Informacje o uaktualnieniu zabezpieczeń 2008-005

W tym dokumencie opisano uaktualnienie zabezpieczeń 2008-005, które można pobrać i zainstalować za pośrednictwem preferencji funkcji Uaktualnienia oprogramowania lub z witryny Apple z materiałami do pobrania.

W celu ochrony swoich klientów firma Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń zabezpieczeń przed ich pełnym zbadaniem i udostępnieniem wszelkich niezbędnych poprawek lub wersji oprogramowania. Więcej informacji o bezpieczeństwie produktów Apple można znaleźć na tej stronie

Informacje o kluczu PGP serwisu Bezpieczeństwo produktów Apple zawiera artykuł Używanie klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Tam, gdzie jest to możliwe, w odniesieniu do luk w zabezpieczeniach są używane identyfikatory CVE, aby ułatwić uzyskanie dalszych informacji.

Informacje o innych uaktualnieniach zabezpieczeń zawiera artykuł Uaktualnienia zabezpieczeń firmy Apple.

Uaktualnienie zabezpieczeń 2008-005

• Open Scripting Architecture

  Identyfikator CVE: CVE-2008-2830

  Dostępne dla: systemów Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Zagrożenie: użytkownik lokalny może wykonywać polecenia z podwyższonymi uprawnieniami.

  Opis: w bibliotekach Open Scripting Architecture występuje błąd projektowy podczas określania, czy załadować wtyczki dodawania skryptów do aplikacji działających z podwyższonymi uprawnieniami. Wysyłanie poleceń dodawania skryptów do aplikacji z uprawnieniami może pozwolić na wykonanie dowolnego kodu z tymi uprawnieniami. To uaktualnienie rozwiązuje ten problem przez uniemożliwienie ładowania wtyczek dodawania skryptów do aplikacji działających z uprawnieniami systemowymi. Niedawno zgłoszone problemy z ARDAgent i SecurityAgent zostały rozwiązane przez to uaktualnienie. Problem zgłosił Charles Srstka.

• BIND

  Identyfikator CVE: CVE-2008-1447

  Dostępne dla: systemów Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Zagrożenie: program BIND jest podatny na zatruwanie pamięci podręcznej DNS i może zwracać fałszywe informacje.

  Opis: serwer Berkeley Internet Name Domain (BIND) jest dystrybuowany z systemem Mac OS X i nie jest domyślnie włączony. Po włączeniu serwer BIND zapewnia translację między nazwami hostów a adresami IP. Luka w protokole DNS może pozwolić osobom atakującym zdalnie na przeprowadzanie ataków polegających na zatruwaniu pamięci podręcznej DNS. W rezultacie systemy, które polegają na serwerze BIND do obsługi DNS, mogą otrzymywać sfałszowane informacje. To uaktualnienie rozwiązuje ten problem przez wdrożenie randomizacji portów źródłowych w celu poprawienia odporności na ataki polegające na zatruwaniu pamięci podręcznej. W przypadku systemów Mac OS X 10.4.11 program BIND został zaktualizowany do wersji 9.3.5-P1. W przypadku systemów Mac OS X 10.5.4 program BIND został zaktualizowany do wersji 9.4.2-P1. Problem zgłosił Dan Kaminsky z IOActive.

• CarbonCore

  Identyfikator CVE: CVE-2008-7259

  Dostępne dla: systemów Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Zagrożenie: przetwarzanie długich nazw plików może doprowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu.

  Opis: podczas obsługi długich nazw plików występuje przepełnienie buforu stosu. Przetwarzanie długich nazw plików może doprowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu. To uaktualnienie rozwiązuje ten problem przez ulepszenie sprawdzania granic. Problem zgłosili Thomas Raffetseder z International Secure Systems Lab i Sergio 'shadown' Alvarez z n.runs AG.

• CoreGraphics

  Identyfikator CVE: CVE-2008-2321

  Dostępne dla: systemów Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może doprowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu.

  Opis: w CoreGraphics występują problemy z uszkodzeniem pamięci podczas przetwarzania argumentów. Przekazywanie niezaufanych danych wejściowych do CoreGraphics za pośrednictwem aplikacji, takiej jak np. przeglądarka internetowa, może doprowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu. To uaktualnienie rozwiązuje ten problem przez ulepszenie sprawdzania granic. Problem zgłosił Michał Zalewski z Google

• CoreGraphics

  Identyfikator CVE: CVE-2008-2322

  Dostępne dla: systemów Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Zagrożenie: wyświetlenie złośliwie spreparowanego pliku PDF może doprowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu.

  Opis: błąd przepełnienia całkowitoliczbowego podczas obsługi plików PDF może spowodować przepełnienie buforu sterty. Wyświetlanie złośliwie spreparowanego pliku PDF może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu. To uaktualnienie rozwiązuje ten problem przez dodatkową weryfikację plików PDF. Problem zgłosił Pariente Kobi współpracujący z firmą iDefense VCP.

