Informacje o zawartości związanej z zabezpieczeniami w systemie OS X Yosemite 10.10

Ten dokument zawiera informacje o zawartości związanej z zabezpieczeniami w systemie OS X Yosemite 10.10.

W celu ochrony swoich klientów firma Apple nie ujawnia, nie omawia ani nie potwierdza problemów dotyczących zabezpieczeń przed ich pełnym zbadaniem i udostępnieniem wszelkich niezbędnych poprawek lub wersji oprogramowania. Więcej informacji o bezpieczeństwie produktów firmy Apple można znaleźć w witrynie Bezpieczeństwo produktów firmy Apple.

Informacje o kluczu PGP serwisu Bezpieczeństwo produktów firmy Apple zawiera artykuł Używanie klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Tam, gdzie jest to możliwe, w odniesieniu do luk w zabezpieczeniach są używane identyfikatory CVE, aby ułatwić uzyskanie dalszych informacji.

Informacje o innych uaktualnieniach zabezpieczeń zawiera artykuł Uaktualnienia zabezpieczeń firmy Apple.

OS X Yosemite 10.10

  • 802.1X

    Zagrożenie: osoba atakująca może uzyskać dane logowania do sieci Wi-Fi.

    Opis: osoba atakująca mogła podszyć się pod punkt dostępu Wi-Fi, zaoferować użytkownikowi uwierzytelnienie się za pomocą protokołu LEAP, złamać skrót MS-CHAPv1, a następnie użyć uzyskanych w ten sposób danych logowania do uwierzytelnienia się na docelowym punkcie dostępu, nawet jeśli ten punkt dostępu obsługiwał silniejsze metody uwierzytelniania. Ten problem rozwiązano przez domyślne wyłączenie protokołu LEAP.

    Identyfikator CVE

    CVE-2014-4364: Pieter Robyns, Bram Bonne, Peter Quax i Wim Lamotte z Uniwersytetu w Hasselt

  • Serwer plików AFP

    Zagrożenie: osoba atakująca zdalnie może ustalić wszystkie adresy sieciowe systemu.

    Opis: serwer plików AFP obsługuje polecenie, które zwracało wszystkie adresy sieciowe systemu. Rozwiązanie tego problemu polega na usunięciu adresów z danych wyjściowych.

    Identyfikator CVE

    CVE-2014-4426: Craig Young z zespołu Tripwire VERT

  • Apache

    Zagrożenie: istnieje wiele luk w zabezpieczeniach serwera Apache.

    Opis: oprogramowanie Apache zawiera szereg luk w zabezpieczeniach, z których najpoważniejsze mogą pozwolić na atak typu „odmowa usługi”. W celu rozwiązania tych problemów należy uaktualnić serwer Apache do wersji 2.4.9.

    Identyfikator CVE

    CVE-2013-6438

    CVE-2014-0098

  • Piaskownica aplikacji

    Zagrożenie: aplikacja z nałożonymi ograniczeniami piaskownicy może w niewłaściwy sposób użyć interfejsu API ułatwień dostępu.

    Opis: aplikacja z nałożonymi ograniczeniami piaskownicy może w niewłaściwy sposób użyć interfejsu API ułatwień dostępu bez wiedzy użytkownika. Rozwiązanie tego problemu polega na wprowadzeniu wymagania zatwierdzenia przez administratora w przypadku używania interfejsu API ułatwień dostępu dla poszczególnych aplikacji.

    Identyfikator CVE

    CVE-2014-4427: Paul S. Ziegler z firmy Reflare UG

  • Bash

    Zagrożenie: w niektórych konfiguracjach osoba atakująca zdalnie może być w stanie wykonywać dowolne polecenia powłoki.

    Opis: w analizie składni zmiennych środowiskowych basha występował błąd. Ten problem rozwiązano przez ulepszenie analizowania składni zmiennych środowiskowych za sprawą lepszego wykrywania końca wyrażenia funkcji.

    To uaktualnienie wprowadza też sugerowaną zmianę CVE-2014-7169, która zeruje stan parsera.

    Ponadto to uaktualnienie dodaje nową przestrzeń nazw dla eksportowanych funkcji, tworząc dekoratora funkcji, aby zapobiec niezamierzonemu przekazywaniu nagłówka do basha. Nazwy wszystkich zmiennych środowiskowych wprowadzających definicje funkcji muszą mieć prefiks „__BASH_FUNC<” i sufiks „>()”, aby zapobiec niezamierzonemu przekazywaniu funkcji za pośrednictwem nagłówków HTTP.

    Identyfikator CVE

    CVE-2014-6271: Stephane Chazelas

    CVE-2014-7169: Tavis Ormandy

  • Bluetooth

    Zagrożenie: złośliwe urządzenie wejściowe Bluetooth może ominąć mechanizm zestawiania w parę.

    Opis: możliwe jest nawiązywanie nieszyfrowanych połączeń z urządzeń interfejsu użytkownika (HID, Human Interface Device) Bluetooth o niskim poborze energii. Jeśli komputer Mac zostanie zestawiony w parę z takim urządzeniem, osoba atakująca może podszyć się pod prawidłowe urządzenie w celu nawiązania połączenia. Rozwiązanie tego problemu polega na odmowie akceptowania nieszyfrowanych połączeń z urządzeniami HID.

    Identyfikator CVE

    CVE-2014-4428: Mike Ryan z firmy iSEC Partners

  • CFPreferences

    Zagrożenie: preferencja „Wymagaj hasła po uśpieniu lub włączeniu wygaszacza ekranu” może nie działać do momentu ponownego uruchomienia.

    Opis: istnieje problem z zarządzaniem sesjami w kontekście obsługi ustawień preferencji systemu. Rozwiązanie tego problemu polega na poprawieniu procedur śledzenia sesji.

    Identyfikator CVE

    CVE-2014-4425

  • Zasady zaufania dotyczące certyfikatów

    Zagrożenie: uaktualnienie zasad zaufania dotyczących certyfikatów.

    Opis: uaktualniono zasady zaufania dotyczące certyfikatów. Pełną listę certyfikatów można zobaczyć na stronie http://support.apple.com/kb/HT6005?viewlocale=pl_PL.

  • CoreStorage

    Zagrożenie: zaszyfrowany wolumin może pozostać odblokowany po wysunięciu.

    Opis: gdy zaszyfrowany wolumin jest wysuwany logicznie po zamontowaniu, następuje odmontowanie woluminu z zachowaniem kluczy, przez co można zamontować wolumin ponownie bez hasła. Rozwiązanie tego problemu polega na wprowadzeniu wymazywania kluczy przy wysuwaniu.

    Identyfikator CVE

    CVE-2014-4430: Benjamin King z firmy See Ben Click Computer Services LLC, Karsten Iwen, Dustin Li (http://dustin.li/), Ken J. Takekoshi i inni anonimowi badacze

  • CUPS

    Zagrożenie: użytkownik lokalny może wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: Gdy interfejs internetowy CUPS udostępnia pliki, śledzi łącza symboliczne. Użytkownik lokalny może utworzyć łącza symboliczne do dowolnych plików i pobierać je przez interfejs internetowy. Rozwiązanie tego problemu polega na wycofaniu zezwolenia na udostępnianie łączy symbolicznych przez interfejs internetowy CUPS.

    Identyfikator CVE

    CVE-2014-3537

  • Dock

    Zagrożenie: w niektórych przypadkach okna mogą być widoczne po zablokowaniu ekranu.

    Opis: w procedurach obsługi blokady ekranu występuje błąd dotyczący zarządzania stanem. Rozwiązanie tego problemu polega na poprawieniu procedur śledzenia stanu.

    Identyfikator CVE

    CVE-2014-4431: Emil Sjölander z Uniwersytetu w Umeå

  • fdesetup

    Zagrożenie: polecenie fdesetup może nieprawidłowo informować o stanie szyfrowania dysku.

    Opis: po uaktualnieniu ustawień przed ponownym uruchomieniem polecenie fdesetup podaje nieprawidłowe informacje o stanie. Rozwiązanie tego problemu polega na poprawieniu procedur informowania o stanie.

    Identyfikator CVE

    CVE-2014-4432

  • iCloud — Znajdź mój Mac

    Zagrożenie: numer PIN trybu utraty usługi iCloud można wykryć metodą pełnego przeglądu.

    Opis: problem z zachowaniem stanu w mechanizmie ograniczania przepustowości umożliwia wykrycie numeru PIN trybu utraty usługi iCloud metodą pełnego przeglądu. Rozwiązanie tego problemu polega na poprawieniu obsługi zachowania stanu w przypadku ponownego uruchamiania.

    Identyfikator CVE

    CVE-2014-4435: knoy

  • IOAcceleratorFamily

    Zagrożenie: aplikacja może wywołać atak typu odmowa usługi.

    Opis: w sterowniku IntelAccelerator występowała dereferencja wskaźnika NULL. Rozwiązanie tego problemu polega na poprawieniu procedury obsługi błędów.

    Identyfikator CVE

    CVE-2014-4373: cunzhang z Adlab of Venustech

  • IOHIDFamily

    Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: w procedurze obsługi właściwości odwzorowania klawiszy przez rozszerzenie IOHIDFamily występowała dereferencja wskaźnika NULL. Ten problem rozwiązano przez poprawienie procedury sprawdzania właściwości odwzorowania klawiszy IOHIDFamily.

    Identyfikator CVE

    CVE-2014-4405: Ian Beer z Google Project Zero

  • IOHIDFamily

    Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: w procedurze obsługi właściwości odwzorowania klawiszy przez rozszerzenie IOHIDFamily występował błąd powodujący przepełnienie buforu sterty. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

    Identyfikator CVE

    CVE-2014-4404: Ian Beer z Google Project Zero

  • IOHIDFamily

    Zagrożenie: aplikacja może wywołać atak typu odmowa usługi.

    Opis: sterownik IOHIDFamily odczytuje zawartość pamięci poza prawidłowym zakresem. Rozwiązanie tego problemu polega na poprawieniu mechanizmu sprawdzania poprawności danych wejściowych.

    Identyfikator CVE

    CVE-2014-4436: cunzhang z Venustech Adlab

  • IOHIDFamily

    Zagrożenie: użytkownik może wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: występuje problem z zapisem poza prawidłowym zakresem w sterowniku IOHIDFamily. Rozwiązanie tego problemu polega na poprawieniu mechanizmu sprawdzania poprawności danych wejściowych.

    Identyfikator CVE

    CVE-2014-4380: cunzhang z Adlab of Venustech

  • IOKit

    Zagrożenie: złośliwie spreparowana aplikacja może być w stanie odczytać niezainicjowane dane z pamięci jądra.

    Opis: w procedurach obsługi funkcji IOKit występował błąd dostępu do niezainicjowanej pamięci. Ten problem rozwiązano przez poprawienie procedur inicjowania pamięci..

    Identyfikator CVE

    CVE-2014-4407: @PanguTeam

  • IOKit

    Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: w procedurach obsługi określonych pól metadanych obiektów IODataQueue występował błąd sprawdzania poprawności. Ten problem rozwiązano przez poprawienie procedury sprawdzania poprawności metadanych.

    Identyfikator CVE

    CVE-2014-4388: @PanguTeam

  • IOKit

    Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

    Opis: w procedurach obsługi określonych pól metadanych obiektów IODataQueue występował błąd sprawdzania poprawności. Ten problem rozwiązano przez poprawienie procedury sprawdzania poprawności metadanych.

    Identyfikator CVE

    CVE-2014-4418: Ian Beer z Google Project Zero

  • Jądro

    Zagrożenie: użytkownik lokalny może być w stanie określić rozkład pamięci jądra.

    Opis: w interfejsie statystyk sieciowych występowało wiele błędów niezainicjowanej pamięci, które prowadziły do ujawnienia zawartości pamięci jądra. Ten problem rozwiązano przez wprowadzenie dodatkowej procedury inicjowania pamięci.

    Identyfikator CVE

    CVE-2014-4371: Fermin J. Serna z Google Security Team

    CVE-2014-4419: Fermin J. Serna z Google Security Team

    CVE-2014-4420: Fermin J. Serna z Google Security Team

    CVE-2014-4421: Fermin J. Serna z Google Security Team

  • Jądro

    Zagrożenie: złośliwie skonstruowany system plików może spowodować nieoczekiwane zamknięcie systemu lub wykonanie dowolnego kodu.

    Opis: w mechanizmie obsługi rozgałęzień zasobów w systemie plików HFS występuje problem z przepełnieniem bufora sterty. Złośliwie skonstruowany system plików może spowodować nieoczekiwane zamknięcie systemu lub wykonanie dowolnego kodu z uprawnieniami jądra. Rozwiązanie tego problemu polega na poprawieniu mechanizmu sprawdzania ograniczeń.

    Identyfikator CVE

    CVE-2014-4433: Maksymilian Arciemowicz

  • Jądro

    Zagrożenie: złośliwy system plików może spowodować nieoczekiwane zamknięcie systemu.

    Opis: w procedurach obsługi nazw plików w systemie HFS występuje problem z dereferencją wskaźnika NULL. Złośliwie skonstruowany system plików może spowodować nieoczekiwane zamknięcie systemu. Ten problem został rozwiązany poprzez likwidację pustego odwołania.

    Identyfikator CVE

    CVE-2014-4434: Maksymilian Arciemowicz

  • Jądro

    Zagrożenie: użytkownik lokalny może spowodować nieoczekiwane zakończenie działania systemu lub wykonanie dowolnego kodu w jądrze.

    Opis: w procedurach obsługi portów Mach występował błąd dwukrotnego zwolnienia pamięci. Ten problem rozwiązano przez poprawienie procedury sprawdzania poprawności portów Mach.

    Identyfikator CVE

    CVE-2014-4375: anonimowy badacz

  • Jądro

    Zagrożenie: osoba z uprzywilejowanym dostępem do sieci może przeprowadzić atak typu „odmowa usługi”.

    Opis: w procedurach obsługi pakietów IPv6 występowała sytuacja wyścigu. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania stanu blokady.

    Identyfikator CVE

    CVE-2011-2391: Marc Heuse

  • Jądro

    Zagrożenie: użytkownik lokalny może spowodować nieoczekiwane zakończenie działania systemu lub wykonanie dowolnego kodu w jądrze.

    Opis: w funkcji rt_setgate występował problem odczytu spoza dozwolonego zakresu. Może to prowadzić do ujawnienia lub uszkodzenia pamięci. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

    Identyfikator CVE

    CVE-2014-4408

  • Jądro

    Zagrożenie: użytkownik lokalny może spowodować nieoczekiwane zamknięcie systemu.

    Opis: procedury obsługi komunikatów wysyłanych do gniazd sterowania systemem mogą osiągnąć stan błędu jądra. Rozwiązanie tego problemu polega na zastosowaniu dodatkowej procedury sprawdzania poprawności komunikatów.

    Identyfikator CVE

    CVE-2014-4442: Darius Davis z firmy VMware

  • Jądro

    Zagrożenie: niektóre środki utwardzania jądra można omijać.

    Opis: generator liczb losowych używany w środkach utwardzania jądra na wczesnym etapie procesu rozruchu nie był bezpieczny pod względem kryptograficznym. Niektóre jego wyniki dawały się wywnioskować z przestrzeni użytkownika, umożliwiając ominięcie środków utwardzania. Ten problem rozwiązano przez użycie algorytmu bezpiecznego pod względem kryptograficznym.

    Identyfikator CVE

    CVE-2014-4422: Tarjei Mandt z Azimuth Security

  • Usługi uruchamiania

    Zagrożenie: aplikacja lokalna może ominąć ograniczenia piaskownicy.

    Opis: interfejs usług uruchamiania służący do ustawiania modułów obsługi typów zawartości umożliwia aplikacjom z ograniczeniami piaskownicy określanie modułów obsługi istniejących typów zawartości. Złośliwa aplikacja może w ten sposób ominąć ograniczenia piaskownicy. Rozwiązanie tego problemu polega na zablokowaniu określania modułów obsługi typów zawartości przez aplikacje z ograniczeniami piaskownicy.

    Identyfikator CVE

    CVE-2014-4437: Meder Kydyraliev z zespołu do spraw bezpieczeństwa w firmie Google

  • Okno logowania

    Zagrożenie: czasami ekran może nie zostać zablokowany.

    Opis: w klasie LoginWindow występuje sytuacja wyścigu, która czasami może zapobiec zablokowaniu ekranu. Rozwiązanie tego problemu polega na zmianie kolejności operacji.

    Identyfikator CVE

    CVE-2014-4438: Harry Sintonen z firmy nSense, Alessandro Lobina z firmy Helvetia Insurances, Patryk Szlagowski z firmy Funky Monkey Labs

  • Mail

    Zagrożenie: aplikacja Mail może wysyłać wiadomości e-mail do innych odbiorców niż wybrani.

    Opis: niespójność w interfejsie użytkownika aplikacji Mail skutkuje wysyłaniem wiadomości na adresy usunięte z listy odbiorców. Rozwiązanie tego problemu polega na ulepszeniu testów spójności interfejsu użytkownika.

    Identyfikator CVE

    CVE-2014-4439: Patrick J Power z Melbourne w Australii

  • Profile konfiguracji pulpitu MCX

    Zagrożenie: przy dezinstalacji profilów konfiguracji urządzeń przenośnych ustawienia nie są usuwane.

    Opis: przy dezinstalacji profilów konfiguracji urządzeń przenośnych nie są usuwane ustawienia serwera internetowego proxy zainstalowane przez takie profile. Rozwiązanie tego problemu polega na poprawieniu procedur obsługi dezinstalacji profilów.

    Identyfikator CVE

    CVE-2014-4440: Kevin Koster z firmy Cloudpath Networks

  • Platforma klientów NetFS

    Zagrożenie: funkcja udostępniania plików może wejść w stan, w którym nie można jej wyłączyć.

    Opis: w platformie udostępniania plików występuje problem z zarządzaniem stanami. Ten problem rozwiązano przez poprawienie procedury zarządzania stanem.

    Identyfikator CVE

    CVE-2014-4441: Eduardo Bonsi z firmy BEARTCOMMUNICATIONS

  • QuickTime

    Zagrożenie: odtworzenie złośliwie spreparowanego pliku M4A może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu.

    Opis: w procedurach obsługi próbek audio istnieje błąd powodujący przepełnienie buforu. Ten problem rozwiązano przez poprawienie mechanizmu sprawdzania ograniczeń.

    Identyfikator CVE

    CVE-2014-4351: Karl Smith z firmy NCC Group

  • Safari

    Zagrożenie: historia ostatnio odwiedzanych stron na otwartej karcie może pozostać dostępna po wyczyszczeniu historii.

    Opis: wyczyszczenie historii przeglądarki Safari nie powoduje wyczyszczenia historii przechodzenia do poprzedniej/następnej strony dla otwartych kart. Rozwiązanie tego problemu polega na wyczyszczeniu historii przechodzenia do poprzedniej/następnej strony.

    Identyfikator CVE

    CVE-2013-5150

  • Safari

    Zagrożenie: włączenie powiadomień w trybie push ze złośliwie skonstruowanej witryny może spowodować pominięcie przyszłych powiadomień tego typu w przeglądarce Safari.

    Opis: w procedurach obsługi powiadomień w trybie push w przeglądarce Safari przez klasę SafariNotificationAgent występuje problem z niewychwyconym wyjątkiem. Rozwiązanie tego problemu polega na ulepszeniu procedur obsługi powiadomień w trybie push w przeglądarce Safari.

    Identyfikator CVE

    CVE-2014-4417: Marek Isalski z firmy Faelix Limited

  • Secure Transport

    Zagrożenie: osoba atakująca może odszyfrować dane chronione za pomocą protokołu SSL.

    Opis: znane są ataki na poufność komunikacji za pośrednictwem protokołu SSL 3.0 polegające na używaniu szyfru blokującego w trybie CBC przez oprogramowanie szyfrujące. Osoba atakująca może zablokować nawiązywanie połączeń przy użyciu protokołu TLS 1.0 lub nowszych wersji, aby wymusić stosowanie protokołu SSL 3.0 nawet w przypadku, gdy serwer powinien obsługiwać lepszy protokół TLS. Ten problem rozwiązano przez wyłączenie zestawów szyfrowania CBC w przypadku niepowodzenia nawiązania połączenia TLS.

    Identyfikator CVE

    CVE-2014-3566: Bodo Moeller, Thai Duong i Krzysztof Kotowicz z zespołu do spraw bezpieczeństwa w firmie Google

  • Zabezpieczenia

    Zagrożenie: osoba atakująca zdalnie może spowodować atak typu „odmowa usługi”.

    Opis: procedury obsługi danych ASN.1 zawierają dereferencję wskaźnika NULL. Rozwiązanie problemu polega na wprowadzeniu dodatkowej procedury sprawdzania poprawności danych ASN.1.

    Identyfikator CVE

    CVE-2014-4443: Coverity

  • Zabezpieczenia

    Zagrożenie: użytkownik lokalny może uzyskać dostęp do biletów Kerberos innego użytkownika.

    Opis: w klasie SecurityAgent występuje błąd dotyczący zarządzania stanami. Podczas szybkiego przełączania użytkowników bilet Kerberos nowego użytkownika może zostać umieszczony w buforze poprzedniego użytkownika. Ten problem rozwiązano przez poprawienie procedury zarządzania stanem.

    Identyfikator CVE

    CVE-2014-4444: Gary Simon z ośrodka Sandia National Laboratories, Ragnar Sundblad z Królewskiego Instytutu Technologicznego w Sztokholmie, Eugene Homyakov z firmy Kaspersky Lab

  • Zabezpieczenia — podpisywanie kodu

    Zagrożenie: nie można zapobiec uruchomieniu zmodyfikowanych aplikacji.

    Opis: aplikacje zaprojektowane dla systemów OS X w wersjach starszych niż Mavericks 10.9 oraz aplikacje stosujące niestandardowe reguły dotyczące zasobów mogą być podatne na zmiany, które nie powodują unieważnienia ich podpisów. W systemach skonfigurowanych do zezwalania tylko na działanie aplikacji ze sklepu Mac App Store i od określonych producentów pobrana zmodyfikowana aplikacja może uzyskać zezwolenie na uruchomienie w taki sam sposób jak prawidłowa aplikacja. Rozwiązanie tego problemu polega na wprowadzeniu ignorowania podpisów pakietów z opakowaniami zasobów, które pomijają zasoby mogące mieć wpływ na uruchamianie aplikacji. Zmiany te są już wprowadzone w systemie OS X Mavericks 10.9.5 i uaktualnieniu zabezpieczeń 2014-004 dla systemu OS X Mountain Lion 10.8.5.

    Identyfikator CVE

    CVE-2014-4391: Christopher Hickstein w ramach programu Zero Day Initiative firmy HP

Uwaga: system OS X Yosemite zawiera przeglądarkę Safari 8.0, w której są dostępne rozwiązania dotyczące zabezpieczeń z przeglądarki Safari 7.1. Więcej informacji można uzyskać w artykule Informacje o zawartości związanej z zabezpieczeniami w przeglądarkach Safari 6.2 i Safari 7.1.

Informacje o produktach niewytworzonych przez Apple lub o niezależnych witrynach internetowych, których Apple nie kontroluje ani nie testuje, są udostępniane bez żadnej rekomendacji ani poparcia. Apple nie ponosi żadnej odpowiedzialności za wybór, działanie lub wykorzystanie takich witryn lub produktów innych firm. Apple nie składa żadnych oświadczeń dotyczących dokładności lub wiarygodności witryn internetowych innych firm. Ryzyko jest wpisane w korzystanie z Internetu. Skontaktuj się z dostawcą, aby uzyskać więcej informacji. Pozostałe nazwy firm i produktów mogą być znakami towarowymi odpowiednich podmiotów.

Data publikacji: