrożenie: narażenie na potencjalną odmowę usługi podczas korzystania z uwierzytelniania Kerberos.

Opis: instytut MIT wydał nową wersję protokołu Kerberos, która rozwiązuje problem odmowy usługi i usuwa trzy błędy podwójnego zwolnienia pamięci. System Mac OS X zawiera ochronę przed błędami podwójnego zwolnienia pamięci. To uaktualnienie zawiera poprawkę dotyczącą problemu odmowy usługi. W ramach środka ostrożności zastosowano również poprawki dotyczące podwójnego zwolnienia pamięci. Problem zgłosił i dostarczył poprawki zespół MIT Kerberos Development Team.

Postfix

Dostępne dla: systemów Mac OS X 10.3.6, Mac OS X Server 10.3.6

Identyfikator CVE: CAN-2004-1088

Zagrożenie: serwer Postfix korzystający z algorytmu CRAM-MD5 może pozwolić zdalnemu użytkownikowi na wysyłanie poczty bez odpowiedniego uwierzytelnienia.

Opis: serwery Postfix korzystające z algorytmu CRAM-MD5 do uwierzytelniania nadawców były narażone na atak metodą powtórzenia. W niektórych okolicznościach poświadczenia użyte do pomyślnego uwierzytelnienia użytkownika mogły być przez krótki czas ponownie używane. Algorytm CRAM-MD5 używany do uwierzytelniania użytkowników został uaktualniony, aby zapobiec wyświetlaniu okna powtórzenia. Ten problem nie występuje w systemie Mac OS X 10.2.8 ani Mac OS X Server 10.2.8. Problem zgłosił Victor Duchovni z Morgan Stanley.

PSNormalizer

Dostępne dla: systemów Mac OS X 10.3.6, Mac OS X Server 10.3.6

Identyfikator CVE: CAN-2004-1086

Zagrożenie: przepełnienie buforu podczas konwersji PostScript na PDF mogło umożliwić wykonanie dowolnego kodu.

Opis: przepełnienie buforu w obsłudze konwersji PostScript na PDF mogło potencjalnie umożliwić wykonanie dowolnego kodu. To uaktualnienie poprawia kod konwersji PostScript na PDF, aby zapobiec przepełnieniu buforu. Ten problem nie występuje w systemie Mac OS X 10.2.8 ani Mac OS X Server 10.2.8.

QuickTime Streaming Server

Dostępne dla: systemów Mac OS X 10.3.6, Mac OS X Server 10.2.8

Identyfikator CVE: CAN-2004-1123

Zagrożenie: specjalnie spreparowane żądania mogły powodować atak typu „odmowa usługi”.

Opis: serwer QuickTime Streaming Server był narażony na atak typu „odmowa usługi” podczas obsługi żądań DESCRIBE. To uaktualnienie poprawia obsługę tych żądań. Problem zgłosiła firma iDEFENSE.

Safari

Dostępne dla: systemów Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

Identyfikator CVE: CAN-2004-1121

Zagrożenie: specjalnie spreparowany kod HTML może wyświetlić wprowadzający w błąd identyfikator URI na pasku statusu przeglądarki Safari.

Opis: przeglądarka Safari mogła zostać podstępem skłoniona do wyświetlenia na swoim pasku statusu identyfikatora URI, który nie był taki sam jak miejsce docelowe łącza. To uaktualnienie poprawia przeglądarkę Safari tak, że wyświetla teraz identyfikator URI, który zostaje aktywowany po wybraniu.

Safari

Dostępne dla: systemów Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

Identyfikator CVE: CAN-2004-1122

Zagrożenie: przy wielu aktywnych oknach przeglądarki użytkownicy przeglądarki Safari mogli zostać wprowadzeni w błąd co do tego, które okno aktywowało okno podręczne.

Opis: gdy otwartych jest wiele okien przeglądarki Safari, starannie zaplanowane okno podręczne mogło wprowadzić użytkownika w błąd, że zostało aktywowane przez inną witrynę. W tym uaktualnieniu przeglądarka Safari umieszcza teraz okno, które aktywuje okno podręczne, przed wszystkimi innymi oknami przeglądarki. Problem zgłosił zespół Secunia Research.

Terminal

Dostępne dla: systemów Mac OS X 10.3.6 i Mac OS X Server 10.3.6

Identyfikator CVE: CAN-2004-1087

Zagrożenie: aplikacja Terminal może wskazywać, że funkcja „Bezpieczne wprowadzanie z klawiatury” jest aktywna, gdy nie jest aktywna.

Opis: ustawienie menu „Bezpieczne wprowadzanie z klawiatury” nie było prawidłowo odtwarzane podczas uruchamiania aplikacji Terminal.app. Obok pozycji „Bezpieczne wprowadzanie z klawiatury” był wyświetlany znacznik wyboru, mimo że opcja ta nie była włączona. To uaktualnienie naprawia działanie funkcji „Bezpieczne wprowadzanie z klawiatury”. Ten problem nie występuje w systemie Mac OS X 10.2.8 ani Mac OS X Server 10.2.8. Problem zgłosił Jonathan 'Wolf' Rentzsch z Red Shed Software.

iCal 1.5.4

Identyfikator CVE: CAN-2004-1021

Zagrożenie: nowe kalendarze aplikacji iCal mogą dodawać alarmy bez zatwierdzenia.

Opis: kalendarze aplikacji iCal mogą zawierać powiadomienia o zdarzeniach za pomocą alarmów. Te alarmy mogą otwierać programy i wysyłać wiadomości e-mail. Aplikacja iCal została uaktualniona, aby wyświetlała okno alertu podczas importowania lub otwierania kalendarzy zawierających alarmy. Aplikacja iCal 1.5.4 jest dostępna dla systemu Mac OS X 10.2.3 lub nowszego. Problem zgłosił aaron@vtty.

Uaktualnienie zabezpieczeń 2004-10-27

Apple Remote Desktop

Dostępne dla: oprogramowania Apple Remote Desktop Client 1.2.4 z systemem Mac OS X 10.3.x

Identyfikator CVE: CAN-2004-0962

Zagrożenie: aplikacja może zostać uruchomiona za oknem logowania i będzie działać jako użytkownik root.

Opis: w przypadku systemu spełniającego następujące warunki:

• Zainstalowano oprogramowanie Apple Remote Desktop Client

• Użytkownik w systemie klienckim został włączony z uprawnieniem Otwieranie i zamykanie aplikacji

• Nazwa użytkownika i hasło użytkownika aplikacji ARD są znane

• Włączono szybkie przełączanie użytkowników

• Użytkownik jest zalogowany, a okno logowania jest aktywne za pomocą funkcji Szybkie przełączanie użytkowników

Jeśli aplikacja Apple Remote Desktop Administrator w innym systemie jest używana do uruchamiania aplikacji GUI na kliencie, aplikacja GUI będzie działać jako użytkownik root za oknem logowania. To uaktualnienie uniemożliwia uruchamianie aplikacji Apple Remote Desktop, gdy okno logowania jest aktywne. To ulepszenie zabezpieczeń jest również dostępne w Apple Remote Desktop 2.1. Ten problem nie dotyczy systemów starszych niż Mac OS X 10.3. Problem zgłosili Andrew Nakhla i Secunia Research.

QuickTime 6.5.2

Identyfikator CVE: CAN-2004-0988

Dostępne dla: systemów Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME i Microsoft Windows 98

Zagrożenie: przepełnienie całkowitoliczbowe, które może zostać wykorzystane w środowisku HTML.

Opis: rozszerzenie znaku przepełnionej małej liczby całkowitej może spowodować przekazanie bardzo dużej liczby do funkcji przenoszenia pamięci. Poprawka zapobiega przepełnieniu małej liczby całkowitej. Ten problem nie występuje w aplikacji QuickTime dla systemów Mac OS X. Problem zgłosił John Heasman z Next Generation Security Software Ltd.

