Informacje o uaktualnieniu zabezpieczeń 2009-005

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w uaktualnieniu zabezpieczeń 2009-005.

W celu ochrony swoich klientów firma Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń zabezpieczeń przed ich pełnym zbadaniem i udostępnieniem wszelkich niezbędnych poprawek lub wersji oprogramowania. Więcej informacji o bezpieczeństwie produktów Apple można znaleźć na tej stronie

Informacje o kluczu PGP serwisu Bezpieczeństwo produktów Apple zawiera artykuł Używanie klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Tam, gdzie jest to możliwe, w odniesieniu do luk w zabezpieczeniach są używane identyfikatory CVE, aby ułatwić uzyskanie dalszych informacji.

Informacje o innych uaktualnieniach zabezpieczeń zawiera artykuł Uaktualnienia zabezpieczeń firmy Apple.

Informacje o uaktualnieniu zabezpieczeń 2009-005

• Alias Manager

  Identyfikator CVE: CVE-2009-2800

  Dostępne dla: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.8 i Mac OS X Server 10.5.8

  Zagrożenie: otwarcie złośliwie spreparowanego pliku aliasu może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu.

  Opis: w procedurach obsługi plików aliasów istnieje błąd powodujący przepełnienie buforu. Otwarcie złośliwie spreparowanego pliku aliasu może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. To uaktualnienie rozwiązuje ten problem przez ulepszenie sprawdzania granic. Nie występuje on na komputerach z systemem Mac OS X 10.6. Problem wykryła firma Apple.

• CarbonCore

  Identyfikator CVE: CVE-2009-2803

  Dostępne dla: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.8 i Mac OS X Server 10.5.8

  Zagrożenie: otwarcie pliku ze złośliwie spreparowanym rozwidleniem zasobów może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

  Opis: w procedurach obsługi rozwidleń zasobów przez Menedżera zasobów istnieje błąd, który może spowodować uszkodzenie zawartości pamięci. Otwarcie pliku ze złośliwie spreparowanym rozwidleniem zasobów może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu. To uaktualnienie rozwiązuje ten problem, poprawiając sprawdzanie poprawności rozwidleń zasobów. Nie występuje on na komputerach z systemem Mac OS X 10.6. Problem wykryła firma Apple.

• ClamAV

  Identyfikator CVE: CVE-2009-1241, CVE-2009-1270, CVE-2008-6680, CVE-2009-1371, CVE-2009-1372

  Dostępne dla: Mac OS X Server 10.5.8

  Zagrożenie: wiele luk w zabezpieczeniach w programie ClamAV 0.94.2.

  Opis: w programie ClamAV 0.94.2 występuje wiele luk w zabezpieczeniach, z których najpoważniejsza może doprowadzić do wykonania dowolnego kodu. To uaktualnienie rozwiązuje ten problem, uaktualniając program ClamAV do wersji 0.95.2. Program ClamAV jest rozprowadzany tylko z systemami Mac OS X Server. Więcej informacji na ten temat zawiera witryna programu ClamAV dostępna pod adresem http://www.clamav.net/ Te problemy nie występują na komputerach z systemem Mac OS X 10.6.

• ColorSync

  Identyfikator CVE: CVE-2009-2804

  Dostępne dla: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.8 i Mac OS X Server 10.5.8

  Zagrożenie: wyświetlenie złośliwie spreparowanego obrazu z osadzonym profilem ColorSync może spowodować nieoczekiwane zakończenie działania programu lub wykonanie dowolnego kodu.

  Opis: w procedurach obsługi obrazów z osadzonym profilem ColorSync występuje przepełnienie całkowitoliczbowe, które może spowodować przepełnienie buforu sterty. Otwarcie złośliwie spreparowanego obrazu z osadzonym profilem ColorSync może spowodować nieoczekiwane zakończenie działania programu lub wykonanie dowolnego kodu. To uaktualnienie rozwiązuje ten problem przez wprowadzenie dodatkowych procedur sprawdzania poprawności profilów ColorSync. Nie występuje on na komputerach z systemem Mac OS X 10.6. Problem wykryła firma Apple.

• CoreGraphics

  Identyfikator CVE: CVE-2009-2805

  Dostępne dla: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.8 i Mac OS X Server 10.5.8

  Zagrożenie: otwarcie złośliwie spreparowanego pliku PDF może doprowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu.

  Opis: błąd przepełnienia całkowitoliczbowego podczas obsługi plików PDF może spowodować przepełnienie buforu sterty. Otwarcie pliku PDF zawierającego złośliwie spreparowany strumień JBIG2 może spowodować nieoczekiwane zakończenie działania programu lub wykonanie dowolnego kodu. To uaktualnienie rozwiązuje ten problem przez ulepszenie sprawdzania granic. Problem zgłosił Will Dormann z organizacji CERT/CC. Ten problem nie występuje na komputerach z systemem Mac OS X 10.6.

