Informacje o zawartości związanej z zabezpieczeniami w uaktualnieniu systemu OS X Mavericks do wersji 10.9.4 i Uaktualnieniu zabezpieczeń 2014-003

Ten dokument zawiera informacje o zawartości związanej z zabezpieczeniami w uaktualnieniu systemu OS X Mavericks do wersji 10.9.4 i Uaktualnieniu zabezpieczeń 2014-003.

To uaktualnienie można pobrać i zainstalować przy użyciu funkcji Uaktualnienia programów lub z witryny Wsparcie Apple.

W celu ochrony swoich klientów firma Apple nie ujawnia, nie omawia ani nie potwierdza problemów dotyczących zabezpieczeń przed ich pełnym zbadaniem i udostępnieniem wszelkich niezbędnych poprawek lub wersji oprogramowania. Więcej informacji o bezpieczeństwie produktów firmy Apple można znaleźć w witrynie Bezpieczeństwo produktów firmy Apple.

Informacje o kluczu PGP serwisu Bezpieczeństwo produktów firmy Apple zawiera artykuł Używanie klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Tam, gdzie jest to możliwe, w odniesieniu do luk w zabezpieczeniach są używane identyfikatory CVE, aby ułatwić uzyskanie dalszych informacji.

Informacje o innych uaktualnieniach zabezpieczeń zawiera artykuł Uaktualnienia zabezpieczeń firmy Apple.

Uwaga: system OS X Mavericks 10.9.4 zawiera zabezpieczenia z uaktualnienia przeglądarki Safari do wersji 7.0.5.

Uaktualnienie systemu OS X Mavericks do wersji 10.9.4 i Uaktualnienie zabezpieczeń 2014-003

  • Zasady dotyczące zaufania dla certyfikatów

    Dostępne dla: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5, OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: uaktualnienie zasad dotyczących zaufania dla certyfikatów.

    Opis: uaktualniono zasady dotyczące zaufania dla certyfikatów. Pełną listę certyfikatów można zobaczyć na stronie http://support.apple.com/kb/HT6005?viewlocale=pl_PL.

  • copyfile

    Dostępne dla: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5, OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: otwarcie złośliwie spreparowanego pliku ZIP może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu.

    Opis: w procedurze obsługi plików AppleDouble w archiwach ZIP występował problem wymiany bajtów spoza dozwolonego zakresu. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

    Identyfikator CVE

    CVE-2014-1370: Chaitanya (SegFault) w ramach programu iDefense VCP

  • curl

    Dostępne dla: OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: zdalny atakujący może być w stanie uzyskać dostęp do sesji innego użytkownika.

    Opis: komponent cURL ponownie wykorzystywał połączenia NTLM, gdy była włączona więcej niż jedna metoda uwierzytelniania, co pozwalało atakującemu na uzyskanie dostępu do sesji innego użytkownika.

    Identyfikator CVE

    CVE-2014-0015

  • Dock

    Dostępne dla: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5, OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: aplikacja działająca w piaskownicy może być w stanie obejść ograniczenia piaskownicy.

    Opis: w procedurze obsługi komunikatów z aplikacji przez Dock występował problem nieprawidłowego indeksu tablicy. Złośliwie spreparowany komunikat mógł spowodować dereferencję nieprawidłowego wskaźnika funkcji, co mogło doprowadzić do nieoczekiwanego zamknięcia aplikacji lub wykonania dowolnego kodu.

    Identyfikator CVE

    CVE-2014-1371: anonimowy badacz pracujący w ramach programu Zero Day Initiative firmy HP

  • Sterownik graficzny

    Dostępne dla: OS X Mountain Lion 10.8.5, OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: użytkownik lokalny może odczytać pamięć jądra, co może posłużyć do obejścia randomizacji układu przestrzeni adresowej jądra.

    Opis: w procedurze obsługi wywołania systemowego występował problem odczytu spoza zakresu. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

    Identyfikator CVE

    CVE-2014-1372: Ian Beer z Google Project Zero

  • iBooks Commerce

    Dostępne dla: OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: atakujący z dostępem do systemu może być w stanie pozyskać dane logowania do konta Apple ID.

    Opis: w procedurze obsługi dzienników aplikacji iBooks występował problem. Proces iBooks mógł umieścić dane logowania do konta Apple ID w dzienniku aplikacji iBooks, gdzie inni użytkownicy systemu mogli je odczytać. Rozwiązanie tego problemu polega na niezezwalaniu na rejestrowanie danych logowania w dzienniku.

    Identyfikator CVE

    CVE-2014-1317: Steve Dunham

  • Sterownik graficzny Intel

    Dostępne dla: OS X Mountain Lion 10.8.5, OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: w procedurze obsługi wywołania interfejsu API OpenGL występował problem z walidacją. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

    Identyfikator CVE

    CVE-2014-1373: Ian Beer z Google Project Zero

  • Sterownik graficzny Intel

    Dostępne dla: OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: użytkownik lokalny może odczytać wskaźnik jądra, co może posłużyć do obejścia randomizacji układu przestrzeni adresowej jądra.

    Opis: w przestrzeni użytkownika można było pobrać wskaźnik jądra przechowywany w obiekcie IOKit. Rozwiązanie tego problemu polega na usunięciu wskaźnika z obiektu.

