W celu ochrony swoich klientów firma Apple nie ujawnia, nie omawia ani nie potwierdza problemów dotyczących zabezpieczeń przed ich pełnym zbadaniem i udostępnieniem wszelkich niezbędnych poprawek lub wersji oprogramowania. Więcej informacji o bezpieczeństwie produktów firmy Apple można znaleźć w witrynie Bezpieczeństwo produktów firmy Apple.
Informacje o kluczu PGP serwisu Bezpieczeństwo produktów firmy Apple zawiera artykuł Używanie klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.
Tam, gdzie jest to możliwe, w odniesieniu do luk w zabezpieczeniach są używane identyfikatory CVE, aby ułatwić uzyskanie dalszych informacji.
Informacje o innych uaktualnieniach zabezpieczeń zawiera artykuł Uaktualnienia zabezpieczeń firmy Apple.
OS X Mavericks 10.9
Zapora sieciowa programu
Zagrożenie: polecenie socketfilterfw --blockApp może nie blokować odbierania połączeń sieciowych w aplikacjach.
Opis: opcja --blockApp narzędzia wiersza poleceń socketfilterfw nie blokowała prawidłowo odbierania połączeń sieciowych w aplikacjach. Rozwiązanie tego problemu polega na poprawieniu obsługi opcji --blockApp.
Identyfikator CVE
CVE-2013-5165: Alexander Frangis z firmy PopCap Games
Piaskownica aplikacji
Zagrożenie: piaskownica aplikacji może być pomijana.
Opis: interfejs usług uruchamiania służący do uruchamiania aplikacji zezwalał aplikacjom z ograniczeniami piaskownicy na określanie listy argumentów przekazywanych do nowego procesu. Aplikacja z ograniczeniami piaskownicy, której bezpieczeństwo zostało naruszone, może to wykorzystać w celu pominięcia piaskownicy. Rozwiązanie tego problemu polega na zablokowaniu możliwości określania argumentów aplikacjom z ograniczeniem piaskownicy.
Identyfikator CVE
CVE-2013-5179: Friedrich Graeter z firmy The Soulmen GbR
Bluetooth
Zagrożenie: lokalna aplikacja o złośliwym działaniu może spowodować nieoczekiwane zakończenie pracy systemu.
Opis: kontroler hosta USB modułu Bluetooth usuwał interfejsy potrzebne do kolejnych operacji. Rozwiązanie tego problemu polega na zachowaniu interfejsu do momentu, gdy nie będzie już potrzebny.
Identyfikator CVE
CVE-2013-5166: Stefano Bianchi Mazzone, Mattia Pagnozzi i Aristide Fattori z laboratorium zabezpieczeń komputerów i sieci (LaSER) na uniwersytecie Università degli Studi di Milano
CFNetwork
Zagrożenie: pliki cookie sesji mogą zostać zachowane nawet po wyzerowaniu przeglądarki Safari.
Opis: wyzerowanie przeglądarki Safari nie zawsze powodowało usunięcie plików cookie sesji, dopóki przeglądarka Safari nie została zamknięta. Rozwiązanie tego problemu polega na poprawieniu obsługi plików cookie sesji.
Identyfikator CVE
CVE-2013-5167: Graham Bennett, Rob Ansaldo z Amherst College
Połączenie SSL środowiska CFNetwork
Zagrożenie: osoba atakująca może odszyfrować część połączenia SSL.
Opis: były używane tylko wersje SSLv3 i TLS 1.0 protokołu SSL. Te wersje charakteryzują się wadami protokołu w zakresie używania szyfrów blokujących. Osoba atakująca metodą man-in-the-middle mogłaby wprowadzić nieprawidłowe dane, powodując zamknięcie połączenia, ale jednocześnie ujawnienie pewnych informacji na temat wcześniejszych danych. W przypadku wielokrotnych prób nawiązania takiego połączenia osoba atakująca mogłaby w końcu odszyfrować wysyłane dane, takie jak hasło. Rozwiązanie tego problemu polega na włączeniu wersji TLS 1.2.