Identyfikator CVE: CAN-2004-0926

Dostępne dla: systemów Mac OS X 10.3.x, Mac OS X Server 10.3.x, Mac OS X 10.2.8, Mac OS X Server 10.2.8, Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME i Microsoft Windows 98

Zagrożenie: przepełnienie buforu sterty może umożliwić osobom atakującym wykonanie dowolnego kodu.

Opis: błędy w dekodowaniu obrazu typu BMP mogły spowodować nadpisanie pamięci sterty i potencjalnie umożliwić wykonanie dowolnego kodu ukrytego w obrazie. Jest to to samo ulepszenie zabezpieczeń, które udostępniono w Uaktualnieniu zabezpieczeń 2004-09-30, i można je wdrożyć w dodatkowych konfiguracjach systemu objętych tym uaktualnieniem aplikacji QuickTime.

Uaktualnienie zabezpieczeń 2004-09-30 (wydane 2004-10-04)

AFP Server

Dostępne dla: systemów Mac OS X 10.3.5 i Mac OS X Server 10.3.5

Identyfikator CVE: CAN-2004-0921

Zagrożenie: atak typu „odmowa usługi”, który pozwala gościowi na odłączanie woluminów AFP.

Opis: wolumin AFP zamontowany przez gościa mógł zostać użyty do zakończenia podłączania uwierzytelnionych użytkowników z tego samego serwera poprzez modyfikację pakietów SessionDestroy. Ten problem nie dotyczy systemów starszych niż Mac OS X 10.3 ani Mac OS X Server 10.3.

AFP Server

Dostępne dla: systemów Mac OS X 10.3.5 i Mac OS X Server 10.3.5

Identyfikator CVE: CAN-2004-0922

Zagrożenie: skrzynka wrzutowa AFP przeznaczona tylko do zapisu może zostać ustawiona jako przeznaczona do odczytu i zapisu.

Opis: skrzynka wrzutowa przeznaczona tylko do zapisu na woluminie AFP zamontowanym przez gościa może czasami być przeznaczona do odczytu i zapisu ze względu na nieprawidłowe ustawienie identyfikatora grupy gości. Ten problem nie dotyczy systemów starszych niż Mac OS X 10.3 ani Mac OS X Server 10.3.

CUPS

Dostępne dla: systemów Mac OS X 10.3.5, Mac OS X Server 10.3.5, Mac OS X 10.2.8, Mac OS X Server 10.2.8

Identyfikator CVE: CAN-2004-0558

Zagrożenie: atak typu „odmowa usługi” powodujący zawieszenie systemu drukowania.

Opis: implementacja protokołu IPP (Internet Printing Protocol) w systemie CUPS może się zawiesić, gdy określony pakiet UDP zostanie wysłany do portu IPP.

CUPS

Dostępne dla: systemów Mac OS X 10.3.5, Mac OS X Server 10.3.5, Mac OS X 10.2.8, Mac OS X Server 10.2.8

Identyfikator CVE: CAN-2004-0923

Zagrożenie: lokalne ujawnianie haseł użytkowników.

Opis: niektóre metody uwierzytelniania zdalnego drukowania mogą ujawniać hasła użytkownika w plikach dziennika systemu drukowania. Problem zgłosił Gary Smith z działu IT Services w Glasgow Caledonian University.

NetInfo Manager

Dostępne dla: systemów Mac OS X 10.3.5 i Mac OS X Server 10.3.5

Identyfikator CVE: CAN-2004-0924

Zagrożenie: nieprawidłowe wskazanie statusu konta.

Opis: narzędzie NetInfo Manager może włączyć konto „root”, ale po jednym logowaniu „root” nie jest już możliwe wyłączenie konta za pomocą narzędzia NetInfo Manager i jest ono nieprawidłowo wyświetlane jako wyłączone. Ten problem nie dotyczy systemów starszych niż Mac OS X 10.3 ani Mac OS X Server 10.3.

postfix

Dostępne dla: systemów Mac OS X 10.3.5 i Mac OS X Server 10.3.5

Identyfikator CVE: CAN-2004-0925

Zagrożenie: atak typu „odmowa usługi” po włączeniu funkcji SMTPD AUTH.

Opis: po włączeniu funkcji SMTPD AUTH na serwerze postfix bufor zawierający nazwę użytkownika nie jest poprawnie czyszczony między próbami uwierzytelniania. Tylko użytkownicy z najdłuższymi nazwami użytkowników będą mogli się uwierzytelnić. Ten problem nie dotyczy systemów starszych niż Mac OS X 10.3 ani Mac OS X Server 10.3. Problem zgłosił Michael Rondinelli z EyeSee360.

QuickTime

Dostępne dla: systemów Mac OS X 10.3.5, Mac OS X Server 10.3.5, Mac OS X 10.2.8, Mac OS X Server 10.2.8

Identyfikator CVE: CAN-2004-0926

Zagrożenie: przepełnienie buforu sterty może umożliwić osobom atakującym wykonanie dowolnego kodu.

Opis: błędy w dekodowaniu obrazu typu BMP mogły spowodować nadpisanie pamięci sterty i potencjalnie umożliwić wykonanie dowolnego kodu ukrytego w obrazie.

ServerAdmin

Dostępne dla: systemów Mac OS X Server 10.3.5 i Mac OS X Server 10.2.8

Identyfikator CVE: CAN-2004-0927

Zagrożenie: komunikacja klient — serwer z ServerAdmin może być odczytywana przez dekodowanie przechwyconych sesji.

Opis: komunikacja klient — serwer z ServerAdmin używa protokołu SSL. Wszystkie systemy są instalowane z tym samym przykładowym certyfikatem samopodpisanym. Jeśli ten certyfikat nie został wymieniony, komunikacja ServerAdmin może zostać odszyfrowana. Poprawka zastępuje istniejący certyfikat samopodpisany na taki, który został wygenerowany lokalnie i unikatowo. Problem zgłosił Michael Bartosh z 4am Media, Inc.

Uaktualnienie zabezpieczeń 2004-09-16

iChat

Identyfikator CVE: CAN-2004-0873

Zagrożenie: zdalni uczestnicy czatu w aplikacji iChat mogą wysyłać „łącza”, które po kliknięciu mogą uruchamiać programy lokalne.

Opis: zdalny uczestnik czatu w aplikacji iChat może wysłać „łącze”, które odwołuje się do programu w systemie lokalnym. Jeśli „łącze” zostanie aktywowane przez kliknięcie go, a łącze wskazuje program lokalny, program zostanie uruchomiony. Aplikacja iChat została zmodyfikowana tak, że „łącza” tego typu otwierają okno Findera, które wyświetla program zamiast go uruchamiać. Problem zgłosił aaron@vtty.

Dostępność: to uaktualnienie jest dostępne dla następujących wersji aplikacji iChat:

- iChat AV 2.1 (Mac OS X 10.3.5 lub nowsza)

- iChat AV 2.0 (Mac OS X 10.2.8)

- iChat 1.0.1 (Mac OS X 10.2.8)

Uaktualnienie zabezpieczeń 2004-09-07

To uaktualnienie zabezpieczeń jest dostępne dla następujących wersji systemu:

- Mac OS X 10.3.4

- Mac OS X 10.3.5

- Mac OS X Server 10.3.4

- Mac OS X Server 10.3.5

- Mac OS X 10.2.8

- Mac OS X Server 10.2.8

Wskazówka: więcej informacji na temat identyfikatorów CVE wymienionych poniżej można znaleźć na stronie (http://www.cve.mitre.org/).