    Identyfikator CVE

    CVE-2014-1375

  • Intel Compute

    Dostępne dla: OS X Mountain Lion 10.8.5, OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: w procedurze obsługi wywołania interfejsu API OpenCL występował problem z walidacją. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

    Identyfikator CVE

    CVE-2014-1376: Ian Beer z Google Project Zero

  • IOAcceleratorFamily

    Dostępne dla: OS X Mountain Lion 10.8.5, OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: w komponencie IOAcceleratorFamily występował problem z indeksowaniem tablicy. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

    Identyfikator CVE

    CVE-2014-1377: Ian Beer z Google Project Zero

  • IOGraphicsFamily

    Dostępne dla: OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: użytkownik lokalny może odczytać wskaźnik jądra, co może posłużyć do obejścia randomizacji układu przestrzeni adresowej jądra.

    Opis: w przestrzeni użytkownika można było pobrać wskaźnik jądra przechowywany w obiekcie IOKit. Rozwiązanie tego problemu polega na zastosowaniu unikalnego identyfikatora zamiast wskaźnika.

    Identyfikator CVE

    CVE-2014-1378

  • IOReporting

    Dostępne dla: OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: użytkownik lokalny może spowodować nieoczekiwane ponowne uruchomienie systemu.

    Opis: w procedurze obsługi argumentów interfejsu API IOKit występowała dereferencja wskaźnika null. Rozwiązanie tego problemu polega na wprowadzeniu dodatkowej procedury sprawdzania argumentów interfejsu API IOKit.

    Identyfikator CVE

    CVE-2014-1355: cunzhang z Venustech Adlab

  • launchd

    Dostępne dla: OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: w komponencie launchd występował niedomiar całkowitoliczbowy. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

    Identyfikator CVE

    CVE-2014-1359: Ian Beer z Google Project Zero

  • launchd

    Dostępne dla: OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: w procedurze obsługi komunikatów IPC przez komponent launchd występował błąd powodujący przepełnienie buforu sterty. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

    Identyfikator CVE

    CVE-2014-1356: Ian Beer z Google Project Zero

  • launchd

    Dostępne dla: OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: w procedurze obsługi komunikatów dziennika przez komponent launchd występował błąd powodujący przepełnienie buforu sterty. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

    Identyfikator CVE

    CVE-2014-1357: Ian Beer z Google Project Zero

  • launchd

    Dostępne dla: OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: w komponencie launchd występowało przepełnienie całkowitoliczbowe. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

    Identyfikator CVE

    CVE-2014-1358: Ian Beer z Google Project Zero

  • Sterowniki graficzne

    Dostępne dla: OS X Mountain Lion 10.8.5, OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: w sterownikach graficznych jądra występowało wiele problemów z dereferencją null. Złośliwie spreparowany 32-bitowy plik wykonywalny był w stanie uzyskać podwyższone uprawnienia.

    Identyfikator CVE

    CVE-2014-1379: Ian Beer z Google Project Zero

  • Zabezpieczenia — Pęk kluczy

    Dostępne dla: OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: atakujący może być stanie pisać w oknach pod zablokowanym ekranem.

    Opis: w rzadkich przypadkach blokada ekranu nie uniemożliwiała wprowadzania znaków z klawiatury. Atakujący mógł to wykorzystać do wpisania czegoś w oknach pod zablokowanym ekranem. Rozwiązanie tego problemu polega na poprawieniu procedury zarządzania obserwatorem naciśnięć klawiszy.

    Identyfikator CVE

    CVE-2014-1380: Ben Langfeld z Mojo Lingo LLC

  • Zabezpieczenia — Secure Transport

    Dostępne dla: OS X Mountain Lion 10.8.5, OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: dwa bajty pamięci mogą zostać ujawnione zdalnemu atakującemu.

    Opis: w procedurze obsługi komunikatów DTLS przy połączeniu TLS występował problem dostępu do niezainicjowanej pamięci. Rozwiązanie tego problemu polega na akceptowaniu komunikatów DTLS tylko przy połączeniach DTLS.

    Identyfikator CVE

    CVE-2014-1361: Thijs Alkemade z projektu Adium

  • Thunderbolt

    Dostępne dla: OS X Mavericks od 10.9 do 10.9.3

    Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: w procedurze obsługi wywołań interfejsu API IOThunderBoltController występował problem dostępu do pamięci spoza dozwolonego zakresu. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

    Identyfikator CVE

    CVE-2014-1381: Catherine alias winocm

Informacje o produktach niewytworzonych przez Apple lub o niezależnych witrynach internetowych, których Apple nie kontroluje ani nie testuje, są udostępniane bez żadnej rekomendacji ani poparcia. Apple nie ponosi żadnej odpowiedzialności za wybór, działanie lub wykorzystanie takich witryn lub produktów innych firm. Apple nie składa żadnych oświadczeń dotyczących dokładności lub wiarygodności witryn internetowych innych firm. Ryzyko jest wpisane w korzystanie z Internetu. Skontaktuj się z dostawcą, aby uzyskać więcej informacji. Pozostałe nazwy firm i produktów mogą być znakami towarowymi odpowiednich podmiotów.

Data publikacji: