Informacje o zawartości związanej z zabezpieczeniami w systemie OS X Yosemite 10.10
Ten dokument zawiera informacje o zawartości związanej z zabezpieczeniami w systemie OS X Yosemite 10.10.
W celu ochrony swoich klientów firma Apple nie ujawnia, nie omawia ani nie potwierdza problemów dotyczących zabezpieczeń przed ich pełnym zbadaniem i udostępnieniem wszelkich niezbędnych poprawek lub wersji oprogramowania. Więcej informacji o bezpieczeństwie produktów firmy Apple można znaleźć w witrynie Bezpieczeństwo produktów firmy Apple.
Informacje o kluczu PGP serwisu Bezpieczeństwo produktów firmy Apple zawiera artykuł Używanie klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.
Tam, gdzie jest to możliwe, w odniesieniu do luk w zabezpieczeniach są używane identyfikatory CVE, aby ułatwić uzyskanie dalszych informacji.
Informacje o innych uaktualnieniach zabezpieczeń zawiera artykuł Uaktualnienia zabezpieczeń firmy Apple.
OS X Yosemite 10.10
802.1X
Zagrożenie: osoba atakująca może uzyskać dane logowania do sieci Wi-Fi.
Opis: osoba atakująca mogła podszyć się pod punkt dostępu Wi-Fi, zaoferować użytkownikowi uwierzytelnienie się za pomocą protokołu LEAP, złamać skrót MS-CHAPv1, a następnie użyć uzyskanych w ten sposób danych logowania do uwierzytelnienia się na docelowym punkcie dostępu, nawet jeśli ten punkt dostępu obsługiwał silniejsze metody uwierzytelniania. Ten problem rozwiązano przez domyślne wyłączenie protokołu LEAP.
Identyfikator CVE
CVE-2014-4364: Pieter Robyns, Bram Bonne, Peter Quax i Wim Lamotte z Uniwersytetu w Hasselt
Serwer plików AFP
Zagrożenie: osoba atakująca zdalnie może ustalić wszystkie adresy sieciowe systemu.
Opis: serwer plików AFP obsługuje polecenie, które zwracało wszystkie adresy sieciowe systemu. Rozwiązanie tego problemu polega na usunięciu adresów z danych wyjściowych.
Identyfikator CVE
CVE-2014-4426: Craig Young z zespołu Tripwire VERT
Apache
Zagrożenie: istnieje wiele luk w zabezpieczeniach serwera Apache.
Opis: oprogramowanie Apache zawiera szereg luk w zabezpieczeniach, z których najpoważniejsze mogą pozwolić na atak typu „odmowa usługi”. W celu rozwiązania tych problemów należy uaktualnić serwer Apache do wersji 2.4.9.
Identyfikator CVE
CVE-2013-6438
CVE-2014-0098
Piaskownica aplikacji
Zagrożenie: aplikacja z nałożonymi ograniczeniami piaskownicy może w niewłaściwy sposób użyć interfejsu API ułatwień dostępu.
Opis: aplikacja z nałożonymi ograniczeniami piaskownicy może w niewłaściwy sposób użyć interfejsu API ułatwień dostępu bez wiedzy użytkownika. Rozwiązanie tego problemu polega na wprowadzeniu wymagania zatwierdzenia przez administratora w przypadku używania interfejsu API ułatwień dostępu dla poszczególnych aplikacji.
Identyfikator CVE
CVE-2014-4427: Paul S. Ziegler z firmy Reflare UG
Bash
Zagrożenie: w niektórych konfiguracjach osoba atakująca zdalnie może być w stanie wykonywać dowolne polecenia powłoki.
Opis: w analizie składni zmiennych środowiskowych basha występował błąd. Ten problem rozwiązano przez ulepszenie analizowania składni zmiennych środowiskowych za sprawą lepszego wykrywania końca wyrażenia funkcji.
To uaktualnienie wprowadza też sugerowaną zmianę CVE-2014-7169, która zeruje stan parsera.
Ponadto to uaktualnienie dodaje nową przestrzeń nazw dla eksportowanych funkcji, tworząc dekoratora funkcji, aby zapobiec niezamierzonemu przekazywaniu nagłówka do basha. Nazwy wszystkich zmiennych środowiskowych wprowadzających definicje funkcji muszą mieć prefiks „__BASH_FUNC<” i sufiks „>()”, aby zapobiec niezamierzonemu przekazywaniu funkcji za pośrednictwem nagłówków HTTP.
Identyfikator CVE
CVE-2014-6271: Stephane Chazelas
CVE-2014-7169: Tavis Ormandy
Bluetooth
Zagrożenie: złośliwe urządzenie wejściowe Bluetooth może ominąć mechanizm zestawiania w parę.
Opis: możliwe jest nawiązywanie nieszyfrowanych połączeń z urządzeń interfejsu użytkownika (HID, Human Interface Device) Bluetooth o niskim poborze energii. Jeśli komputer Mac zostanie zestawiony w parę z takim urządzeniem, osoba atakująca może podszyć się pod prawidłowe urządzenie w celu nawiązania połączenia. Rozwiązanie tego problemu polega na odmowie akceptowania nieszyfrowanych połączeń z urządzeniami HID.
Identyfikator CVE
CVE-2014-4428: Mike Ryan z firmy iSEC Partners
CFPreferences
Zagrożenie: preferencja „Wymagaj hasła po uśpieniu lub włączeniu wygaszacza ekranu” może nie działać do momentu ponownego uruchomienia.
Opis: istnieje problem z zarządzaniem sesjami w kontekście obsługi ustawień preferencji systemu. Rozwiązanie tego problemu polega na poprawieniu procedur śledzenia sesji.
Identyfikator CVE
CVE-2014-4425
Zasady zaufania dotyczące certyfikatów
Zagrożenie: uaktualnienie zasad zaufania dotyczących certyfikatów.
Opis: uaktualniono zasady zaufania dotyczące certyfikatów. Pełną listę certyfikatów można zobaczyć na stronie http://support.apple.com/kb/HT6005?viewlocale=pl_PL.
CoreStorage
Zagrożenie: zaszyfrowany wolumin może pozostać odblokowany po wysunięciu.
Opis: gdy zaszyfrowany wolumin jest wysuwany logicznie po zamontowaniu, następuje odmontowanie woluminu z zachowaniem kluczy, przez co można zamontować wolumin ponownie bez hasła. Rozwiązanie tego problemu polega na wprowadzeniu wymazywania kluczy przy wysuwaniu.
Identyfikator CVE
CVE-2014-4430: Benjamin King z firmy See Ben Click Computer Services LLC, Karsten Iwen, Dustin Li (http://dustin.li/), Ken J. Takekoshi i inni anonimowi badacze
CUPS
Zagrożenie: użytkownik lokalny może wykonać dowolny kod z uprawnieniami systemowymi.
Opis: Gdy interfejs internetowy CUPS udostępnia pliki, śledzi łącza symboliczne. Użytkownik lokalny może utworzyć łącza symboliczne do dowolnych plików i pobierać je przez interfejs internetowy. Rozwiązanie tego problemu polega na wycofaniu zezwolenia na udostępnianie łączy symbolicznych przez interfejs internetowy CUPS.
Identyfikator CVE
CVE-2014-3537
Dock
Zagrożenie: w niektórych przypadkach okna mogą być widoczne po zablokowaniu ekranu.
Opis: w procedurach obsługi blokady ekranu występuje błąd dotyczący zarządzania stanem. Rozwiązanie tego problemu polega na poprawieniu procedur śledzenia stanu.
Identyfikator CVE
CVE-2014-4431: Emil Sjölander z Uniwersytetu w Umeå
fdesetup
Zagrożenie: polecenie fdesetup może nieprawidłowo informować o stanie szyfrowania dysku.
Opis: po uaktualnieniu ustawień przed ponownym uruchomieniem polecenie fdesetup podaje nieprawidłowe informacje o stanie. Rozwiązanie tego problemu polega na poprawieniu procedur informowania o stanie.
Identyfikator CVE
CVE-2014-4432
iCloud — Znajdź mój Mac
Zagrożenie: numer PIN trybu utraty usługi iCloud można wykryć metodą pełnego przeglądu.
Opis: problem z zachowaniem stanu w mechanizmie ograniczania przepustowości umożliwia wykrycie numeru PIN trybu utraty usługi iCloud metodą pełnego przeglądu. Rozwiązanie tego problemu polega na poprawieniu obsługi zachowania stanu w przypadku ponownego uruchamiania.
Identyfikator CVE
CVE-2014-4435: knoy
IOAcceleratorFamily
Zagrożenie: aplikacja może wywołać atak typu odmowa usługi.
Opis: w sterowniku IntelAccelerator występowała dereferencja wskaźnika NULL. Rozwiązanie tego problemu polega na poprawieniu procedury obsługi błędów.
Identyfikator CVE
CVE-2014-4373: cunzhang z Adlab of Venustech
IOHIDFamily
Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.
Opis: w procedurze obsługi właściwości odwzorowania klawiszy przez rozszerzenie IOHIDFamily występowała dereferencja wskaźnika NULL. Ten problem rozwiązano przez poprawienie procedury sprawdzania właściwości odwzorowania klawiszy IOHIDFamily.
Identyfikator CVE
CVE-2014-4405: Ian Beer z Google Project Zero
IOHIDFamily
Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.
Opis: w procedurze obsługi właściwości odwzorowania klawiszy przez rozszerzenie IOHIDFamily występował błąd powodujący przepełnienie buforu sterty. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.
Identyfikator CVE
CVE-2014-4404: Ian Beer z Google Project Zero
IOHIDFamily
Zagrożenie: aplikacja może wywołać atak typu odmowa usługi.
Opis: sterownik IOHIDFamily odczytuje zawartość pamięci poza prawidłowym zakresem. Rozwiązanie tego problemu polega na poprawieniu mechanizmu sprawdzania poprawności danych wejściowych.
Identyfikator CVE
CVE-2014-4436: cunzhang z Venustech Adlab
IOHIDFamily
Zagrożenie: użytkownik może wykonać dowolny kod z uprawnieniami systemowymi.
Opis: występuje problem z zapisem poza prawidłowym zakresem w sterowniku IOHIDFamily. Rozwiązanie tego problemu polega na poprawieniu mechanizmu sprawdzania poprawności danych wejściowych.
Identyfikator CVE
CVE-2014-4380: cunzhang z Adlab of Venustech
IOKit
Zagrożenie: złośliwie spreparowana aplikacja może być w stanie odczytać niezainicjowane dane z pamięci jądra.
Opis: w procedurach obsługi funkcji IOKit występował błąd dostępu do niezainicjowanej pamięci. Ten problem rozwiązano przez poprawienie procedur inicjowania pamięci..
Identyfikator CVE
CVE-2014-4407: @PanguTeam
IOKit
Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.
Opis: w procedurach obsługi określonych pól metadanych obiektów IODataQueue występował błąd sprawdzania poprawności. Ten problem rozwiązano przez poprawienie procedury sprawdzania poprawności metadanych.
Identyfikator CVE
CVE-2014-4388: @PanguTeam
IOKit
Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.
Opis: w procedurach obsługi określonych pól metadanych obiektów IODataQueue występował błąd sprawdzania poprawności. Ten problem rozwiązano przez poprawienie procedury sprawdzania poprawności metadanych.
Identyfikator CVE
CVE-2014-4418: Ian Beer z Google Project Zero
Jądro
Zagrożenie: użytkownik lokalny może być w stanie określić rozkład pamięci jądra.
Opis: w interfejsie statystyk sieciowych występowało wiele błędów niezainicjowanej pamięci, które prowadziły do ujawnienia zawartości pamięci jądra. Ten problem rozwiązano przez wprowadzenie dodatkowej procedury inicjowania pamięci.