Komponent: Apache 2

Identyfikatory CVE: CAN-2004-0493, CAN-2004-0488

Dostępne dla: systemów Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Zagrożenie: narażenie na potencjalny atak typu „odmowa usługi”.

Opis: organizacja Apache opublikowała serwer Apache w wersji 2.0.50. Ta wersja naprawia szereg luk w zabezpieczeniach powodujących atak typu „odmowa usługi”. Serwer Apache został uaktualniony do wersji 2.0.50, która jest dostarczana tylko z systemem Mac OS X Server i jest domyślnie wyłączona.

Komponent: CoreFoundation

Identyfikator CVE: CAN-2004-0821

Dostępne dla: systemów Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Zagrożenie: uprzywilejowane programy korzystające z CoreFoundation mogą zostać zmuszone do wczytania biblioteki dostarczonej przez użytkownika.

Opis: pakiety korzystające z funkcji CoreFoundation CFPlugIn mogą zawierać wskazówki dotyczące automatycznego wczytywania plików wykonywalnych wtyczek. W przypadku specjalnie spreparowanego pakietu może to również wystąpić w przypadku programów uprzywilejowanych, umożliwiając lokalną eskalację uprawnień. CoreFoundation zapobiega teraz automatycznemu wczytywaniu plików wykonywalnych dla pakietów, które mają już wczytany plik wykonywalny. Problem zgłosił Kikuchi Masashi (kik@ms.u-tokyo.ac.jp).

Komponent: CoreFoundation

Identyfikator CVE: CAN-2004-0822

Dostępne dla: systemów Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Zagrożenie: zmienna środowiskowa może zostać zmanipulowana w celu spowodowania przepełnienia buforu, co może skutkować eskalacją uprawnień.

Opis: manipulowanie zmienną środowiskową może potencjalnie doprowadzić do wykonania dowolnego kodu przez lokalnego atakującego. Można to wykorzystać tylko w przypadku dostępu do konta lokalnego. Dla tej zmiennej środowiskowej są teraz przeprowadzane bardziej rygorystyczne kontrole poprawności. Problem zgłosił aaron@vtty.

Komponent: IPSec

Identyfikator CVE: CAN-2004-0607

Dostępne dla: systemów Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Zagrożenie: podczas korzystania z certyfikatów nieuwierzytelnione hosty mogą być w stanie negocjować połączenie IPSec.

Opis: po skonfigurowaniu używania certyfikatów X.509 do uwierzytelniania zdalnych hostów niepowodzenie weryfikacji certyfikatu nie przerywa wymiany kluczy. System Mac OS X domyślnie nie używa certyfikatów dla protokołu IPSec, więc ten problem dotyczy tylko konfiguracji skonfigurowanych ręcznie. Protokół IPsec weryfikuje teraz wymianę kluczy i przerywa ją, jeśli wystąpi błąd weryfikacji certyfikatu.

Komponent: Kerberos

Identyfikator CVE: CAN-2004-0523

Dostępne dla: systemów Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Zagrożenie: wielokrotne przepełnienie buforu w funkcji krb5_aname_to_localname dla protokołu MIT Kerberos 5 (krb5) 1.3.3 i starszych może pozwolić osobom atakującym zdalnie na wykonanie dowolnego kodu.

Opis: przepełnienie buforu może zostać wykorzystane tylko wtedy, gdy w pliku edu.mit.Kerberos skonfigurowano również obsługę podsekcji „auth_to_local_names” lub „auth_to_local”. Apple nie włącza tego domyślnie. Poprawka zabezpieczeń została przeniesiona i zastosowana w wersjach protokołu Kerberos dla systemu Mac OS X. Wersja protokołu Kerberos dla systemów Mac OS X i Mac OS X Server nie jest podatna na niedawny problem „podwójnego zwolnienia pamięci” zgłoszony w notatce CERT dotyczącej luki w zabezpieczeniach VU#350792 (CAN-2004-0772). O problemie poinformował nas zespół MIT Kerberos Development Team.

Komponent: lukemftpd

Identyfikator CVE: CAN-2004-0794

Dostępne dla: systemów Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Zagrożenie: sytuacja wyścigu, która może pozwolić uwierzytelnionej osobie atakującej zdalnie na przeprowadzenie ataku typu „odmowa usługi” lub wykonanie dowolnego kodu.

Opis: jeśli usługa FTP została włączona, a osoba atakująca zdalnie może się prawidłowo uwierzytelnić, sytuacja wyścigu pozwoli jej zatrzymać usługę FTP lub wykonać dowolny kod. Poprawka polega na zastąpieniu usługi FTP lukemftpd usługą tnftpd. Usługa lukemftp jest zainstalowana, ale nie jest aktywowana w systemie Mac OS X Server, który zamiast tego używa usługi xftp. O problemie poinformował nas Luke Mewburn z NetBSD Foundation.

Komponent: OpenLDAP

Identyfikator CVE: CAN-2004-0823

Dostępne dla: systemów Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Zagrożenie: zaszyfrowane hasło może zostać użyte tak, jakby było zwykłym hasłem tekstowym.

Opis: wsteczna zgodność ze starszymi implementacjami protokołu LDAP umożliwia przechowywanie zaszyfrowanego hasła w atrybucie userPassword. Niektóre schematy sprawdzania poprawności uwierzytelniania mogą używać tej wartości tak, jakby to było zwykłe hasło tekstowe. Poprawka usuwa niejednoznaczność i zawsze używa tego typu pola jako zaszyfrowanego hasła. Ten problem nie występuje w systemie Mac OS X 10.2.8. Problem zgłosił Steve Revilak z Kayak Software Corporation.

Komponent: OpenSSH

Identyfikator CVE: CAN-2004-0175

Dostępne dla: systemów Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Zagrożenie: złośliwy serwer ssh/scp może nadpisywać pliki lokalne.

Opis: luka w zabezpieczeniach związana z translacją katalogów w programie scp pozwala złośliwemu serwerowi zdalnemu na nadpisywanie plików lokalnych. Poprawka zabezpieczeń została przeniesiona i zastosowana w wersjach protokołu OpenSSH dla systemu Mac OS X.

Komponent: PPPDialer

Identyfikator CVE: CAN-2004-0824

Dostępne dla: systemów Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Zagrożenie: złośliwy użytkownik może nadpisywać pliki systemowe, powodując lokalną eskalację uprawnień.

Opis: komponenty PPP wykonywały niezabezpieczony dostęp do pliku przechowywanego w lokalizacji z możliwością zapisu na całym świecie. Poprawka przenosi pliki dziennika do lokalizacji bez możliwości zapisu na całym świecie.

Komponent: QuickTime Streaming Server

Dostępne dla: systemów Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Identyfikator CVE: CAN-2004-0825

Zagrożenie: atak typu „odmowa usługi” wymagający ponownego uruchomienia serwera strumieniowania QuickTime.

Opis: określona sekwencja operacji klienta może spowodować zakleszczenie serwera strumieniowania QuickTime. Poprawka uaktualnia kod, aby wyeliminować tę sytuację zakleszczenia.

Komponent: rsync

Identyfikator CVE: CAN-2004-0426

Dostępne dla: systemów Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Zagrożenie: gdy protokół rsync jest uruchamiany w trybie demona, osoba atakująca zdalnie może zapisywać dane poza ścieżką modułu, chyba że została ustawiona opcja chroot.

Opis: protokół rsync przed wersją 2.6.1 nie powoduje prawidłowego oczyszczania ścieżek podczas uruchamiania demona odczytu/zapisu z wyłączoną opcją chroot. Poprawka uaktualnia protokół rsync do wersji 2.6.2.

Komponent: Safari

Identyfikator CVE: CAN-2004-0361

Dostępne dla: systemów Mac OS X 10.2.8, Mac OS X Server 10.2.8

Zagrożenie: tablica JavaScript o ujemnym rozmiarze może spowodować, że przeglądarka Safari uzyska dostęp do pamięci spoza dozwolonego zakresu, doprowadzając do awarii aplikacji.

Opis: przechowywanie obiektów w tablicy JavaScript o ujemnym rozmiarze może nadpisywać pamięć. Przeglądarka Safari przestaje teraz przetwarzać programy JavaScript, jeśli alokacja tablicy nie powiedzie się. To ulepszenie zabezpieczeń było wcześniej dostępne w przeglądarce Safari 1.0.3. Jest stosowane w systemie operacyjnym Mac OS X 10.2.8 jako dodatkowa warstwa ochrony dla klientów, którzy nie zainstalowali tej wersji przeglądarki Safari. Jest to poprawka specyficzna dla systemu Mac OS X 10.2.8, a problem nie występuje w systemie Mac OS X 10.3 ani nowszym.

Komponent: Safari

Identyfikator CVE: CAN-2004-0720

Dostępne dla: systemów Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Zagrożenie: niezaufana witryna internetowa może wprowadzać zawartość do ramki przeznaczonej do użycia przez inną domenę.

Opis: witryna internetowa, która korzysta z wielu ramek, może zastąpić część swoich ramek zawartością ze złośliwej witryny, jeśli złośliwa witryna zostanie odwiedzona jako pierwsza. Poprawka narzuca zestaw reguł nadrzędnych/podrzędnych zapobiegających atakowi.

Komponent: SquirrelMail

Identyfikator CVE: CAN-2004-0521

Dostępne dla: systemów Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Zagrożenie: program SquirrelMail przed wersją 1.4.3 RC1 umożliwia osobom atakującym zdalnie wykonywanie nieautoryzowanych instrukcji SQL.

Opis: program SquirrelMail przed wersją 1.4.3 RC1 jest podatny na atak SQL injection, który umożliwia uruchamianie nieautoryzowanych instrukcji SQL. Poprawka uaktualnia program SquirrelMail do wersji 1.4.3a.

Komponent: tcpdump

Identyfikatory CVE: CAN-2004-0183, CAN-2004-0184

Dostępne dla: systemów Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Zagrożenie: złośliwie spreparowane pakiety mogą spowodować awarię uruchomionego narzędzia tcpdump.

Opis: szczegółowe funkcje drukowania pakietów ISAKMP nie sprawdzają poprawnych zakresów i powodują odczyt poza dozwolonym zakresem, co prowadzi do awarii. Poprawka uaktualnia narzędzie tcpdump do wersji 3.8.3.

Mac OS X 10.3.5

Wskazówka: więcej informacji na temat identyfikatorów CVE wymienionych poniżej można znaleźć na stronie (http://www.cve.mitre.org/).

libpng (Portable Network Graphics)

Identyfikatory CVE: CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599

Zagrożenie: złośliwe obrazy PNG mogą spowodować awarie aplikacji i wykonanie dowolnego kodu.

Opis: w bibliotece referencyjnej do odczytu i zapisu obrazów PNG wykryto szereg przepełnień buforu, błędów dereferencji wskaźnika null i przepełnień całkowitoliczbowych. Te luki w zabezpieczeniach zostały usunięte w bibliotece libpng, która jest używana przez architektury CoreGraphics i AppKit w systemie Mac OS X. Po zainstalowaniu tego uaktualnienia aplikacje korzystające z formatu obrazu PNG za pośrednictwem tych struktur będą chronione przed tymi błędami.

Safari:

Identyfikator CVE: CAN-2004-0743

Zagrożenie: w szczególnej sytuacji nawigacja za pomocą przycisków przewijania do przodu/do tyłu może ponownie wysłać dane formularza na adres URL GET.

Opis: dotyczy to sytuacji, w której formularz internetowy jest wysyłany do serwera przy użyciu metody POST, która powoduje przekierowanie HTTP na adres URL metody GET. Użycie przycisków przewijania do przodu/do tyłu spowoduje, że przeglądarka Safari ponownie wyśle metodą POST dane formularza na adres URL GET. Przeglądarka Safari została zmodyfikowana tak, że w tej sytuacji nawigacja do przodu/do tyłu będzie skutkować tylko użyciem metody GET. Problem zgłosił Rick Osterberg z Harvard University FAS Computer Services.

TCP/IP Networking:

Identyfikator CVE: CAN-2004-0744

Zagrożenie: złośliwie spreparowane fragmenty IP mogą zużywać zbyt wiele zasobów systemowych, uniemożliwiając normalne działanie sieci.

Opis: atak „Rose Attack” opisuje specjalnie skonstruowaną sekwencję fragmentów IP zaprojektowaną do zużywania zasobów systemowych. Implementacja TCP/IP została zmodyfikowana w celu ograniczenia zużycia zasobów i zapobiegania temu atakowi typu „odmowa usługi”. Problem ujawnili Ken Hollis (gandalf@digital.net) i Chuck McAuley (chuck-at-lemure-dot-net) w dyskusji na temat „Rose Attack”.

Uaktualnienie zabezpieczeń 2004-08-09 (Mac OS X 10.3.4 i 10.2.8)

Wskazówka: więcej informacji na temat identyfikatorów CVE wymienionych poniżej można znaleźć na stronie (http://www.cve.mitre.org/).

libpng (Portable Network Graphics)

Identyfikatory CVE: CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599

Zagrożenie: złośliwe obrazy PNG mogą spowodować awarie aplikacji i wykonanie dowolnego kodu.

Opis: w bibliotece referencyjnej do odczytu i zapisu obrazów PNG wykryto szereg przepełnień buforu, błędów dereferencji wskaźnika null i przepełnień całkowitoliczbowych. Te luki w zabezpieczeniach zostały usunięte w bibliotece libpng, która jest używana przez architektury CoreGraphics i AppKit w systemie Mac OS X. Po zainstalowaniu tego uaktualnienia aplikacje korzystające z formatu obrazu PNG za pośrednictwem tych struktur będą chronione przed tymi błędami.

Uaktualnienie zabezpieczeń 2004-06-07 (Mac OS X 10.3.4 i 10.2.8)

Uaktualnienie zabezpieczeń 2004-06-07 zawiera szereg ulepszeń zabezpieczeń i jest zalecane dla wszystkich użytkowników komputerów Macintosh. Celem tego uaktualnienia jest zwiększenie bezpieczeństwa poprzez ostrzeganie użytkownika podczas otwierania aplikacji po raz pierwszy za pośrednictwem mapowania dokumentów lub adresu internetowego (URL). Więcej szczegółów, w tym opis nowego okna dialogowego alertu, można znaleźć w tym artykule. Uaktualnienie zabezpieczeń 2004-06-07 jest dostępne dla następujących wersji systemu:

- Mac OS X 10.3.4 Panther

- Mac OS X Server 10.3.4 Panther

- Mac OS X 10.2.8 Jaguar

- Mac OS X 10.2.8 Jaguar

LaunchServices

CVE-ID: CAN-2004-0538

Zagrożenie: komponent LaunchServices automatycznie rejestruje aplikacje, co może zostać wykorzystane do uruchomienia w systemie nieoczekiwanych aplikacji.

Dyskusja: LaunchServices to komponent systemowy, który wykrywa i otwiera aplikacje. Ten komponent systemowy został zmodyfikowany tak, aby otwierał tylko aplikacje, które wcześniej zostały jawnie uruchomione w systemie. Próby uruchomienia aplikacji, która nie została wcześniej jawnie uruchomiona, spowodują wyświetlenie alertu dla użytkownika. Więcej informacji można znaleźć w tym artykule.

Komponent: DiskImageMounter

CVE-ID: nie zarezerwowano identyfikatora CVE, ponieważ jest to jedynie dodatkowy środek zapobiegawczy.