• Data Detectors Engine

  Identyfikator CVE: CVE-2008-2323

  Dostępne dla: systemów Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Zagrożenie: wyświetlanie złośliwie spreparowanych wiadomości za pomocą Data Detectors może doprowadzić do nieoczekiwanego zakończenia działania aplikacji.

  Opis: mechanizmy Data Detectors służą do wyodrębniania informacji referencyjnych z treści tekstowych lub archiwów. Podczas obsługi treści tekstowych przez Data Detectors występuje problem z wykorzystaniem zasobów. Wyświetlenie złośliwie spreparowanej zawartości w aplikacji korzystającej z Data Detectors może doprowadzić do ataku typu „odmowa usługi”, ale nie do wykonania dowolnego kodu. Problem nie dotyczy systemów starszych niż Mac OS X 10.5.

• Disk Utility

  Identyfikator CVE: CVE-2008-2324

  Dostępne dla: systemów Mac OS X 10.4.11, Mac OS X Server 10.4.11

  Zagrożenie: użytkownik lokalny może uzyskać uprawnienia systemowe.

  Opis: Narzędzie Napraw uprawnienia w Narzędziu dyskowym ustawia /usr/bin/emacs jako setuid. Po uruchomieniu narzędzia Napraw uprawnienia użytkownik lokalny może używać narzędzia emacs do uruchamiania poleceń z uprawnieniami systemowymi. To uaktualnienie rozwiązuje ten problem poprzez poprawienie uprawnień zastosowanych do emacs w narzędziu Napraw uprawnienia. Problem nie dotyczy systemów Mac OS X 10.5 i nowszych. Problem zgłosili Anton Rang i Brian Timares.

• OpenLDAP

  Identyfikator CVE: CVE-2008-2952

  Dostępne dla: systemów Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Zagrożenie: osoba atakująca zdalnie może być w stanie spowodować nieoczekiwane zakończenie działania aplikacji.

  Opis: występuje błąd w dekodowaniu ASN.1 BER przez OpenLDAP. Przetwarzanie złośliwie spreparowanego komunikatu LDAP może wywołać asercję i doprowadzić do nieoczekiwanego zakończenia działania demona OpenLDAP o nazwie slapd. To uaktualnienie rozwiązuje ten problem przez dodatkowe sprawdzanie poprawności wiadomości LDAP.

• OpenSSL

  Identyfikator CVE: CVE-2007-5135

  Dostępne dla: systemów Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Zagrożenie: osoba atakująca zdalnie może być w stanie spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

  Opis: w funkcji SSL_get_shared_ciphers() w OpenSSL występuje problem związany ze sprawdzaniem zakresu. W aplikacji korzystającej z tej funkcji przetwarzanie złośliwie spreparowanych pakietów może doprowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu. To uaktualnienie rozwiązuje ten problem przez ulepszenie sprawdzania granic.

• PHP

  Identyfikatory CVE: CVE-2008-2051, CVE-2008-2050, CVE-2007-4850, CVE-2008-0599, CVE-2008-0674

  Dostępne dla: systemów Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Zagrożenie: występuje wiele luk w zabezpieczeniach języka PHP 5.2.5.

  Opis: język PHP został uaktualniony do wersji 5.2.6 w celu wyeliminowania wielu luk w zabezpieczeniach, z których najpoważniejsza może doprowadzić do wykonania dowolnego kodu. Więcej informacji można znaleźć na stronie internetowej PHP pod adresem http://www.php.net/. Język PHP w wersji 5.2.x jest dostępny tylko w systemach Mac OS X 10.5.

• QuickLook

  Identyfikator CVE: CVE-2008-2325

  Dostępne dla: systemów Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.4, Mac OS X Server 10.5.4

  Zagrożenie: pobranie złośliwie spreparowanego pliku pakietu Microsoft Office może doprowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu.

  Opis: podczas obsługi plików pakietu Microsoft Office przez QuickLook występuje wiele problemów związanych z uszkodzeniem pamięci. Pobranie złośliwie spreparowanego pliku pakietu Microsoft Office może doprowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu. To uaktualnienie rozwiązuje ten problem przez ulepszenie sprawdzania granic. Problem nie dotyczy systemów starszych niż Mac OS X 10.5.

• rsync

  .

  Available for: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.4, Mac OS X Server v10.5.4

  Impact: Files outside the module root may be accessed or overwritten remotely

  Description: Path validation issues exist in rsync's handling of symbolic links when running in daemon mode. Placing symbolic links in an rsync module may allow files outside of the module root to be accessed or overwritten. This update addresses the issue through improved handling of symbolic links. Further information on the patches applied is available via the rsync web site at http://rsync.samba.org/