Identyfikator CVE
CVE-2014-4371: Fermin J. Serna z Google Security Team
CVE-2014-4419: Fermin J. Serna z Google Security Team
CVE-2014-4420: Fermin J. Serna z Google Security Team
CVE-2014-4421: Fermin J. Serna z Google Security Team
Jądro
Zagrożenie: złośliwie skonstruowany system plików może spowodować nieoczekiwane zamknięcie systemu lub wykonanie dowolnego kodu.
Opis: w mechanizmie obsługi rozgałęzień zasobów w systemie plików HFS występuje problem z przepełnieniem bufora sterty. Złośliwie skonstruowany system plików może spowodować nieoczekiwane zamknięcie systemu lub wykonanie dowolnego kodu z uprawnieniami jądra. Rozwiązanie tego problemu polega na poprawieniu mechanizmu sprawdzania ograniczeń.
Identyfikator CVE
CVE-2014-4433: Maksymilian Arciemowicz
Jądro
Zagrożenie: złośliwy system plików może spowodować nieoczekiwane zamknięcie systemu.
Opis: w procedurach obsługi nazw plików w systemie HFS występuje problem z dereferencją wskaźnika NULL. Złośliwie skonstruowany system plików może spowodować nieoczekiwane zamknięcie systemu. Ten problem został rozwiązany poprzez likwidację pustego odwołania.
Identyfikator CVE
CVE-2014-4434: Maksymilian Arciemowicz
Jądro
Zagrożenie: użytkownik lokalny może spowodować nieoczekiwane zakończenie działania systemu lub wykonanie dowolnego kodu w jądrze.
Opis: w procedurach obsługi portów Mach występował błąd dwukrotnego zwolnienia pamięci. Ten problem rozwiązano przez poprawienie procedury sprawdzania poprawności portów Mach.
Identyfikator CVE
CVE-2014-4375: anonimowy badacz
Jądro
Zagrożenie: osoba z uprzywilejowanym dostępem do sieci może przeprowadzić atak typu „odmowa usługi”.
Opis: w procedurach obsługi pakietów IPv6 występowała sytuacja wyścigu. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania stanu blokady.
Identyfikator CVE
CVE-2011-2391: Marc Heuse
Jądro
Zagrożenie: użytkownik lokalny może spowodować nieoczekiwane zakończenie działania systemu lub wykonanie dowolnego kodu w jądrze.
Opis: w funkcji rt_setgate występował problem odczytu spoza dozwolonego zakresu. Może to prowadzić do ujawnienia lub uszkodzenia pamięci. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.
Identyfikator CVE
CVE-2014-4408
Jądro
Zagrożenie: użytkownik lokalny może spowodować nieoczekiwane zamknięcie systemu.
Opis: procedury obsługi komunikatów wysyłanych do gniazd sterowania systemem mogą osiągnąć stan błędu jądra. Rozwiązanie tego problemu polega na zastosowaniu dodatkowej procedury sprawdzania poprawności komunikatów.
Identyfikator CVE
CVE-2014-4442: Darius Davis z firmy VMware
Jądro
Zagrożenie: niektóre środki utwardzania jądra można omijać.
Opis: generator liczb losowych używany w środkach utwardzania jądra na wczesnym etapie procesu rozruchu nie był bezpieczny pod względem kryptograficznym. Niektóre jego wyniki dawały się wywnioskować z przestrzeni użytkownika, umożliwiając ominięcie środków utwardzania. Ten problem rozwiązano przez użycie algorytmu bezpiecznego pod względem kryptograficznym.
Identyfikator CVE
CVE-2014-4422: Tarjei Mandt z Azimuth Security
Usługi uruchamiania
Zagrożenie: aplikacja lokalna może ominąć ograniczenia piaskownicy.
Opis: interfejs usług uruchamiania służący do ustawiania modułów obsługi typów zawartości umożliwia aplikacjom z ograniczeniami piaskownicy określanie modułów obsługi istniejących typów zawartości. Złośliwa aplikacja może w ten sposób ominąć ograniczenia piaskownicy. Rozwiązanie tego problemu polega na zablokowaniu określania modułów obsługi typów zawartości przez aplikacje z ograniczeniami piaskownicy.
Identyfikator CVE
CVE-2014-4437: Meder Kydyraliev z zespołu do spraw bezpieczeństwa w firmie Google
Okno logowania
Zagrożenie: czasami ekran może nie zostać zablokowany.
Opis: w klasie LoginWindow występuje sytuacja wyścigu, która czasami może zapobiec zablokowaniu ekranu. Rozwiązanie tego problemu polega na zmianie kolejności operacji.
Identyfikator CVE
CVE-2014-4438: Harry Sintonen z firmy nSense, Alessandro Lobina z firmy Helvetia Insurances, Patryk Szlagowski z firmy Funky Monkey Labs
Mail
Zagrożenie: aplikacja Mail może wysyłać wiadomości e-mail do innych odbiorców niż wybrani.
Opis: niespójność w interfejsie użytkownika aplikacji Mail skutkuje wysyłaniem wiadomości na adresy usunięte z listy odbiorców. Rozwiązanie tego problemu polega na ulepszeniu testów spójności interfejsu użytkownika.
Identyfikator CVE
CVE-2014-4439: Patrick J Power z Melbourne w Australii
Profile konfiguracji pulpitu MCX
Zagrożenie: przy dezinstalacji profilów konfiguracji urządzeń przenośnych ustawienia nie są usuwane.
Opis: przy dezinstalacji profilów konfiguracji urządzeń przenośnych nie są usuwane ustawienia serwera internetowego proxy zainstalowane przez takie profile. Rozwiązanie tego problemu polega na poprawieniu procedur obsługi dezinstalacji profilów.
Identyfikator CVE
CVE-2014-4440: Kevin Koster z firmy Cloudpath Networks
Platforma klientów NetFS
Zagrożenie: funkcja udostępniania plików może wejść w stan, w którym nie można jej wyłączyć.
Opis: w platformie udostępniania plików występuje problem z zarządzaniem stanami. Ten problem rozwiązano przez poprawienie procedury zarządzania stanem.
Identyfikator CVE
CVE-2014-4441: Eduardo Bonsi z firmy BEARTCOMMUNICATIONS
QuickTime
Zagrożenie: odtworzenie złośliwie spreparowanego pliku M4A może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu.
Opis: w procedurach obsługi próbek audio istnieje błąd powodujący przepełnienie buforu. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.
Identyfikator CVE
CVE-2014-4351: Karl Smith z firmy NCC Group
Safari
Zagrożenie: historia ostatnio odwiedzanych stron na otwartej karcie może pozostać dostępna po wyczyszczeniu historii.
Opis: wyczyszczenie historii przeglądarki Safari nie powoduje wyczyszczenia historii przechodzenia do poprzedniej/następnej strony dla otwartych kart. Rozwiązanie tego problemu polega na wyczyszczeniu historii przechodzenia do poprzedniej/następnej strony.
Identyfikator CVE
CVE-2013-5150
Safari
Zagrożenie: włączenie powiadomień w trybie push ze złośliwie skonstruowanej witryny może spowodować pominięcie przyszłych powiadomień tego typu w przeglądarce Safari.
Opis: w procedurach obsługi powiadomień w trybie push w przeglądarce Safari przez klasę SafariNotificationAgent występuje problem z niewychwyconym wyjątkiem. Rozwiązanie tego problemu polega na ulepszeniu procedur obsługi powiadomień w trybie push w przeglądarce Safari.
Identyfikator CVE
CVE-2014-4417: Marek Isalski z firmy Faelix Limited
Secure Transport
Zagrożenie: osoba atakująca może odszyfrować dane chronione za pomocą protokołu SSL.
