Informacje o aktualizacji zabezpieczeń 2007-009

Ten dokument zawiera opis aktualizacji zabezpieczeń 2007-009, którą można pobrać i zainstalować za pomocą preferencji uaktualnień oprogramowania lub w witrynie plików do pobrania firmy Apple.

Dbając o bezpieczeństwo użytkowników, firma Apple nie informuje o problemach dotyczących zabezpieczeń, ani ich nie omawia i nie potwierdza, aż do przeprowadzenia badań niezbędnych do wydania poprawek. Aby dowiedzieć się więcej na temat zabezpieczeń produktów firmy Apple, odwiedź witrynę Bezpieczeństwo produktów firmy Apple.

Więcej informacji dotyczących klucza PGP zabezpieczeń produktów Apple znajduje się w temacie „Używanie klucza PGP bezpieczeństwa produktów firmy Apple”.

Gdzie jest to możliwe, zastosowano identyfikatory CVE odwołujące się do luk w zabezpieczeniach i dodatkowych informacji.

Więcej informacji o innych aktualizacjach bezpieczeństwa znajduje się w temacie „Aktualizacje zabezpieczeń firmy Apple”.

Aktualizacja zabezpieczeń 2007-009

  • Address Book

    Identyfikator CVE: CVE-2007-4708

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Wpływ: Wyświetlanie specjalnie spreparowanej strony WWW może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu.

    Opis: W procedurze obsługi adresów URL programu Address Book istnieje luka w zabezpieczeniach dotycząca łańcuchów formatu. Zachęcając użytkownika do otwarcia specjalnie spreparowanej strony WWW, osoba atakująca może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. Ta aktualizacja rozwiązuje ten problem przez poprawę obsługi łańcuchów formatu. Ten problem nie dotyczy systemów Mac OS X 10.5 i nowszych.

  • CFNetwork

    Identyfikator CVE: CVE-2007-4709

    Dostępne dla: systemy Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Wyświetlenie specjalnie spreparowanej strony WWW może umożliwić automatyczne pobranie plików do dowolnych folderów, do których użytkownik nie ma prawa zapisu.

    Opis: W programie CFNetwork istnieje usterka dotycząca translacji ścieżek w przypadku obsługi pobieranych plików. Zachęcając użytkownika do odwiedzenia specjalnie spreparowanej strony WWW, osoba atakująca może spowodować automatyczne pobieranie plików do dowolnych folderów, do których użytkownik nie ma prawa zapisu. Ta aktualizacja rozwiązuje ten problem przez poprawę przetwarzania odpowiedzi HTTP. Ten problem nie dotyczy systemów starszych niż Mac OS X 10.5. Ten problem zgłosił Sean Harding.

  • ColorSync

    Identyfikator CVE: CVE-2007-4710

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Wpływ: Wyświetlanie specjalnie spreparowanego obrazu z osadzonym profilem ColorSync może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

    Opis: Podczas obsługi obrazów z osadzonym profilem ColorSync może wystąpić uszkodzenie zawartości pamięci. Zachęcając użytkownika do otwarcia specjalnie spreparowanego pliku obrazu, osoba atakująca może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. Ta aktualizacja rozwiązuje ten problem, przeprowadzając dodatkowe sprawdzanie poprawności obrazów. Ten problem nie dotyczy systemów Mac OS X 10.5 i nowszych. Ten problem zgłosił Tom Ferris z zespołu Adobe Secure Software Engineering Team (ASSET).

  • Core Foundation

    Identyfikator CVE: CVE-2007-5847

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Wpływ: Użycie procedury API CFURLWriteDataAndPropertiesToResource może spowodować ujawnienie poufnych informacji.

    Opis: W procedurze API CFURLWriteDataAndPropertiesToResource istnieje sytuacja wyścigu, która może spowodować utworzenie plików z uprawnieniami, które nie są bezpieczne. Może to spowodować ujawnienie poufnych informacji. Ta aktualizacja rozwiązuje ten problem przez poprawienie obsługi plików. Ten problem nie dotyczy systemów Mac OS X 10.5 i nowszych.

  • CUPS

    Identyfikator CVE: CVE-2007-5848

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Wpływ: Lokalny użytkownik o prawach administratora może uzyskać uprawnienia systemowe.

    Opis: Sterownik drukarki usługi CUPS może spowodować przepełnienie buforu. Może to spowodować uzyskanie uprawnień systemowych przez lokalnego użytkownika o prawach administratora, przez przekazanie specjalnie spreparowanego adresu URI do usługi CUPS. Ta aktualizacja rozwiązuje ten problem, zapewniając utworzenie buforu docelowego o wielkości odpowiedniej do pomieszczenia danych. Ten problem nie dotyczy systemów Mac OS X 10.5 i nowszych. Ten problem zgłosił Dave Camp z firmy Critical Path Software.

  • CUPS

    Identyfikator CVE: CVE-2007-4351

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Osoba atakująca z lokalizacji zdalnej może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu.

    Opis: Obsługa znaczników IPP (Internet Printing Protocol) powoduje uszkodzenie zawartości pamięci, co może umożliwić osobie atakującej zamknięcie aplikacji lub wykonanie dowolnego kodu. Ta aktualizacja rozwiązuje ten problem przez wprowadzenie dodatkowej procedury sprawdzania wielkości buforów.

  • CUPS

    Identyfikator CVE: CVE-2007-5849

    Dostępne dla: systemy Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: W przypadku włączenia protokołu SNMP osoba atakująca z lokalizacji zdalnej może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu.

    Opis: Program wewnętrzny SNMP usługi CUPS rozgłasza żądania SNMP w celu wykrycia sieciowych serwerów wydruku. Podczas obsługi odpowiedzi SNMP może wystąpić przepełnienie buforu stosu wynikające z niedomiaru stałoprzecinkowego. Jeśli włączony jest protokół SNMP, osoba atakująca z lokalizacji zdalnej może wykorzystać ten problem, wysyłając specjalnie spreparowaną odpowiedź SNMP, co może spowodować zamknięcie aplikacji lub wykonanie dowolnego kodu. Ta aktualizacja rozwiązuje ten problem, przeprowadzając dodatkowe sprawdzanie odpowiedzi SNMP. Ten problem nie dotyczy systemów starszych niż Mac OS X 10.5. Ten problem zgłosił Wei Wang z firmy McAfee Avert Labs.

  • Desktop Services

    Identyfikator CVE: CVE-2007-5850

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Wpływ: Otwarcie w programie Finder katalogu zawierającego specjalnie spreparowany plik .DS_Store może spowodować wykonanie dowolnego kodu.

    Opis: W usłudze Desktop Services występuje przepełnienie buforu sterty. Zachęcając użytkownika do otwarcia katalogu zawierającego specjalnie spreparowany plik .DS_Store, osoba atakująca może spowodować wykonanie dowolnego kodu. Ta aktualizacja rozwiązuje ten problem przez wprowadzenie dodatkowej procedury sprawdzania wielkości buforów. Ten problem nie dotyczy systemów Mac OS X 10.5 i nowszych.

  • Moduł dodatkowy odtwarzacza Flash

    Identyfikator CVE: CVE-2007-5476

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Wiele luk w zabezpieczeniach w module dodatkowym odtwarzacza Adobe Flash Player

    Opis: W module dodatkowym odtwarzacza Adobe Flash Player istnieje wiele problemów dotyczących sprawdzania poprawności danych wejściowych, co może doprowadzić do wykonania dowolnego kodu. Ta aktualizacja rozwiązuje ten problem przez uaktualnienie odtwarzacza Adobe Flash Player do wersji 9.0.115.0. Więcej informacji jest dostępnych w witrynie firmy Adobe pod adresem http://www.adobe.com/support/security/bulletins/apsb07-20.html. Ten problem zgłosiła firma Opera Software.

  • GNU Tar

    Identyfikator CVE: CVE-2007-4131

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Wpływ: Wyodrębnienie specjalnie spreparowanego pliku archiwum tar może spowodować nadpisanie dowolnych plików.