• CoreGraphics

  Identyfikator CVE: CVE-2009-2468

  Dostępne dla: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.8 i Mac OS X Server 10.5.8

  Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może spowodować nieoczekiwane zakończenie działania programu lub wykonanie dowolnego kodu.

  Opis: podczas rysowania długich ciągów tekstowych następuje przepełnienie buforu sterty. Odwiedzenie złośliwie spreparowanej witryny może doprowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu. To uaktualnienie rozwiązuje ten problem przez ulepszenie sprawdzania granic. Nie występuje on na komputerach z systemem Mac OS X 10.6. Problem zgłosił Will Drewry z firmy Google Inc.

• CUPS

  Identyfikator CVE: CVE-2009-0949

  Dostępne dla: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.8 i Mac OS X Server 10.5.8

  Zagrożenie: zdalny napastnik może uzyskać możliwość odmawiania dostępu do usługi Udostępnianie drukarki.

  Opis: w usłudze CUPS występuje odwołanie do wskaźnika pustego. Wielokrotnie wysyłając złośliwie spreparowane żądania harmonogramu, zdalny napastnik może uzyskać możliwość odmawiania dostępu do usługi Udostępnianie drukarki. To uaktualnienie rozwiązuje ten problem przez ulepszenie procedur sprawdzania poprawności żądań harmonogramu. Nie występuje on na komputerach z systemem Mac OS X 10.6. Problem zgłosił Anibal Sacco z zespołu CORE IMPACT Exploit Writing Team (EWT) w firmie Core Security Technologies.

• CUPS

  Identyfikator CVE: CVE-2009-2807

  Dostępne dla: Mac OS X 10.5.8, Mac OS X Server 10.5.8

  Zagrożenie: nieuprzywilejowany użytkownik lokalny może uzyskać uprawnienia systemowe.

  Opis: w programie wewnętrznym USB usługi CUPS występuje przepełnienie buforu sterty. Może to umożliwić użytkownikowi lokalnemu uzyskanie uprawnień systemowych. To uaktualnienie rozwiązuje ten problem przez ulepszenie sprawdzania granic. Ten problem nie występuje na komputerach z systemami starszymi niż Mac OS X 10.5 i Mac OS X 10.6.

• Flash Player plug-in

  Identyfikator CVE: CVE-2009-1862, CVE-2009-1863, CVE-2009-1864, CVE-2009-1865, CVE-2009-1866, CVE-2009-1867, CVE-2009-1868, CVE-2009-1869, CVE-2009-1870

  Dostępne dla: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.8 i Mac OS X Server 10.5.8

  Zagrożenie: wiele luk we wtyczce Adobe Flash Player.

  Opis: we wtyczce Adobe Flash Player występuje wiele problemów, z których najpoważniejsze mogą doprowadzić do wykonania dowolnego kodu podczas przeglądania specjalnie spreparowanej witryny internetowej. Rozwiązanie problemów polega na uaktualnieniu wtyczki Flash Player do wersji 10.0.32.18 w systemach Mac OS 10.5.8 i do wersji 9.0.246.0 w systemach Mac OS X 10.4.11. W przypadku komputerów z systemem Mac OS X 10.6 te problemy zostały rozwiązane w systemie Mac OS X 10.6.1. Więcej informacji można uzyskać w witrynie firmy Adobe pod adresem http://www.adobe.com/support/security/bulletins/apsb09-10.html

• ImageIO

  Identyfikator CVE: CVE-2009-2809

  Dostępne dla: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.8 i Mac OS X Server 10.5.8

  Zagrożenie: wyświetlenie złośliwie spreparowanego obrazu TIFF PixarFilm może spowodować nieoczekiwane zakończenie działania programu lub wykonanie dowolnego kodu.

  Opis: w procedurach obsługi obrazów TIFF PixarFilm przez pakiet ImageIO istnieje wiele błędów powodujących uszkodzenie zawartości pamięci. Wyświetlenie złośliwie spreparowanego obrazu TIFF PixarFilm może spowodować nieoczekiwane zakończenie działania programu lub wykonanie dowolnego kodu. To uaktualnienie rozwiązuje ten problem przez wprowadzenie dodatkowego sprawdzania poprawności obrazów TIFF PixarFilm. Nie występuje on na komputerach z systemem Mac OS X 10.6. Problem wykryła firma Apple.

• Launch Services

  Identyfikator CVE CVE-2009-2811

  Dostępne dla: Mac OS X 10.5.8, Mac OS X Server 10.5.8

  Zagrożenie: próba otwarcia niebezpiecznej pobranej treści może nie spowodować zgłoszenia ostrzeżenia.

  Opis: to uaktualnienie dodaje rozszerzenie FILELOC do systemowej listy typów zawartości, które są oznaczane jako potencjalnie niebezpieczne w określonych okolicznościach, na przykład podczas ich pobierania z wiadomości e-mail. Te typy zawartości nie są otwierane automatycznie, ale jeśli zostaną otwarte ręcznie, mogą spowodować wykonanie złośliwie spreparowanego kodu. Dzięki instalacji uaktualnienia można zwiększyć możliwości systemu w zakresie wyświetlania powiadomień przed obsługą plików z rozszerzeniem FILELOC. Nie występuje on na komputerach z systemem Mac OS X 10.6. Problem wykryła firma Apple.

• Launch Services

  Identyfikator CVE: CVE-2009-2812

  Dostępne dla: Mac OS X 10.5.8, Mac OS X Server 10.5.8

  Zagrożenie: odwiedzenie złośliwej witryny internetowej może doprowadzić do wykonania dowolnego kodu.

  Opis: podczas pobierania programu usługi uruchamiania analizują jego typy eksportowanych dokumentów. Błąd projektowy w procedurze obsługi eksportowanych typów dokumentów może spowodować skojarzenie przez usługi uruchamiania bezpiecznego rozszerzenia pliku z niebezpiecznym identyfikatorem UTI. Odwiedzenie złośliwej witryny internetowej może spowodować automatyczne otwarcie niebezpiecznego typu pliku. To uaktualnienie rozwiązuje ten problem przez poprawienie obsługi eksportowanych typów dokumentów z niezaufanych programów. Ten problem nie występuje na komputerach z systemami starszymi niż Mac OS X 10.5 i Mac OS X 10.6. Problem wykryła firma Apple.

• MySQL

  Identyfikator CVE: CVE-2008-2079

  Dostępne dla: Mac OS X Server 10.5.8

  Zagrożenie: program MySQL został uaktualniony do wersji 5.0.82.

  Opis: program MySQL został uaktualniony do wersji 5.0.82 w celu rozwiązania problemu implementacyjnego, który umożliwia użytkownikowi lokalnemu uzyskanie podwyższonych uprawnień. Ten problem występuje tylko na komputerach z systemem Mac OS X Server. Nie występuje on na komputerach z systemem Mac OS X 10.6. Więcej informacji na ten temat zawiera witryna serwera MySQL dostępna pod adresem http://dev.mysql.com/doc/refman/5.0/en/news-5-0-82.html

• PHP

  Identyfikator CVE: CVE-2009-1271, CVE-2009-1272, CVE-2008-5498

  Dostępne dla: Mac OS X 10.5, Mac OS X Server 10.5.8

  Zagrożenie: wiele luk w zabezpieczeniach języka PHP 5.2.8.

  Opis: język PHP został uaktualniony do wersji 5.2.10, aby usunąć wiele luk w zabezpieczeniach, z których najpoważniejsze mogą doprowadzić do wykonania dowolnego kodu. Więcej informacji na ten temat zawiera witryna języka PHP pod adresem http://www.php.net/ Ten problem nie występuje na komputerach z systemem Mac OS X 10.6.

• SMB

  Identyfikator CVE: CVE-2009-2813

  Dostępne dla: Mac OS X 10.5.8, Mac OS X Server 10.5.8

  Zagrożenie: włączenie udostępniania plików dla systemu Windows może spowodować nieoczekiwane udostępnienie folderów.

  Opis: w programie Samba występuje niesprawdzony błąd. Użytkownik, który nie skonfigurował katalogu domowego i łączy się z usługą udostępniania plików w systemie Windows, może uzyskać dostęp do zawartości systemu plików, w zależności od uprawnień w lokalnym systemie plików. To uaktualnienie rozwiązuje ten problem przez poprawienie obsługi błędów rozpoznawania ścieżek. Ten problem nie występuje na komputerach z systemami starszymi niż Mac OS X 10.5 i Mac OS X 10.6. Problem zgłosił J. David Hester z firmy LCG Systems National Institutes of Health.

• Wiki Server

  Identyfikator CVE: CVE-2009-2814

  Dostępne dla: Mac OS X Server 10.5.8

  Zagrożenie: zdalny napastnik może uzyskać dostęp do kont użytkowników serwera Wiki.

  Opis: w procedurze obsługi żądań wyszukiwania zawierających dane w formacie innym niż UTF-8 przez serwer Wiki istnieje błąd umożliwiający przeprowadzanie ataków XSS (cross site scripting). W efekcie zdalny napastnik może uzyskać dostęp do serwera Wiki za pomocą poświadczeń użytkownika przeprowadzającego wyszukiwanie na tym serwerze. To uaktualnienie rozwiązuje ten problem przez ustawienie domyślnego zestawu znaków UTF-8 w odpowiedziach HTTP. Ten problem nie występuje na komputerach z systemami starszymi niż Mac OS X 10.5 i Mac OS X 10.6. Problem wykryła firma Apple.