Informacje o zawartości związanej z zabezpieczeniami w oprogramowaniu OS X Server 3.0

Dowiedz się o zawartości związanej z zabezpieczeniami w oprogramowaniu OS X Server 3.0.

Ten dokument zawiera informacje o zawartości związanej z zabezpieczeniami w oprogramowaniu OS X Server 3.0.

W celu ochrony swoich klientów firma Apple nie ujawnia, nie omawia ani nie potwierdza problemów dotyczących zabezpieczeń przed ich pełnym zbadaniem i udostępnieniem wszelkich niezbędnych poprawek lub wersji oprogramowania. Więcej informacji o bezpieczeństwie produktów firmy Apple można znaleźć w witrynie Bezpieczeństwo produktów firmy Apple.

Informacje o kluczu PGP serwisu Bezpieczeństwo produktów firmy Apple zawiera artykuł Używanie klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Tam, gdzie jest to możliwe, w odniesieniu do luk w zabezpieczeniach są używane identyfikatory CVE, aby ułatwić uzyskanie dalszych informacji.

Informacje o innych uaktualnieniach zabezpieczeń zawiera artykuł Uaktualnienia zabezpieczeń firmy Apple.

OS X Server 3.0

• Narzędzie Profile Manager

  Dostępne dla: OS X Mavericks 10.9 lub nowszy

  Zagrożenie: osoba atakująca zdalnie może spowodować atak typu „odmowa usługi”.

  Opis: gem JSON języka Ruby trwale alokował pamięć przy parsowaniu niektórych konstrukcji w danych wejściowych. Atakujący mógł to wykorzystać do zajęcia całej dostępnej pamięci i doprowadzić w ten sposób do odmowy usługi. Ten problem rozwiązano przez wprowadzenie dodatkowej procedury sprawdzania poprawności danych JSON.

  Identyfikator CVE

  CVE-2013-0269

• Narzędzie Profile Manager

  Dostępne dla: OS X Mavericks 10.9 lub nowszy

  Zagrożenie: wiele błędów w środowisku Ruby on Rails.

  Opis: w środowisku Ruby on Rails występowało wiele luk, z których najpoważniejsze mogły umożliwić atak XSS (cross-site scripting). Ten problem rozwiązano przez uaktualnienie implementacji środowiska Rails wykorzystywanej przez program Profile Manager do wersji 2.3.18.

  Identyfikator CVE

  CVE-2013-1854

  CVE-2013-1855

  CVE-2013-1856

  CVE-2013-1857

• FreeRADIUS

  Dostępne dla: OS X Mavericks 10.9 lub nowszy

  Zagrożenie: osoba atakująca zdalnie może przeprowadzić atak typu „odmowa usługi” lub spowodować wykonanie dowolnego kodu.

  Opis: w oprogramowaniu FreeRADIUS dochodziło do przepełnienia buforu podczas parsowania sygnatury czasowej „not after” w certyfikacie klienta, gdy wykorzystywane były metody EAP bazujące na protokole TLS. Ten problem rozwiązano przez uaktualnienie oprogramowania FreeRADIUS do wersji 2.2.0.

  Identyfikator CVE

  CVE-2012-3547

• Aplikacja Server

  Dostępne dla: OS X Mavericks 10.9 lub nowszy

  Zagrożenie: aplikacja Server może korzystać z rezerwowego certyfikatu podczas uwierzytelniania.

  Opis: problem polegał na występowaniu błędu logicznego, w wyniku którego usługa RADIUS mogła wybrać niewłaściwy certyfikat z listy skonfigurowanych certyfikatów. Ten problem rozwiązano przez korzystanie z tego samego certyfikatu co inne usługi.

  Identyfikator CVE

  CVE-2013-5143: Arek Dreyer z firmy Dreyer Network Consultants, Inc.