Identyfikator CVE
CVE-2011-3389
Narzędzie Konsola
Zagrożenie: kliknięcie złośliwego wpisu dziennika może spowodować nieoczekiwane wykonanie aplikacji.
Opis: to uaktualnienie modyfikuje zachowanie narzędzia Konsola w przypadku kliknięcia wpisu dziennika z dołączonym adresem URL. Zamiast otwierać adres URL narzędzie Konsola będzie teraz wyświetlać jego podgląd za pomocą funkcji Szybki przegląd.
Identyfikator CVE
CVE-2013-5168: Aaron Sigel z firmy vtty.com
CoreGraphics
Zagrożenie: po uśpieniu monitora okna mogą być widoczne przez ekran blokady.
Opis: w procedurze obsługi trybu uśpienia monitora w środowisku CoreGraphics istnieje błąd logiczny powodujący uszkodzenie danych, co może skutkować tym, że okna są widoczne przez ekran blokady. Rozwiązanie tego problemu polega na poprawieniu procedur obsługi uśpienia monitora.
Identyfikator CVE
CVE-2013-5169
CoreGraphics
Zagrożenie: wyświetlenie złośliwie spreparowanego pliku PDF może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.
Opis: w procedurach obsługi plików PDF występuje niedomiar buforu. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.
Identyfikator CVE
CVE-2013-5170: Will Dormann z organizacji CERT/CC
CoreGraphics
Zagrożenie: nieuprawniona aplikacja może rejestrować naciśnięcia klawiszy z innych aplikacji, nawet przy włączonym bezpiecznym trybie wprowadzania.
Opis: rejestrując zdarzenie klawisza aktywnego, nieuprawniona aplikacja mogła rejestrować naciśnięcia klawiszy z innych aplikacji, nawet przy włączonym bezpiecznym trybie wprowadzania. Rozwiązanie tego problemu polega na zastosowaniu dodatkowej procedury sprawdzania poprawności zdarzeń klawiszy aktywnych.
Identyfikator CVE
CVE-2013-5171
curl
Zagrożenie: istnieje wiele luk w zabezpieczeniach w programie curl.
Opis: w programie curl występuje wiele luk w zabezpieczeniach, z których najpoważniejsza może spowodować wykonanie dowolnego kodu. Te problemy można rozwiązać, uaktualniając program curl do wersji 7.30.0.
Identyfikator CVE
CVE-2013-0249
CVE-2013-1944
dyld
Zagrożenie: osoba atakująca posiadająca możliwość wykonywania dowolnego kodu na urządzeniu może powodować, że kod będzie wykonywany między poszczególnymi uruchomieniami urządzenia.
Opis: w funkcji openSharedCacheFile() edytora dyld występuje wiele błędów powodujących przepełnienie buforu. Te problemy rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.
Identyfikator CVE
CVE-2013-3950: Stefan Esser
IOKitUser
Zagrożenie: lokalna aplikacja o złośliwym działaniu może spowodować nieoczekiwane zakończenie pracy systemu.
Opis: w klasie IOCatalogue występowało odwołanie do wskaźnika pustego. Rozwiązanie tego problemu polega na wprowadzeniu dodatkowych procedur sprawdzania wpisywania.
Identyfikator CVE
CVE-2013-5138: Will Estes
IOSerialFamily
Zagrożenie: działanie złośliwej aplikacji może spowodować wykonanie dowolnego kodu w jądrze.
Opis: w sterowniku IOSerialFamily wystąpił dostęp do tablicy spoza dozwolonego zakresu. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.
Identyfikator CVE
CVE-2013-5139: @dent1zt
Jądro
Zagrożenie: użycie funkcji uwierzytelnienia typu skrót klucza SHA-2 w jądrze może spowodować nieoczekiwane zakończenie pracy systemu.
Opis: w przypadku rodziny funkcji uwierzytelnienia typu skrót klucza SHA-2 została użyta nieprawidłowa długość danych wyjściowych, co powodowało błąd jądra, gdy te funkcje były stosowane, głównie podczas połączeń IPsec. Rozwiązanie tego problemu polega na użyciu oczekiwanej długości danych wyjściowych.
