Zawartość związana z zabezpieczeniami w systemie OS X Mountain Lion 10.8.4 i uaktualnieniu zabezpieczeń 2013-002

Ten dokument zawiera informacje o zawartości związanej z zabezpieczeniami w systemie OS X Mountain Lion 10.8.4 i uaktualnieniu zabezpieczeń 2013-002, które można zainstalować za pośrednictwem preferencji Uaktualnienia oprogramowania lub z witryny Apple z materiałami do pobrania.

W celu ochrony swoich klientów firma Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń zabezpieczeń przed ich pełnym zbadaniem i udostępnieniem wszelkich niezbędnych poprawek lub wersji oprogramowania. Więcej informacji o bezpieczeństwie produktów Apple można znaleźć na tej stronie

Informacje o kluczu PGP serwisu Bezpieczeństwo produktów Apple zawiera artykuł Używanie klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Tam, gdzie jest to możliwe, w odniesieniu do luk w zabezpieczeniach są używane identyfikatory CVE, aby ułatwić uzyskanie dalszych informacji.

Informacje o innych uaktualnieniach zabezpieczeń zawiera artykuł Uaktualnienia zabezpieczeń firmy Apple.

OS X Mountain Lion 10.8.4 i uaktualnienie zabezpieczeń 2013-002

Uwaga: system OS X Mountain Lion 10.8.4 obejmuje zawartość przeglądarki Safari 6.0.5. Więcej informacji można znaleźć w artykule Zawartość związana z zabezpieczeniami w przeglądarce Safari 6.0.5.

• CFNetwork

  Dostępne dla: systemu OS X Mountain Lion 10.8 do 10.8.3

  Zagrożenie: osoba atakująca, która ma dostęp do sesji użytkownika, może być w stanie zalogować się do poprzednio odwiedzonych witryn, nawet jeśli był używany tryb Przeglądanie prywatne.

  Opis: trwałe pliki cookie są zachowywane po zamknięciu przeglądarki Safari, nawet jeśli jest włączony tryb Przeglądanie prywatne. Ten problem rozwiązano przez poprawienie obsługi plików cookie.

  Identyfikator CVE

  CVE-2013-0982: Alexander Traud z witryny www.traud.de

• CoreAnimation

  Dostępne dla: systemów OS X Mountain Lion 10.8 do 10.8.3

  Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może doprowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu.

  Opis: w procedurach obsługi symboli tekstowych występuje błąd alokacji niepowiązanych stosów. Ten problem może występować w przypadku złośliwie spreparowanych adresów URL w przeglądarce Safari. Ten błąd naprawiono przez poprawienie mechanizmu sprawdzania ograniczeń.

  Identyfikator CVE

  CVE-2013-0983 : David Fifield ze Stanford University, Ben Syverson

• CoreMedia Playback

  Dostępne dla: systemów OS X Lion 10.7 do 10.7.5, OS X Lion Server 10.7 do 10.7.5, OS X Mountain Lion 10.8 do 10.8.3

  Zagrożenie: wyświetlenie złośliwie spreparowanego pliku filmu może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

  Opis: w procedurach obsługi ścieżek tekstowych występuje błąd niezainicjowanego dostępu do pamięci. Ten błąd naprawiono przez zastosowanie dodatkowej procedury sprawdzania poprawności ścieżek tekstowych.

  Identyfikator CVE

  CVE-2013-1024: Richard Kuo i Billy Suguitan z Triemt Corporation

• CUPS

  Dostępne dla: systemu OS X Mountain Lion 10.8 do 10.8.3

  Zagrożenie: użytkownik lokalny należący do grupy lpadmin może być w stanie odczytywać lub zapisywać dowolne pliki z uprawnieniami systemowymi.

  Opis: w procedurach obsługi konfiguracji systemu CUPS za pośrednictwem interfejsu internetowego systemu CUPS występuje błąd powodujący poszerzenie uprawnień. Użytkownik lokalny należący do grupy lpadmin może odczytywać lub zapisywać dowolne pliki z uprawnieniami systemowymi. Rozwiązanie tego problemu polega na przeniesieniu pewnych dyrektyw konfiguracyjnych do pliku cups-files.conf, którego nie można modyfikować za pomocą interfejsu internetowego systemu CUPS.