Zagrożenie: typ adresu URL disc:// umożliwia podłączenie anonimowego zdalnego systemu plików przy użyciu protokołu http.

Dyskusja: rejestracja typu adresu URL disk:// została usunięta z systemu jako środek zapobiegawczy przed próbami automatycznego montowania systemów plików zdalnych obrazów dysków.

Safari

CVE-ID: CAN-2004-0539

Zagrożenie: przycisk „Pokaż w Finderze” otwiera niektóre pobrane pliki, w niektórych przypadkach uruchamiając pobrane aplikacje.

Dyskusja: przycisk „Pokaż w Finderze” będzie teraz wyświetlał pliki w oknie Findera i nie będzie już próbował ich otwierać. Ta modyfikacja jest dostępna tylko dla systemów Mac OS X 10.3.4 Panther i Mac OS X Server 10.3.4 Panther, ponieważ ten błąd nie dotyczy systemów Mac OS X 10.2.8 Jaguar ani Mac OS X Server 10.2.8 Jaguar.

Terminal

Identyfikator CVE: Nie dotyczy

Zagrożenie: próby użycia adresu URL telnet:// z alternatywnym numerem portu kończą się niepowodzeniem.

Dyskusja: wprowadzono modyfikację umożliwiającą określenie alternatywnego numeru portu w adresie URL telnet://. Przywraca to funkcjonalność usuniętą w ostatniej poprawce dotyczącej problemu CAN-2004-0485.

Mac OS X 10.3.4

• NFS: naprawiono błąd CAN-2004-0513, aby poprawić rejestrowanie podczas śledzenia wywołań systemowych. Problem zgłosił David Brown (dave@spoonguard.org).

• LoginWindow: naprawiono błąd CAN-2004-0514, aby poprawić obsługę wyszukiwania usług katalogowych.

• LoginWindow: naprawiono błąd CAN-2004-0515, aby poprawić obsługę plików dziennika konsoli. Problem zgłosił aaron@vtty.

• Packaging: naprawiono błąd CAN-2004-0516, aby poprawić skrypty instalacji pakietów. Problem zgłosił aaron@vtty.

• Packaging: naprawiono błąd CAN-2004-0517, aby poprawić obsługę identyfikatorów procesów podczas instalacji pakietów. Problem zgłosił aaron@vtty.

• TCP/IP: naprawiono błąd CAN-2004-0171, aby poprawić obsługę pakietów TCP spoza sekwencji.

• AppleFileServer: naprawiono błąd CAN-2004-0518, aby usprawnić korzystanie z protokołu SSH i raportowanie błędów.

• Terminal: naprawiono błąd CAN-2004-0485, aby poprawić obsługę adresów URL. Problem zgłosił RenÌ© Puls (rpuls@gmx.net).

Uwaga: system Mac OS X 10.3.4 zawiera Uaktualnienie zabezpieczeń 2004-04-05 i Uaktualnienie zabezpieczeń 2004-05-03.

Uaktualnienie zabezpieczeń 2004-05-24 dla systemów Mac OS X 10.3.3 Panther i Mac OS X 10.3.3 Server

• HelpViewer: naprawiono błąd CAN-2004-0486, aby zapewnić, że aplikacja HelpViewer będzie przetwarzała tylko skrypty, które sama zainicjowała. Problem zgłosił lixlpixel. Uwaga: to uaktualnienie można też zainstalować w systemach Mac OS X 10.3.4 i Mac OS X 10.3.4 Server

Uaktualnienie zabezpieczeń 2004-05-24 dla systemów Mac OS X 10.2.8 Jaguar i Mac OS X 10.2.8 Server

• HelpViewer: naprawiono błąd CAN-2004-0486, aby zapewnić, że aplikacja HelpViewer będzie przetwarzała tylko skrypty, które sama zainicjowała. Problem zgłosił lixlpixel.

• Terminal: naprawiono błąd CAN-2004-0485, aby usprawnić przetwarzanie adresów URL w aplikacji Terminal. Problem zgłosił RenÌ© Puls.

Uaktualnienie zabezpieczeń 2004-05-03 dla systemów Mac OS X 10.3.3 Panther i Mac OS X 10.3.3 Server

• AppleFileServer: naprawiono błąd CAN-2004-0430, aby poprawić obsługę długich haseł. Problem zgłosił Dave G. z @stake.

• Apache 2: naprawiono błędy CAN-2003-0020, CAN-2004-0113 i CAN-2004-0174 przez uaktualnienie serwera Apache 2 do wersji 2.0.49.

• CoreFoundation: naprawiono błąd CAN-2004-0428, aby poprawić obsługę zmiennej środowiskowej. Problem zgłosił aaron@vtty.

• IPSec: naprawiono błędy CAN-2004-0155 i CAN-2004-0403, aby poprawić bezpieczeństwo tuneli VPN. Protokół IPSec w systemie Mac OS X nie jest podatny na błąd CAN-2004-0392.

Uaktualnienie zabezpieczeń 2004-04-05 zostało włączone do tego uaktualnienia zabezpieczeń.

Uaktualnienie zabezpieczeń 2004-05-03 dla systemów Mac OS X 10.2.8 Jaguar i Mac OS X 10.2.8 Server

• AppleFileServer: naprawiono błąd CAN-2004-0430, aby poprawić obsługę długich haseł. Problem zgłosił Dave G. z @stake.

• Apache 2: naprawiono błędy CAN-2003-0020, CAN-2004-0113 i CAN-2004-0174 przez uaktualnienie serwera Apache 2 do wersji 2.0.49.

• CoreFoundation: naprawiono błąd CAN-2004-0428, aby poprawić obsługę zmiennej środowiskowej. Problem zgłosił aaron@vtty.

• IPSec: naprawiono błędy CAN-2004-0155 i CAN-2004-0403, aby poprawić bezpieczeństwo tuneli VPN. Protokół IPSec w systemie Mac OS X nie jest podatny na błąd CAN-2004-0392.

• Server Settings daemon: naprawiono błąd CAN-2004-0429, aby poprawić obsługę dużych żądań.

Uaktualnienie zabezpieczeń 2004-04-05 zostało włączone do tego uaktualnienia zabezpieczeń.

QuickTime 6.5.1

• Naprawiono błąd CAN-2004-0431 , w którym odtwarzanie zniekształconego pliku .mov (filmu) mogło spowodować przerwanie aplikacji QuickTime.

Uaktualnienie zabezpieczeń 2004-04-05 dla systemów Mac OS X 10.3.3 Panther i Mac OS X 10.3.3 Server

• CUPS Printing: naprawiono błąd CAN-2004-0382, aby zwiększyć bezpieczeństwo systemu drukowania. Jest to zmiana pliku konfiguracji, która nie ma wpływu na bazowy system drukowania. Problem zgłosił aaron@vtty.

• libxml2: naprawiono błąd CAN-2004-0110, aby poprawić obsługę jednolitych lokalizatorów zasobów.

• Mail: naprawiono błąd CAN-2004-0383, aby poprawić obsługę wiadomości e-mail w formacie HTML. Problem zgłosił aaron@vtty.

• OpenSSL: naprawiono błędy CAN-2004-0079 i CAN-2004-0112 , aby poprawić obsługę opcji szyfrowania.

Uaktualnienie zabezpieczeń 2004-04-05 dla systemów Mac OS X 10.2.8 Jaguar i Mac OS X 10.2.8 Server

• CUPS Printing: naprawiono błąd CAN-2004-0382, aby zwiększyć bezpieczeństwo systemu drukowania. Problem zgłosił aaron@vtty.