Identyfikator CVE
CVE-2013-5172: Christoph Nadig z firmy Lobotomo Software
Jądro
Zagrożenie: pamięć stosu jądra może zostać ujawniona użytkownikom lokalnym.
Opis: w interfejsach API msgctl i segctl wystąpił problem polegający na ujawnieniu informacji. Problem rozwiązano przez zainicjowanie struktur danych zwróconych z jądra.
Identyfikator CVE
CVE-2013-5142: Kenzley Alphonse z firmy Kenx Technology, Inc
Jądro
Zagrożenie: użytkownik lokalny może wywołać atak typu „odmowa usługi”.
Opis: generator liczb losowych jądra utrzymuje blokadę podczas wykonywania żądania z przestrzeni użytkownika, zezwalając użytkownikowi lokalnemu na duże żądania i utrzymanie blokady przez długi czas, odmawiając tym samym usługi innym użytkownikom generatora liczb losowych. Rozwiązanie tego problemu polega na częstszym zwalnianiu i ponownym zakładaniu blokady w przypadku dużych żądań.
Identyfikator CVE
CVE-2013-5173: Jaakko Pero z Aalto University
Jądro
Zagrożenie: nieuprawniony użytkownik lokalny może spowodować nieoczekiwane zakończenie pracy systemu.
Opis: w procedurach odczytywania trybu tty występuje błąd znaku liczb całkowitych. Rozwiązanie tego problemu polega na poprawieniu obsługi procedur odczytywania trybu tty.
Identyfikator CVE
CVE-2013-5174: CESG
Jądro
Zagrożenie: użytkownik lokalny może spowodować ujawnienie informacji pamięci jądra lub nieoczekiwane zakończenie pracy systemu.
Opis: w procedurach obsługi plików Mach-O występuje błąd odczytu pamięci spoza dozwolonego zakresu. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.
Identyfikator CVE
CVE-2013-5175
Jądro
Zagrożenie: użytkownik lokalny może spowodować zawieszenie systemu.
Opis: w procedurach obsługi urządzeń tty występuje błąd powodujący obcinanie liczb całkowitych. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.
Identyfikator CVE
CVE-2013-5176: CESG
Jądro
Zagrożenie: użytkownik lokalny może spowodować nieoczekiwane zakończenie pracy systemu.
Opis: w przypadku wykrycia nieprawidłowej struktury iovec dostarczonej przez użytkownika występuje błąd jądra. Rozwiązanie tego problemu polega na poprawieniu procedury sprawdzania poprawności struktur iovec.
Identyfikator CVE
CVE-2013-5177: CESG
Jądro
Zagrożenie: nieuprawnione procesy mogą spowodować nieoczekiwane zakończenie działania systemu lub wykonanie dowolnego kodu w jądrze.
Opis: wystąpiło uszkodzenie pamięci w ramach obsługi argumentów w kontekście interfejsu API posix_spawn. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.
Identyfikator CVE
CVE-2013-3954: Stefan Esser
Jądro
Zagrożenie: program multiemisji specyficzny dla źródła może powodować nieoczekiwane zakończenie pracy systemu podczas używania sieci Wi-Fi.
Opis: w procedurach obsługi pakietów multiemisji występuje problem dotyczący sprawdzania błędów. Rozwiązanie tego problemu polega na poprawieniu obsługi pakietów multiemisji.
Identyfikator CVE
CVE-2013-5184: Octoshape
Jądro
Zagrożenie: osoba atakująca w sieci lokalnej może przeprowadzić atak typu „odmowa usługi”.
Opis: osoba atakująca w sieci lokalnej możne wysłać specjalnie utworzone pakiety IPv6 ICMP i spowodować wysokie obciążenie procesora. Problem został rozwiązany dzięki wprowadzeniu limitu liczby pakietów protokołu ICMP przed zweryfikowaniem ich sumy kontrolnej.
Identyfikator CVE
CVE-2011-2391: Marc Heuse
Jądro
Zagrożenie: złośliwa aplikacja lokalna może spowodować zawieszenie systemu.