  Identyfikator CVE

  CVE-2012-5519

• Directory Service

  Dostępne dla: systemów Mac OS X 10.6.8, Mac OS X Server 10.6.8

  Zagrożenie: osoba atakująca zdalnie może uruchamiać dowolny kod z uprawnieniami systemowymi w systemach z włączoną usługą katalogową.

  Opis: w procedurach obsługi komunikatów z sieci przez serwer katalogowy istnieje błąd. Wysyłając złośliwie spreparowany komunikat, osoba atakująca zdalnie może spowodować zakończenie działania serwera katalogowego lub wykonanie dowolnego kodu z uprawnieniami systemowymi. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń. Ten problem nie występuje na komputerach z systemem OS X Lion lub OS X Mountain Lion.

  Identyfikator CVE

  CVE-2013-0984: Nicolas Economou z Core Security

• Disk Management

  Dostępne dla: systemu OS X Mountain Lion 10.8 do 10.8.3

  Zagrożenie: użytkownik lokalny może wyłączyć funkcję FileVault.

  Opis: użytkownik lokalny niebędący administratorem może wyłączyć funkcję FileVault za pomocą wiersza poleceń. Ten błąd naprawiono przez zastosowanie dodatkowego uwierzytelniania.

  Identyfikator CVE

  CVE-2013-0985

• OpenSSL

  Dostępne dla: systemów Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 do 10.7.5, OS X Lion Server 10.7 do 10.7.5, OS X Mountain Lion 10.8 do 10.8.3

  Zagrożenie: osoba atakująca może odszyfrować dane chronione za pomocą protokołu SSL.

  Opis: znane są ataki na poufność komunikacji za pośrednictwem protokołu TLS 1.0 w przypadku włączenia kompresji. Ten problem rozwiązano przez wyłączenie kompresji w programie OpenSSL.

  Identyfikator CVE

  CVE-2012-4929: Juliano Rizzo i Thai Duong

• OpenSSL

  Dostępne dla: systemów Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 do 10.7.5, OS X Lion Server 10.7 do 10.7.5, OS X Mountain Lion 10.8 do 10.8.3

  Zagrożenie: wiele luk w zabezpieczeniach programu OpenSSL.

  Opis: program OpenSSL został uaktualniony do wersji 0.9.8x w celu usunięcia wielu luk w zabezpieczeniach, które mogą pozwolić na przeprowadzenie ataku typu „odmowa usługi” lub spowodować ujawnienie klucza prywatnego. Więcej informacji można znaleźć w witrynie internetowej programu OpenSSL pod adresem http://www.openssl.org/news/

  Identyfikator CVE

  CVE-2011-1945

  CVE-2011-3207

  CVE-2011-3210

  CVE-2011-4108

  CVE-2011-4109

  CVE-2011-4576

  CVE-2011-4577

  CVE-2011-4619

  CVE-2012-0050

  CVE-2012-2110

  CVE-2012-2131

  CVE-2012-2333

• QuickDraw Manager

  Dostępne dla: systemów OS X Lion 10.7 do 10.7.5, OS X Lion Server 10.7 do 10.7.5, OS X Mountain Lion 10.8 do 10.8.2

  Zagrożenie: otwarcie złośliwie spreparowanego obrazu PICT może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

  Opis: w procedurach obsługi obrazów PICT występuje błąd powodujący przepełnienie buforu. Ten błąd naprawiono przez poprawienie mechanizmu sprawdzania ograniczeń.

  Identyfikator CVE

  CVE-2013-0975: Tobias Klein w ramach programu Zero Day Initiative firmy HP

• QuickTime

  Dostępne dla: systemów Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 do 10.7.5, OS X Lion Server 10.7 do 10.7.5, OS X Mountain Lion 10.8 do 10.8.3

  Zagrożenie: wyświetlenie złośliwie spreparowanego pliku filmu może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

  Opis: w procedurze obsługi atomów „enof” występował błąd powodujący przepełnienie buforu. Ten błąd naprawiono przez poprawienie mechanizmu sprawdzania ograniczeń.

  Identyfikator CVE

  CVE-2013-0986: Tom Gallagher (Microsoft) i Paul Bates (Microsoft) pracujący w ramach programu Zero Day Initiative firmy HP

• QuickTime

  Dostępne dla: systemów Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 do 10.7.5, OS X Lion Server 10.7 do 10.7.5, OS X Mountain Lion 10.8 do 10.8.3

  Zagrożenie: wyświetlenie złośliwie spreparowanego pliku QTIF może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu.

  Opis: w procedurze obsługi plików QTIF występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie mechanizmu sprawdzania ograniczeń.

  Identyfikator CVE

  CVE-2013-0987: roob we współpracy z iDefense VCP

• QuickTime

  Dostępne dla: systemów Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 do 10.7.5, OS X Lion Server 10.7 do 10.7.5, OS X Mountain Lion 10.8 do 10.8.3

  Zagrożenie: wyświetlenie złośliwie spreparowanego pliku FPX może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

  Opis: w procedurze obsługi plików FPX występował błąd powodujący przepełnienie buforu. Ten błąd naprawiono przez poprawienie mechanizmu sprawdzania ograniczeń.

  Identyfikator CVE

  CVE-2013-0988: G. Geshev w ramach programu Zero Day Initiative firmy HP

• QuickTime

  Dostępne dla: systemu OS X Mountain Lion 10.8 do 10.8.3

  Zagrożenie: odtworzenie złośliwie spreparowanego pliku MP3 może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu.

  Opis: w procedurze obsługi plików MP3 występował błąd powodujący przepełnienie buforu. Ten błąd naprawiono przez poprawienie mechanizmu sprawdzania ograniczeń.

  Identyfikator CVE

  CVE-2013-0989: G. Geshev w ramach programu Zero Day Initiative firmy HP

• Ruby

  Dostępne dla: systemów Mac OS X 10.6.8, Mac OS X Server 10.6.8

  Zagrożenie: wiele luk w zabezpieczeniach środowiska Ruby on Rails.

  Opis: w środowisku Ruby on Rails występuje wiele luk w zabezpieczeniach, z których najpoważniejsza może spowodować wykonanie dowolnego kodu w systemie, w którym są uruchomione aplikacje środowiska Ruby on Rails. Te problemy rozwiązano przez uaktualnienie środowiska Ruby on Rails do wersji 2.3.18. Ten problem może dotyczyć komputerów z systemem OS X Lion lub OS X Mountain Lion, które zostały uaktualnione z systemu Mac OS X 10.6.8 lub starszego. Za pomocą narzędzia /usr/bin/gem użytkownicy mogą uaktualnić w takich systemach pakiety gem, których dotyczy ten problem.

  Identyfikator CVE

  CVE-2013-0155

  CVE-2013-0276

  CVE-2013-0277

  CVE-2013-0333

  CVE-2013-1854

  CVE-2013-1855

  CVE-2013-1856

  CVE-2013-1857

• SMB

  Dostępne dla: systemów OS X Lion 10.7 do 10.7.5, OS X Lion Server 10.7 do 10.7.5, OS X Mountain Lion 10.8 do 10.8.3

  Zagrożenie: uwierzytelniony użytkownik może zapisywać pliki poza katalogiem udostępnionym.

  Opis: gdy jest włączone udostępnianie plików SMB, uwierzytelniony użytkownik może zapisywać pliki poza katalogiem udostępnionym. Ten błąd naprawiono przez ulepszenie kontroli dostępu.

  Identyfikator CVE

  CVE-2013-0990: Ward van Wanrooij

• Uwaga: począwszy od systemu OS X 10.8.4, aplikacje Java Web Start (JNLP) pobierane z Internetu muszą być podpisane za pomocą certyfikatu z identyfikatorem Developer ID. Funkcja Gatekeeper sprawdza obecność podpisu w pobieranych aplikacjach Java Web Start i blokuje uruchamianie takich aplikacji, jeśli nie są odpowiednio podpisane.

  Do podpisania pliku JNLP można użyć narzędzia codesign, które dołączy podpis kodu do pliku JNLP jako rozszerzone atrybuty. Aby zachować te atrybuty, spakuj plik JNLP do pliku ZIP, XIP lub DMG. Zachowaj ostrożność podczas korzystania z formatu ZIP, ponieważ niektóre narzędzia innych firm mogą nie przechwytywać poprawnie wymaganych atrybutów rozszerzonych.

  Więcej informacji: Notatka techniczna TN2206: szczegółowy opis podpisywania kodu w systemie OS X.