Uaktualnienie zabezpieczeń 2004-01-26 zostało włączone do tego uaktualnienia zabezpieczeń. Dodatkowe ulepszenia zabezpieczeń przewidziane dla systemu Panther w Uaktualnieniu zabezpieczeń 2004-04-05 nie mają wpływu na platformę 10.2.

Uaktualnienie zabezpieczeń 2004-02-23 dla systemów Mac OS X 10.3.2 Panther i Mac OS X 10.3.2 Server

• CoreFoundation: naprawiono błąd CAN-2004-0168, aby poprawić rejestrowanie powiadomień. Problem zgłosił aaron@vtty.

• DiskArbitration: naprawiono błąd CAN-2004-0167, aby bezpieczniej obsługiwać inicjalizację zapisywalnych nośników wymiennych. Problem zgłosił aaron@vtty.

• IPSec: naprawiono błąd CAN-2004-0164, aby usprawnić sprawdzanie wymiany kluczy.

• Point-to-Point-Protocol: naprawiono błąd CAN-2004-0165, aby poprawić obsługę komunikatów o błędach. Problem zgłosili Dave G. z @stake i Justin Tibbs z Secure Network Operations (SRT).

• tcpdump: naprawiono błędy CAN-2003-0989, CAN-2004-0055 i CAN-2004-0057 przez uaktualnienie narzędzia tcpdump do wersji 3.8.1 i biblioteki libpcap do wersji 0.8.1.

• QuickTime Streaming Server: naprawiono błąd CAN-2004-0169, aby poprawić sprawdzanie danych żądania. Problem zgłosiła firma iDEFENSE Labs. Uaktualnienia serwera strumieniowania dla innych platform są dostępne w witrynie http://developer.apple.com/darwin/.

Uaktualnienie zabezpieczeń 2004-02-23 dla systemów Mac OS X 10.2.8 Jaguar i Mac OS X 10.2.8 Server

• DiskArbitration: naprawiono błąd CAN-2004-0167, aby bezpieczniej obsługiwać inicjalizację zapisywalnych nośników wymiennych. Problem zgłosił aaron@vtty.

• IPSec: naprawiono błąd CAN-2004-0164 , aby usprawnić sprawdzanie wymiany kluczy.

• Point-to-Point-Protocol: naprawiono błąd CAN-2004-0165, aby poprawić obsługę komunikatów o błędach. Problem zgłosili Dave G. z @stake i Justin Tibbs z Secure Network Operations (SRT).

• Safari: naprawiono błąd CAN-2004-0166, aby poprawić wyświetlanie adresów URL na pasku statusu.

• QuickTime Streaming Server: naprawiono błąd CAN-2004-0169, aby poprawić sprawdzanie danych żądania. Problem zgłosiła firma iDEFENSE Labs. Uaktualnienia serwera strumieniowania dla innych platform są dostępne w witrynie http://developer.apple.com/darwin/.

Uaktualnienie zabezpieczeń 2004-01-26 dla systemu Mac OS X 10.2.8 Server zostało włączone do tego uaktualnienia zabezpieczeń.

Uaktualnienie zabezpieczeń 2004-01-26 dla systemów Mac OS X 10.1.5 Puma i Mac OS X 10.1.5 Server

• Mail: naprawiono błąd CAN-2004-0085, aby zapewnić ulepszenia zabezpieczeń aplikacji pocztowej Apple.

Uaktualnienie zabezpieczeń 2004-01-26 dla systemów Mac OS X 10.2.8 Jaguar i Mac OS X 10.2.8 Server

• AFP Server: poprawia AFP w porównaniu z uaktualnieniem zabezpieczeń 2003-12-19.

• Apache 1.3: naprawiono błąd CAN-2003-0542 — przepełnienie buforu w modułach mod_alias i mod_rewrite serwera internetowego Apache.

• Apache 2: (instalowany tylko w systemie Server) naprawiono błędy CAN-2003-0542 i CAN-2003-0789, uaktualniając serwer Apache 2.0.47 do wersji 2.0.48. Szczegółowe informacje na temat uaktualnienia można znaleźć na stronie: http://www.apache.org/dist/httpd/Announcement2.html

• Classic: naprawiono błąd CAN-2004-0089, aby poprawić obsługę zmiennych środowiskowych. Problem zgłosił Dave G. z @stake.

• Mail: naprawiono błąd CAN-2004-0085, aby zapewnić ulepszenia zabezpieczeń aplikacji pocztowej Apple.

• Safari: naprawiono błąd CAN-2004-0092, dostarczając ulepszenia zabezpieczeń do przeglądarki Safari.

• System Configuration: naprawiono błędy CAN-2004-0087 i CAN-2004-0088, w którym podsystem Konfiguracji systemu umożliwiał zdalnym użytkownikom niebędącym administratorami zmianę ustawień sieciowych i wprowadzanie zmian w konfiguracji configd. Problemy zgłosili Dave G. z @stake.

Uaktualnienie zabezpieczeń 2003-12-19 zostało włączone do tego uaktualnienia zabezpieczeń. Dodatkowe ulepszenia zabezpieczeń zawarte w Uaktualnieniu zabezpieczeń 2004-01-26 dla systemu Mac OS X 10.3.2 Panther nie są zawarte w tym uaktualnieniu dla systemu Jaguar, ponieważ te problemy nie dotyczą systemu Jaguar.

Uaktualnienie zabezpieczeń 2004-01-26 dla systemów Mac OS X 10.3.2 Panther i Mac OS X Server 10.3.2

• Apache 1.3: naprawiono błąd CAN-2003-0542 — przepełnienie buforu w modułach mod_alias i mod_rewrite serwera internetowego Apache.

• Apache 2: (instalowany tylko w systemie Server) naprawiono błędy CAN-2003-0542 i CAN-2003-0789, uaktualniając serwer Apache 2.0.47 do wersji 2.0.48. Szczegółowe informacje na temat uaktualnienia można znaleźć na stronie: http://www.apache.org/dist/httpd/Announcement2.html.

• Classic: naprawiono błąd CAN-2004-0089, aby poprawić obsługę zmiennych środowiskowych. Problem zgłosił Dave G. z @stake.

• Mail: naprawiono błąd CAN-2004-0086, aby zapewnić ulepszenia zabezpieczeń aplikacji pocztowej Apple. Problem zgłosił Jim Roepcke.

• Safari: naprawiono błąd CAN-2004-0092, dostarczając ulepszenia zabezpieczeń do przeglądarki Safari.

• System Configuration: naprawiono błąd CAN-2004-0087, w którym podsystem Konfiguracji systemu umożliwiał zdalnym użytkownikom niebędącym administratorami zmianę ustawień sieciowych. Problemy zgłosili Dave G. z @stake.

• Windows File Sharing: naprawiono błąd CAN-2004-0090, w którym udostępnianie plików w systemie Windows nie wyłączało się prawidłowo.

• Uaktualnienie zabezpieczeń 2003-12-19 zostało włączone do tego uaktualnienia zabezpieczeń. Dodatkowe ulepszenia zabezpieczeń zawarte w Uaktualnieniu zabezpieczeń 2004-01-26 dla systemu Mac OS X 10.2.8 Jaguar nie są zawarte w tym uaktualnieniu dla systemu Panther, ponieważ te problemy nie dotyczą systemu Panther.

Uaktualnienie zabezpieczeń 2003-12-19 dla systemów Mac OS X 10.2.8 Jaguar i Mac OS X 10.2.8 Server

• AppleFileServer: naprawiono błąd CAN-2003-1007, aby poprawić obsługę nieprawidłowych żądań.

• cd9660.util: naprawiono błąd CAN-2003-1006 — lukę w zabezpieczeniach związaną z przepełnieniem buforu w narzędziu systemu plików cd9660.util. Problem zgłosił KF z Secure Network Operations.

• Directory Services: naprawiono błąd CAN-2003-1009. Ustawienia domyślne zostały zmienione, aby zapobiec przypadkowemu połączeniu w przypadku złośliwego serwera DHCP w lokalnej podsieci komputera. Więcej informacji można znaleźć w artykule bazy wiedzy Apple: http://docs.info.apple.com/article.html?artnum=32478. Problem zgłosił William A. Carrel.

• Fetchmail: naprawiono błąd CAN-2003-0792. Dostarczane są uaktualnienia funkcji pobierania poczty, które w określonych warunkach poprawiają jej stabilność.

• fs_usage: naprawiono błąd CAN-2003-1010. Narzędzie fs_usage zostało udoskonalone, aby zapobiec lokalnej eskalacji uprawnień. To narzędzie służy do zbierania informacji o wydajności systemu i do jego uruchomienia wymagane są uprawnienia administratora. Problem zgłosił Dave G. z @stake.

• rsync: naprawiono błąd CAN-2003-0962, poprawiając zabezpieczenia usługi rsyncserver.

• System initialization: naprawiono błąd CAN-2003-1011. Proces inicjalizacji systemu został udoskonalony, aby ograniczyć dostęp użytkownika root w systemie używającym klawiatury USB.

Uwaga: następujące poprawki, które pojawiają się w Uaktualnieniu zabezpieczeń 2003-12-19 dla systemu Panther nie są zawarte w Uaktualnieniu zabezpieczeń 2003-12-19 dla systemu Jaguar, ponieważ wersje Jaguar systemów Mac OS X i Mac OS X Server nie są podatne na te problemy:

- CAN-2003-1005: Dekodowanie ASN.1 dla PKI

- CAN-2003-1008: wycinki tekstu wygaszacza ekranu

Uaktualnienie zabezpieczeń 2003-12-19 dla systemów Mac OS X 10.3.2 Panther i Mac OS X 10.3.2 Server

• ASN.1 Decoding for PKI: naprawiono błąd CAN-2003-1005, który mógł spowodować potencjalną odmowę usługi podczas odbierania zniekształconych sekwencji ASN.1. Jest on związany z błędem CAN-2003-0851, ale od niego odrębny.

• AppleFileServer: naprawiono błąd CAN-2003-1007, aby poprawić obsługę nieprawidłowych żądań.

• cd9660.util: naprawiono błąd CAN-2003-1006 — lukę w zabezpieczeniach związaną z przepełnieniem buforu w narzędziu systemu plików cd9660.util. Problem zgłosił KF z Secure Network Operations.

• Directory Services: naprawiono błąd CAN-2003-1009. Ustawienia domyślne zostały zmienione, aby zapobiec przypadkowemu połączeniu w przypadku złośliwego serwera DHCP w lokalnej podsieci komputera. Więcej informacji można znaleźć w artykule bazy wiedzy Apple: http://docs.info.apple.com/article.html?artnum=32478. Problem zgłosił William A. Carrel.

• Fetchmail: naprawiono błąd CAN-2003-0792. Dostarczane są uaktualnienia funkcji pobierania poczty, które w określonych warunkach poprawiają jej stabilność.

• fs_usage: naprawiono błąd CAN-2003-1010. Narzędzie fs_usage zostało udoskonalone, aby zapobiec lokalnej eskalacji uprawnień. To narzędzie służy do zbierania informacji o wydajności systemu i do jego uruchomienia wymagane są uprawnienia administratora. Problem zgłosił Dave G. z @stake.

• rsync: naprawiono błąd CAN-2003-0962, poprawiając zabezpieczenia usługi rsyncserver.

• Screen Saver: naprawiono błąd CAN-2003-1008. Gdy okno logowania wygaszacza ekranu jest obecne, nie można już zapisać wycinka tekstowego na biurku ani w aplikacji. Problem zgłosił Benjamin Kelly.

• System initialization: naprawiono błąd CAN-2003-1011. Proces inicjalizacji systemu został udoskonalony, aby ograniczyć dostęp użytkownika root w systemie używającym klawiatury USB.

Uaktualnienie zabezpieczeń 2003-12-05

• Safari: naprawiono błąd CAN-2003-0975 w celu zapewnienia, że przeglądarka Safari zapewni dostęp do informacji o plikach cookie użytkownika tylko autoryzowanym stronom internetowym. Uaktualnienie jest dostępne zarówno dla systemu Mac OS X 10.3.1, jak i Mac OS X 10.2.8.

Uaktualnienie zabezpieczeń 2003-11-19 dla 10.2.8

Zasadą Apple jest szybkie usuwanie istotnych luk w zabezpieczeniach poprzednich wersji systemu Mac OS X, o ile jest to możliwe. Uaktualnienie zabezpieczeń 2003-11-19 zawiera uaktualnienia kilku komponentów systemu Mac OS X 10.2, które spełniają te kryteria.

• gm4: naprawiono błąd CAN-2001-1411 — lukę w zabezpieczeniach ciągu formatującego w narzędziu gm4. Żadne programy root z ustawionym identyfikatorem uid nie opierały się na narzędziu gm4, a ta poprawka jest środkiem zapobiegającym przyszłemu wykorzystywaniu.

• groff: naprawiono błąd CVE-2001-1022, w którym komponent groff pic zawierał lukę w zabezpieczeniach ciągu formatującego.

• Mail: naprawiono błąd CAN-2003-0881, dzięki czemu aplikacja Poczta Mac OS X nie będzie już powracać do logowania zwykłym tekstem, gdy konto jest skonfigurowane do korzystania z uwierzytelniania MD5 Challenge Response.

• OpenSSL: naprawiono CAN-2003-0851 — analizowanie poszczególnych zniekształconych sekwencji ASN.1 jest teraz obsługiwane w bezpieczniejszy sposób.

• Personal File Sharing: naprawiono błąd CAN-2003-0878 — gdy jest włączona funkcja Udostępnianie plików prywatnych, demon slpd daemon nie może już utworzyć pliku należącego do użytkownika root w katalogu /tmp w celu uzyskania podwyższonych uprawnień.

• QuickTime for Java: naprawiono błąd CAN-2003-0871 — potencjalną lukę w zabezpieczeniach, która może umożliwić nieautoryzowany dostęp do systemu.

• zlib: naprawiono błąd CAN-2003-0107. Chociaż w systemie MacOS X nie było funkcji korzystających z podatnej na ataki funkcji gzprintf(), podstawowy problem w bibliotece zlib został naprawiony, aby chronić wszelkie aplikacje innych firm, które mogą potencjalnie korzystać z tej biblioteki.

Uaktualnienie zabezpieczeń 2003-11-19 dla systemu Panther 10.3.1

• OpenSSL: naprawiono CAN-2003-0851 — analizowanie poszczególnych zniekształconych sekwencji ASN.1 jest teraz obsługiwane w bezpieczniejszy sposób.

• zlib: naprawiono błąd CAN-2003-0107. Chociaż w systemie MacOS X nie było funkcji korzystających z podatnej na ataki funkcji gzprintf(), podstawowy problem w bibliotece zlib został naprawiony, aby chronić wszelkie aplikacje innych firm, które mogą potencjalnie korzystać z tej biblioteki.

Uaktualnienie zabezpieczeń 2003-11-04

• Terminal: naprawiono błąd CAN-2003-0913 — potencjalną lukę w zabezpieczeniach aplikacji Terminal w systemach Mac OS X 10.3 i Mac OS X Server 10.3, która mogła pozwolić na nieautoryzowany dostęp do systemu. Problem nie dotyczy systemów Mac OS X starszych niż 10.3.

Uaktualnienie zabezpieczeń 2003-10-28

• Naprawiono błąd CAN-2003-0871 — potencjalną lukę w implementacji QuickTime Java w systemach Mac OS X 10.3 i Mac OS X Server 10.3, która mogła pozwolić na nieautoryzowany dostęp do systemu.

Mac OS X 10.3 Panther

• Finder: naprawiono błąd CAN-2003-0876, w którym uprawnienia do folderu mogą nie zostać zachowane podczas kopiowania folderu z zamontowanego woluminu, takiego jak obraz dysku. Problem wykrył Dave G. z @stake, Inc.

• Kernel: naprawiono błąd CAN-2003-0877, w którym gdy system działa z włączonymi plikami core, użytkownik z interaktywnym dostępem do powłoki może nadpisywać dowolne pliki i odczytywać pliki core utworzone przez procesy należące do użytkownika root. Może to doprowadzić do naruszenia poufnych informacji, takich jak dane uwierzytelniające. Tworzenie plików core jest domyślnie wyłączone w systemie Mac OS X. Problem wykrył Dave G. z @stake, Inc.

• slpd: naprawiono błąd CAN-2003-0878, w którym gdy jest włączona funkcja Udostępnianie plików prywatnych, demon slpd może utworzyć plik należący do użytkownika root w katalogu /tmp. Może to spowodować nadpisanie istniejącego pliku i umożliwić użytkownikowi uzyskanie podwyższonych uprawnień. Funkcja Udostępnianie plików prywatnych jest domyślnie wyłączona w systemie Mac OS X. Problem wykrył Dave G. z @stake, Inc.

• Kernel: naprawiono błąd CAN-2003-0895, w którym użytkownik lokalny może spowodować awarię jądra systemu Mac OS X, podając długi argument w wierszu poleceń. Urządzenie uruchomi się ponownie po kilku minutach. Problem wykrył Dave G. z @stake, Inc.

• ktrace: naprawiono błąd CVE-2002-0701 — teoretyczny exploit, w którym gdy narzędzie ktrace jest włączone poprzez opcję jądra KTRACE, lokalny użytkownik może być w stanie uzyskać poufne informacje. Żadne konkretne narzędzie nie jest obecnie podatne na ten konkretny problem.

• nfs: naprawiono błąd CVE-2002-0830 dotyczący sieciowego systemu plików, w którym zdalny użytkownik może być w stanie wysyłać komunikaty RPC powodujące zablokowanie systemu.

• zlib: naprawiono błąd CAN-2003-0107. Chociaż w systemie Mac OSX nie istniały żadne funkcje wykorzystujące podatną na ataki funkcję gzprintf(), podstawowy błąd w bibliotece zlib został naprawiony.

• gm4: naprawiono błąd CAN-2001-1411 — lukę w zabezpieczeniach ciągu formatującego w narzędziu gm4. Żadne programy root z ustawionym identyfikatorem uid nie opierały się na narzędziu gm4, a ta poprawka jest środkiem zapobiegającym przyszłemu wykorzystywaniu.

• OpenSSH: naprawiono błąd CAN-2003-0386, w którym ograniczenia „from=" i „user@hosts” są potencjalnie możliwe do sfałszowania za pośrednictwem odwrotnego DNS dla numerycznie określonych adresów IP. System Mac OS X 10.3 zawiera również wcześniejsze poprawki wydane dla OpenSSH, a wersja OpenSSH uzyskana za pomocą polecenia „ssh -V” to: OpenSSH_3.6.1p1+CAN-2003-0693, SSH protocols 1.5/2.0, OpenSSL 0x0090702f.

• nidump: naprawiono błąd CAN-2001-1412 , w którym narzędzie nidump zapewnia dostęp do zaszyfrowanych haseł używanych do uwierzytelniania logowania.

• System Preferences: naprawiono błąd CAN-2003-0883, w którym po uwierzytelnieniu za pomocą hasła administratora system będzie przez krótki czas nadal zezwalał na dostęp do bezpiecznych paneli preferencji. Może to pozwolić użytkownikowi lokalnemu na dostęp do paneli preferencji, z których normalnie nie mógłby korzystać. W preferencjach Ochrona systemu Mac OS X 10.3 dostępna jest teraz opcja „Wymagaj hasła do odblokowania dowolnego panelu bezpiecznych preferencji systemowych”. Problem zgłosił Anthony Holder.

• TCP timestamp: naprawiono błąd CAN-2003-0882 , w którym znacznik czasu TCP jest inicjowany stałą liczbą. Może to umożliwić osobie sprawdzenie, jak długo system nie działa, na podstawie identyfikatora zawartego w pakietach TCP. W systemie Mac OS X 10.3 znacznik czasu TCP jest teraz inicjowany losową liczbą. Problem zgłosił Aaron Linville, który również przesłał poprawkę za pośrednictwem programu open source Darwin.

• Mail: naprawiono błąd CAN-2003-0881 w aplikacji Poczta Mac OS X, w którym gdy konto jest skonfigurowane do korzystania z uwierzytelniania MD5 Challenge Response, spróbuje zalogować się przy użyciu CRAM-MD5, ale po cichu powróci do zwykłego tekstu, jeśli zaszyfrowane logowanie nie powiedzie się. Problem zgłosił Chris Adams.

• Dock: naprawiono błąd CAN-2003-0880, w którym po włączeniu funkcji Pełny dostęp z klawiatury w panelu Klawiatura w Preferencjach systemowych dostęp do funkcji Docka można uzyskać na ślepo zza efektów ekranowych.

Mac OS X 10.2.8

• OpenSSL: naprawiono błędy CAN-2003-0543, CAN-2003-0544, CAN-2003-0545 w celu rozwiązania potencjalnych problemów w niektórych strukturach ASN.1 oraz w kodzie weryfikacji certyfikatu. Aby dostarczyć uaktualnienie w szybki i niezawodny sposób, zastosowano tylko poprawki dla wymienionych powyżej identyfikatorów CVE, a nie całą najnowszą bibliotekę OpenSSL. W związku z tym wersja OpenSSL w systemie Mac OS X 10.2.8, uzyskana za pomocą polecenia „openssl version”, to: OpenSSL 0.9.6i Feb 19 2003.

• OpenSSH: naprawiono błędy CAN-2003-0693, CAN-2003-0695 i CAN-2003-0682 aby naprawić błędy zarządzania buforem w sshd OpenSSH w wersjach wcześniejszych niż 3.7.1. Aby dostarczyć uaktualnienie w szybki i niezawodny sposób, zastosowano tylko poprawki dla wymienionych powyżej identyfikatorów CVE, a nie cały zestaw poprawek dla OpenSSH 3.7.1. W związku z tym wersja OpenSSH w systemie Mac OS X 10.2.8, uzyskana za pomocą polecenia „ssh -V”, to: OpenSSH_3.4p1+CAN-2003-0693, SSH protocols 1.5/2.0, OpenSSL 0x0090609f.

• sendmail: naprawiono błędy CAN-2003-0694 i CAN-2003-0681, aby naprawić przepełnienie bufora podczas analizowania adresu, a także potencjalne przepełnienie bufora podczas analizowania zestawu reguł.

• fb_realpath(): naprawiono błąd CAN-2003-0466 — błąd typu „off-by-one” w funkcji fb_realpath(), który może pozwolić atakującym na wykonanie dowolnego kodu.

• arplookup(): naprawiono błąd CAN-2003-0804. Funkcja arplookup() buforuje żądania ARP dotyczące tras na łączu lokalnym. Tylko w lokalnej podsieci atakujący może wysłać wystarczającą liczbę fałszywych żądań ARP, które wyczerpią pamięć jądra, prowadząc do odmowy usługi.

Informacje na temat starszych uaktualnień zabezpieczeń można znaleźć w artykule Uaktualnienia zabezpieczeń Apple (do sierpnia 2003 r.).