Opis: w interfejsie gniazda jądra występuje błąd powodujący obcinanie liczb całkowitych, co może wymusić przejście procesora do nieskończonej pętli. Rozwiązanie tego problemu polega na użyciu większej zmiennej.
Identyfikator CVE
CVE-2013-5141: CESG
Zarządzanie rozszerzeniami KEXT
Zagrożenie: nieuprawniony proces może wyłączyć niektóre wczytane rozszerzenia jądra.
Opis: w procedurach obsługi komunikatów IPC od nieuwierzytelnionych nadawców przez zarządzanie procesem kextd istnieje błąd. Rozwiązanie tego problemu polega na zastosowaniu dodatkowej kontroli uwierzytelniania.
Identyfikator CVE
CVE-2013-5145: „Rainbow PRISM”
Usługi uruchamiania
Zagrożenie: widoczne rozszerzenie pliku może być nieprawidłowe.
Opis: w procedurze obsługi niektórych znaków Unicode istnieje błąd, który może zezwalać na wyświetlanie nieprawidłowych rozszerzeń nazw plików. Rozwiązanie tego problemu polega na filtrowaniu niebezpiecznych znaków Unicode w wyświetlanych nazwach plików.
Identyfikator CVE
CVE-2013-5178: Jesse Ruderman z firmy Mozilla Corporation, Stephane Sudre z firmy Intego
Biblioteka Libc
Zagrożenie: w nietypowych okolicznościach niektóre losowe liczby mogą być przewidywalne.
Opis: jeśli generator liczb losowych jądra był niedostępny dla funkcji srandomdev(), ta funkcja wracała do alternatywnej metody, która została usunięta przez optymalizację, co powodowało brak losowości. Rozwiązanie tego problemu polega na zmodyfikowaniu kodu, aby był prawidłowy w przypadku optymalizacji.
Identyfikator CVE
CVE-2013-5180: Xi Wang
Konta pocztowe
Zagrożenie: program Mail może nie wybierać najbezpieczniejszej dostępnej metody uwierzytelniania.
Opis: podczas automatycznego konfigurowania konta pocztowego na niektórych serwerach poczty aplikacja Mail wybiera uwierzytelnianie za pomocą zwykłego tekstu zamiast uwierzytelniania CRAM-MD5. Rozwiązanie tego problemu polega na poprawieniu procedur obsługi procesów logicznych.
Identyfikator CVE
CVE-2013-5181
Wyświetlanie nagłówka wiadomości e-mail
Zagrożenie: niepodpisana wiadomość może wyglądać na prawidłowo podpisaną.
Opis: w procedurach obsługi przez program Mail niepodpisanych wiadomości, które mimo wszystko zawierają część multipart/signed, istnieje błąd logiczny. Te problemy rozwiązano przez poprawienie procedur obsługi niepodpisanych wiadomości.
Identyfikator CVE
CVE-2013-5182: Michael Roitzsch z Technische Universität Dresden
Sieć w programie Mail
Zagrożenie: w przypadku skonfigurowania szyfrowania bez protokołu TLS informacje mogą być krótko przekazywane jako zwykły tekst.
Opis: gdy uwierzytelnianie Kerberos jest włączone, a protokół Transport Layer Security jest wyłączony, program Mail wysyła pewne niezaszyfrowane dane na serwer pocztowy, co prowadzi do nieoczekiwanego przerwania połączenia. Rozwiązanie tego problemu polega na ulepszeniu procedur obsługi tej konfiguracji.
Identyfikator CVE
CVE-2013-5183: Richard E. Silverman z www.qoxp.net
OpenLDAP
Zagrożenie: narzędzie wiersza poleceń ldapsearch nie uwzględnia konfiguracji minssf.
Opis: narzędzie wiersza poleceń ldapsearch nie uwzględnia konfiguracji minssf, co może prowadzić do nieoczekiwanego zezwalania na słabe szyfrowanie. Rozwiązanie tego problemu polega na ulepszeniu procedur obsługi konfiguracji minssf.