Opis: znane są ataki na poufność komunikacji za pośrednictwem protokołu SSL 3.0 polegające na używaniu szyfru blokującego w trybie CBC przez oprogramowanie szyfrujące. Osoba atakująca może zablokować nawiązywanie połączeń przy użyciu protokołu TLS 1.0 lub nowszych wersji, aby wymusić stosowanie protokołu SSL 3.0 nawet w przypadku, gdy serwer powinien obsługiwać lepszy protokół TLS. Ten problem rozwiązano przez wyłączenie zestawów szyfrowania CBC w przypadku niepowodzenia nawiązania połączenia TLS.
Identyfikator CVE
CVE-2014-3566: Bodo Moeller, Thai Duong i Krzysztof Kotowicz z zespołu do spraw bezpieczeństwa w firmie Google
Zabezpieczenia
Zagrożenie: osoba atakująca zdalnie może spowodować atak typu „odmowa usługi”.
Opis: procedury obsługi danych ASN.1 zawierają dereferencję wskaźnika NULL. Rozwiązanie problemu polega na wprowadzeniu dodatkowej procedury sprawdzania poprawności danych ASN.1.
Identyfikator CVE
CVE-2014-4443: Coverity
Zabezpieczenia
Zagrożenie: użytkownik lokalny może uzyskać dostęp do biletów Kerberos innego użytkownika.
Opis: w klasie SecurityAgent występuje błąd dotyczący zarządzania stanami. Podczas szybkiego przełączania użytkowników bilet Kerberos nowego użytkownika może zostać umieszczony w buforze poprzedniego użytkownika. Ten problem rozwiązano przez poprawienie procedury zarządzania stanem.
Identyfikator CVE
CVE-2014-4444: Gary Simon z ośrodka Sandia National Laboratories, Ragnar Sundblad z Królewskiego Instytutu Technologicznego w Sztokholmie, Eugene Homyakov z firmy Kaspersky Lab
Zabezpieczenia — podpisywanie kodu
Zagrożenie: nie można zapobiec uruchomieniu zmodyfikowanych aplikacji.
Opis: aplikacje zaprojektowane dla systemów OS X w wersjach starszych niż Mavericks 10.9 oraz aplikacje stosujące niestandardowe reguły dotyczące zasobów mogą być podatne na zmiany, które nie powodują unieważnienia ich podpisów. W systemach skonfigurowanych do zezwalania tylko na działanie aplikacji ze sklepu Mac App Store i od określonych producentów pobrana zmodyfikowana aplikacja może uzyskać zezwolenie na uruchomienie w taki sam sposób jak prawidłowa aplikacja. Rozwiązanie tego problemu polega na wprowadzeniu ignorowania podpisów pakietów z opakowaniami zasobów, które pomijają zasoby mogące mieć wpływ na uruchamianie aplikacji. Zmiany te są już wprowadzone w systemie OS X Mavericks 10.9.5 i uaktualnieniu zabezpieczeń 2014-004 dla systemu OS X Mountain Lion 10.8.5.
Identyfikator CVE
CVE-2014-4391: Christopher Hickstein w ramach programu Zero Day Initiative firmy HP
Uwaga: system OS X Yosemite zawiera przeglądarkę Safari 8.0, w której są dostępne rozwiązania dotyczące zabezpieczeń z przeglądarki Safari 7.1. Więcej informacji można uzyskać w artykule Informacje o zawartości związanej z zabezpieczeniami w przeglądarkach Safari 6.2 i Safari 7.1.
Przedstawione informacje dotyczące produktów, które nie zostały wyprodukowane przez firmę Apple, bądź niezależnych witryn internetowych, które nie są kontrolowane ani testowane przez firmę Apple, nie mają charakteru rekomendacji. Firma Apple nie ponosi odpowiedzialności za wybór, działanie lub wykorzystanie witryn bądź produktów innych firm. Firma Apple nie składa żadnych oświadczeń dotyczących dokładności ani wiarygodności witryn internetowych innych firm. Skontaktuj się z dostawcą, aby uzyskać dodatkowe informacje.