    Opis: W programie GNU Tar istnieje problem z translacją katalogów. Zachęcając lokalnego użytkownika do wyodrębnienia specjalnie spreparowanego pliku archiwum, osoba atakująca może spowodować nadpisanie dowolnych plików. Ten problem został rozwiązany przez wprowadzenie dodatkowej procedury sprawdzania plików tar. Ten problem nie dotyczy systemów Mac OS X 10.5 i nowszych.

  • iChat

    Identyfikator CVE: CVE-2007-5851

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Wpływ: Osoba w sieci lokalnej może zainicjować połączenie wideo bez zezwolenia użytkownika.

    Opis: Osoba atakująca w sieci lokalnej może zainicjować połączenie wideo z użytkownikiem bez jego zezwolenia. Ta aktualizacja rozwiązuje ten problem przez wprowadzenie wymogu reakcji użytkownika w celu zainicjowania połączenia wideo. Ten problem nie dotyczy systemów Mac OS X 10.5 i nowszych.

  • Systemy IO Storage

    Identyfikator CVE: CVE-2007-5853

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Wpływ: Otwarcie specjalnie spreparowanego obrazu dysku może spowodować nieoczekiwane zamknięcie systemu lub wykonanie dowolnego kodu.

    Opis: Obsługa map partycji GUID w obrazie dysku powoduje uszkodzenie zawartości pamięci. Zachęcając użytkownika do otwarcia specjalnie spreparowanego obrazu dysku, osoba atakująca może spowodować nieoczekiwane zamknięcie systemu lub wykonanie dowolnego kodu. Ta aktualizacja rozwiązuje ten problem przez dodatkowe sprawdzenie map partycji GUID. Ten problem nie dotyczy systemów Mac OS X 10.5 i nowszych.

  • Launch Services

    Identyfikator CVE: CVE-2007-5854

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Otwarcie specjalnie spreparowanego pliku HTML może spowodować ujawnienie informacji lub uruchomienie skryptu międzylokacyjnego.

    Opis: Usługa Launch Services nie obsługuje plików HTML jako potencjalnie niebezpiecznej zawartości. Zachęcając użytkownika do otwarcia specjalnie spreparowanego pliku HTML, osoba atakująca może spowodować ujawnienie poufnych danych lub uruchomienie skryptu międzylokacyjnego. Ta aktualizacja rozwiązuje ten problem, obsługując pliki HTML jaki potencjalnie niebezpieczną zawartość. Ten problem zgłosił Michał Zalewski z firmy Google Inc.

  • Launch Services

    Identyfikator CVE: CVE-2007-6165

    Dostępne dla: systemy Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Otwarcie wykonywalnego załącznika wiadomości e-mail może spowodować wykonanie dowolnego kodu bez ostrzeżenia.

    Opis: Z powodu błędu implementacji w usługach Launch Services wykonywalne załączniki wiadomości e-mail mogą być uruchamiane bez ostrzeżenia, kiedy użytkownik otworzy załącznik. Ta aktualizacja rozwiązuje ten problem, ostrzegając użytkownika przed uruchomieniem wykonywalnych załączników wiadomości e-mail. Ten problem nie dotyczy systemów starszych niż Mac OS X 10.5. Ten problem zgłosił Xeno Kovah.

  • Mail

    Identyfikator CVE: CVE-2007-5855

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Wpływ: Konta SMTP skonfigurowane w programie Account Assistant mogą używać uwierzytelniania za pomocą zwykłego tekstu, nawet gdy jest dostępne uwierzytelnianie MD5 Challenge-Response

    Opis: Jeśli podczas konfigurowania konta SMTP przy użyciu programu Account Assistant zostanie wybrane uwierzytelnianie SMTP, a serwer obsługuje tylko uwierzytelniania MD5 Challenge-Response i za pomocą zwykłego tekstu, program Mail będzie używał uwierzytelniania za pomocą zwykłego tekstu. Ta aktualizacja rozwiązuje ten problem, zapewniając wybranie najbezpieczniejszego mechanizmu uwierzytelniania. Ten problem nie dotyczy systemów Mac OS X 10.5 i nowszych.