Identyfikator CVE
CVE-2013-5185
perl
Zagrożenie: skrypty języka perl mogą być narażone na atak typu „odmowa usługi”.
Opis: mechanizm ponownego wyznaczania wartości skrótu w nieaktualnych wersjach języka Pearl może być narażony na atak typu „odmowa usługi” w skryptach, które używają niezaufanych danych wejściowych jako klucza skrótu. Rozwiązanie tego problemu polega na uaktualnieniu do wersji Pearl 5.16.2.
Identyfikator CVE
CVE-2013-1667
Zarządzanie energią
Zagrożenie: blokada ekranu może nie zostać uruchomiona po określonym czasie.
Opis: występuje problem z blokadą logiczną w procedurach zarządzania zasilaniem. Rozwiązanie tego problemu polega na poprawieniu procedur obsługi blokad.
Identyfikator CVE
CVE-2013-5186: David Herman z firmy Sensible DB Design
python
Zagrożenie: istnieje wiele luk w zabezpieczeniach w programie python 2.7.
Opis: istnieje wiele luk w zabezpieczeniach w programie python. 2.7.2, z których najpoważniejsza może prowadzić do odszyfrowania zawartości połączenia SSL. To uaktualnienie rozwiązuje problem przez uaktualnienie programu python do wersji 2.7.5. Dalsze informacje są dostępne w witrynie programu python pod adresem http://www.python.org/download/releases/.
Identyfikator CVE
CVE-2011-3389
CVE-2011-4944
CVE-2012-0845
CVE-2012-0876
CVE-2012-1150
python
Zagrożenie: istnieje wiele luk w zabezpieczeniach w programie python 2.6.
Opis: istnieje wiele luk w zabezpieczeniach w programie python 2.6.7, z których najpoważniejsza może prowadzić do odszyfrowania zawartości połączenia SSL. To uaktualnienie rozwiązuje problem przez uaktualnienie programu python do wersji 2.6.8 i zastosowanie poprawki dla elementu o identyfikatorze CVE-2011-4944 z projektu Python. Dodatkowe informacje są dostępne w witrynie programu python pod adresem http://www.python.org/download/releases/.
Identyfikator CVE
CVE-2011-3389
CVE-2011-4944
CVE-2012-0845
CVE-2012-0876
CVE-2012-1150
Ruby
Zagrożenie: napastnik mający uprzywilejowany dostęp do sieci może przechwycić dane uwierzytelniania użytkownika lub inne poufne informacje.
Opis: w procedurze obsługi certyfikatów SSL środowiska Ruby istnieje błąd weryfikacji nazwy hosta. Rozwiązanie tego problemu polega na uaktualnieniu środowiska Ruby do wersji 2.0.0p247.
Identyfikator CVE
CVE-2013-4073
Zabezpieczenia
Zagrożenie: obsługa certyfikatów X.509 ze skrótami MD5 może narazić użytkowników na fałszowanie i ujawnianie informacji w miarę rozwoju mechanizmów ataków.
Opis: certyfikaty podpisane przy użyciu algorytmu wyznaczania wartości skrótu MD5 zostały zaakceptowane przez system OS X. Ten algorytm zawiera znane słabości kryptograficzne. W wyniku dalszych badań lub nieprawidłowo skonfigurowanego urzędu certyfikacji mogłyby dojść do utworzenia certyfikatów X.509 o wartościach kontrolowanych przez osobę atakującą, które system traktowałby jako zaufane. Naraziłoby to protokoły oparte na certyfikacie X.509 na fałszowanie, ataki typu man-in-the-middle oraz ujawnianie informacji. To uaktualnienie powoduje wyłączenie obsługi certyfikatu X.509 ze skrótem MD5 we wszystkich przypadkach użycia oprócz użycia go jako zaufanego certyfikatu głównego.
Identyfikator CVE
CVE-2011-3427
Zabezpieczenia — autoryzacja
Zagrożenie: preferencje zabezpieczeń administratora mogą nie być uwzględniane.
Opis: ustawienie „Dostęp do preferencji systemowych z ikoną kłódki wymaga hasła administratora” pozwala administratorom na zastosowanie dodatkowej warstwy ochrony dla poufnych ustawień systemowych. W niektórych przypadkach, gdy administrator włączył to ustawienie, zastosowanie uaktualnienia lub aktualizacji oprogramowania mogło doprowadzić do wyłączenia tego ustawienia. Rozwiązanie tego problemu polega na poprawieniu obsługi uprawnień autoryzacji.
Identyfikator CVE
CVE-2013-5189: Greg Onufer
Zabezpieczenia — usługi karty inteligentnej
Zagrożenie: usługi karty inteligentnej mogą być niedostępne, gdy są zaznaczone opcje unieważnień certyfikatów.
Opis: w procedurze obsługi zaznaczonych opcji unieważnień certyfikatów karty Smart przez system OS X istnieje błąd logiczny. Rozwiązanie tego problemu polega na poprawieniu obsługi unieważniania certyfikatów.
Identyfikator CVE
CVE-2013-5190: Yongjun Jeon z firmy Centrify Corporation
Blokada ekranu
Zagrożenie: polecenie Blokada ekranu może nie działać natychmiastowo.
Opis: Polecenie Blokada ekranu na pasku menu stanu pęku kluczy nie działa przed upływem czasu określonego w ustawieniu „Wymagaj hasła [określenie czasu] po obudzeniu lub włączeniu wygaszacza ekranu”.
Identyfikator CVE
CVE-2013-5187: Michael Kisor z firmy OrganicOrb.com, Christian Knappskog z NTNU (Norwegian University of Science and Technology), Stefan Grönke (CCC Trier), Patrick Reed
Blokada ekranu
Zagrożenie: komputer Mac w stanie hibernacji z funkcją automatycznego logowania może nie wymagać hasła, aby się obudzić.
Opis: komputer Mac z włączona funkcją hibernacji i automatycznego logowania może zezwalać na wybudzenie ze stanu hibernacji bez monitu o wprowadzenie hasła. Rozwiązanie tego problemu polega na poprawieniu procedur obsługi blokad.
Identyfikator CVE
CVE-2013-5188: Levi Musters
Serwer współdzielenia ekranu
Zagrożenie: osoba atakująca zdalnie może spowodować wykonanie dowolnego kodu.
Opis: w procedurze obsługi nazwy użytkownika VNC przez serwer współdzielenia ekranu istnieje luka w zabezpieczeniach dotycząca łańcuchów formatu.
Identyfikator CVE
CVE-2013-5135: użytkownik SilentSignal pracujący w ramach programu iDefense VCP
syslog
Zagrożenie: użytkownik konta gościnnego może wyświetlać komunikaty dziennika poprzedniego użytkownika konta gościnnego.
Opis: dziennik konsoli był dostępny dla użytkownika konta gościnnego i zawierał komunikaty z poprzednich sesji użytkownika konta gościnnego. Rozwiązanie tego problemu polega na ustawieniu widoczności dziennika konsoli użytkownika gościnnego tylko dla administratorów.
Identyfikator CVE
CVE-2013-5191: Sven-S. Porst z firmy earthlingsoft
USB
Zagrożenie: lokalna aplikacja o złośliwym działaniu może spowodować nieoczekiwane zakończenie pracy systemu.
Opis: kontroler koncentratora USB nie sprawdzał portu i numeru portu żądań. Rozwiązanie tego problemu polega na dodaniu sprawdzania portu i numeru portu.
Identyfikator CVE
CVE-2013-5192: Stefano Bianchi Mazzone, Mattia Pagnozzi i Aristide Fattori z laboratorium zabezpieczeń komputerów i sieci (LaSER) na uniwersytecie Università degli Studi di Milano
Uwaga: system OS X Mavericks zawiera program Safari 7, który korzysta z zawartości zabezpieczeń przeglądarki Safari 6.1. Więcej informacji zawiera artykuł „Informacje o zawartości związanej z zabezpieczeniami w programie Safari 6.1” pod adresem http://support.apple.com/kb/HT6000?viewlocale=pl_PL.