  • perl

    Identyfikator CVE: CVE-2007-5116

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Analizowanie wyrażeń regularnych może spowodować wykonanie dowolnego kodu.

    Opis: Problem pojawia się podczas obliczania długości w wyniku operacji polimorficznych przez kompilator wyrażeń regularnych języka Perl. Może on umożliwić osobie atakującej powodowanie uszkodzeń zawartości pamięci, co z kolei prowadzi do wykonania dowolnego kodu przez zmianę znaków bajtowych na Unicode (UTF) w wyrażeniu regularnym. Ta aktualizacja rozwiązuje ten problem przez ponowne obliczanie długości w przypadku zmiany kodowania znaków. Ten problem zgłosili Tavis Ormandy i Will Drewry z zespołu zabezpieczeń firmy Google.

  • python

    Identyfikator CVE: CVE-2007-4965

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Przetwarzanie zawartości obrazu przez moduł imageop może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu.

    Opis: W module imageop języka phyton pojawia się wiele nadmiarów stałoprzecinkowych. Mogą one powodować przepełnienie buforu w aplikacjach, które używają tego modułu do przetwarzania specjalnie spreparowanej zawartości obrazu. Może to powodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. Ta aktualizacja rozwiązuje ten problem, przeprowadzając dodatkowe sprawdzanie zawartości obrazów.

  • Quick Look

    Identyfikator CVE: CVE-2007-5856

    Dostępne dla: systemy Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Wyświetlanie podglądu pliku za pomocą programu QuickLook może spowodować ujawnienie poufnych informacji.

    Opis: Podczas wyświetlania podglądu pliku HTML moduły dodatkowe mogą wysyłać żądania sieciowe. Może to spowodować ujawnienie poufnych informacji. Ta aktualizacja rozwiązuje ten problem przez wyłączenie modułów dodatkowych. Ten problem nie dotyczy systemów starszych niż Mac OS X 10.5.

  • Quick Look

    Identyfikator CVE: CVE-2007-5857

    Dostępne dla: systemy Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Wyświetlanie podglądu pliku wideo może spowodować przejście pod adres URL zawarty w tym pliku.

    Opis: Tworzenie ikony dla pliku wideo, albo wyświetlanie jego podglądu za pomocą programu QuickLook, może spowodować przejście pod adres URL zawarty w pliku wideo. Ta aktualizacja rozwiązuje ten problem przez wyłączenie atrybutu HREFTrack podczas przeglądania plików wideo. Ten problem nie dotyczy systemów starszych niż Mac OS X 10.5 i systemów z zainstalowanym programem QuickTime 7.3. Ten problem zgłosił Lukhnos D. Liu z firmy Lithoglyph Inc.

  • ruby

    Identyfikator CVE: CVE-2007-5770

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Problemy ze sprawdzaniem certyfikatów SSL w bibliotekach ruby.

    Opis: Problem sprawdzania certyfikatów SSL dotyczy wielu bibliotek ruby. Może on spowodować wystąpienie ataków typu man-in-the-middle na aplikacje używające bibliotek, których dotyczy problem. Ta aktualizacja rozwiązuje problem przez zastosowanie poprawki dla bibliotek ruby.

  • ruby

    Identyfikator CVE: CVE-2007-5379, CVE-2007-5380, CVE-2007-6077

    Dostępne dla: systemy Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Luki dotyczące zabezpieczeń w środowisku Rails 1.2.3.

    Opis: W środowisku Rails 1.2.3 istnieje wiele luk dotyczących zabezpieczeń, które mogą spowodować ujawnienie poufnych informacji. Ta aktualizacja rozwiązuje problem przez uaktualnienie środowiska Rails do wersji 1.2.6. Ten problem nie dotyczy systemów starszych niż Mac OS X 10.5.

  • Safari

    Identyfikator CVE: CVE-2007-5858

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Wyświetlenie specjalnie spreparowanej strony WWW może spowodować ujawnienie poufnych informacji.

    Opis: Architektura WebKit umożliwia stronie przechodzenie do ramek podrzędnych dowolnej strony. Wyświetlenie specjalnie spreparowanej strony WWW może uruchomić międzylokacyjny atak z wykorzystaniem skryptów, który z kolei może doprowadzić do ujawnienia poufnych informacji. Ta aktualizacja rozwiązuje ten problem przez zaimplementowanie ostrzejszych zasad obsługi ramek nawigacyjnych.

  • Safari RSS

    Identyfikator CVE: CVE-2007-5859

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Wpływ: Dostęp do specjalnie spreparowanego adresu URL źródła danych może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

    Opis: W procedurach obsługi adresów URL źródeł danych w programie Safari istnieje błąd, który może powodować uszkodzenie zawartości pamięci. Zachęcając użytkownika do otwarcia specjalnie spreparowanego adresu URL, osoba atakująca może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. Ta aktualizacja rozwiązuje ten problem przez wykonywanie dodatkowego sprawdzenia adresów URL źródeł danych oraz wyświetlanie komunikatu o błędzie w przypadku nieprawidłowego adresu URL. Ten problem nie dotyczy systemów Mac OS X 10.5 i nowszych.

  • Samba

    Identyfikator CVE: CVE-2007-4572, CVE-2007-5398

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Wiele luk dotyczących zabezpieczeń w programie Samba.

    Opis: W programie Samba istnieje wiele luk dotyczących zabezpieczeń, z których najpoważniejsze mogą powodować zdalne wykonanie kodu. Ta aktualizacja rozwiązuje problem przez zastosowanie poprawek dla programu Samba. Więcej informacji można uzyskać w witrynie Samba pod adresem http://www.samba.org/samba/history/security.html. Problem o identyfikatorze CVE-2007-4138 nie dotyczy systemów starszych niż Mac OS X 10.5. Ten problem zgłosił Alin Rad Pop z firmy Secunia Research.

  • Moduł dodatkowy Shockwave

    Identyfikator CVE: CVE-2006-0024

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Otwarcie specjalnie spreparowanej zawartości Shockwave może spowodować wykonanie dowolnego kodu.

    Opis: W odtwarzaczu zawartości Shockwave istnieje wiele luk dotyczących zabezpieczeń. Zachęcając użytkownika do otwarcia specjalnie spreparowanej zawartości Shockwave, osoba atakująca może spowodować wykonanie dowolnego kodu. Ta aktualizacja rozwiązuje ten problem przez uaktualnienie odtwarzacza Shockwave do wersji 10.1.1.016. Ten problem zgłosił Jan Hacker z firmy ETH Zurich.

  • SMB

    Identyfikator CVE: CVE-2007-3876

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Wpływ: Użytkownik lokalny może wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: W aplikacjach mount_smbfs i smbutil analizujących argumenty wiersza poleceń występuje problem przepełnienia buforu stosu, co może umożliwić użytkownikowi lokalnemu wykonanie dowolnego kodu z uprawnieniami systemowymi. Ta aktualizacja rozwiązuje ten problem przez wprowadzenie dodatkowej procedury sprawdzania wielkości buforów. Ten problem nie dotyczy systemów Mac OS X 10.5 i nowszych. Ten problem zgłosił Sean Larsson z firmy VeriSign iDefense Labs.

  • Software Update

    Identyfikator CVE: CVE-2007-5863

    Dostępne dla: systemy Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Atak typu man-in-the-middle może spowodować wykonywanie dowolnych poleceń przez program Software Update.

    Opis: Gdy program Software Update sprawdza dostępność nowych aktualizacji, przetwarza plik definicji dystrybucji przesłany przez serwer aktualizacji. Przechwytując żądania wysyłane do serwera aktualizacji, osoba atakująca może udostępnić specjalnie spreparowany plik definicji dystrybucji z opcją zezwolenia na wykonywanie skryptów zewnętrznych, co może spowodować wykonanie dowolnego polecenia, gdy system sprawdza dostępność nowych aktualizacji. Ta aktualizacja rozwiązuje ten problem, wyłączając opcję zezwolenia na wykonywanie skryptów zewnętrznych w programie Software Update. Ten problem nie dotyczy systemów starszych niż Mac OS X 10.5. Ten problem zgłosił Moritz Jodeit.

  • Spin Tracer

    Identyfikator CVE: CVE-2007-5860

    Dostępne dla: systemy Mac OS X v10.5.1, Mac OS X Server v10.5.1

    Wpływ: Użytkownik lokalny może wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: Podczas obsługi przez program SpinTracer plików wyjściowych wykonywane są niezabezpieczone operacje, co może pozwolić użytkownikowi lokalnemu na wykonanie dowolnego kodu z uprawnieniami systemowymi. Ta aktualizacja rozwiązuje ten problem przez poprawę obsługi plików wyjściowych. Ten problem nie dotyczy systemów starszych niż Mac OS X 10.5. Ten problem zgłosił Kevin Finisterre z firmy DigitalMunition.

  • Spotlight

    Identyfikator CVE: CVE-2007-5861

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Wpływ: Pobieranie specjalnie spreparowanego pliku .xls może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu.

    Opis: W programie Microsoft Office Spotlight Importer występuje problem powodujący uszkodzenie zawartości pamięci. Zachęcając użytkownika do pobrania specjalnie spreparowanego pliku .xls, osoba atakująca może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. Ta aktualizacja usuwa ten problem przez wprowadzenie dodatkowej procedury sprawdzania plików .xls. Ten problem nie dotyczy systemów Mac OS X 10.5 i nowszych.

  • tcpdump

    Identyfikator CVE: CVE-2007-1218, CVE-2007-3798

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Wpływ: Wiele luk dotyczących zabezpieczeń w programie tcpdump.

    Opis: W programie tcpdump istnieje wiele luk dotyczących zabezpieczeń, z których najpoważniejsze mogą powodować wykonanie dowolnego kodu. Ta aktualizacja rozwiązuje problem przez uaktualnienie programu tcpdump do wersji 3.9.7. Ten problem nie dotyczy systemów Mac OS X 10.5 lub starszych.

  • XQuery

    Identyfikator CVE: CVE-2007-1659, CVE-2007-1660, CVE-2007-1661, CVE-2007-1662, CVE-2007-4766, CVE-2007-4767, CVE-2007-4768

    Dostępne dla: systemy Mac OS X v10.4.11, Mac OS X Server v10.4.11

    Wpływ: Wiele luk dotyczących zabezpieczeń w procedurach obsługi wyrażeń regularnych.

    Opis: W bibliotece Perl Compatible Regular Expressions (PCRE) używanej przez program XQuery występuje wiele luk dotyczących zabezpieczeń, z których najpoważniejsze mogą powodować wykonywanie dowolnego kodu. Ta aktualizacja rozwiązuje ten problem przez zaktualizowanie biblioteki PCRE do wersji 7.3. Więcej informacji jest dostępnych w witrynie PCRE pod adresem http://www.pcre.org/. Ten problem nie dotyczy systemów Mac OS X 10.5 lub starszych. Ten problem zgłosili Tavis Ormandy i Will Drewry z zespołu zabezpieczeń firmy Google.

Ważne: Wzmianki o witrynach i produktach innych firm mają wyłącznie charakter informacyjny i nie stanowią rekomendacji odnośnie ich używania. Firma Apple nie ponosi żadnej odpowiedzialności za kupowanie i korzystanie z informacji lub produktów dostępnych w witrynach innych firm ani za ich działanie. Firma Apple podaje tego rodzaju informacje tylko ze względu na wygodę swoich klientów. Firma Apple nie sprawdza informacji podawanych w takich witrynach i nie odpowiada za ich dokładność ani wiarygodność. Z korzystaniem z wszelkich informacji i produktów oferowanych w internecie wiąże się nieodzownie pewne ryzyko. Firma Apple nie ponosi za nie żadnej odpowiedzialności. Użytkownik musi przyjąć do wiadomości, że witryny innych firm są niezależne od firmy Apple i firma Apple nie ma żadnej kontroli nad publikowanymi w nich treściami. Dodatkowe informacje można uzyskać, kontaktując się z dystrybutorem.

Data publikacji: