Сведения о проблемах безопасности, устраняемых версией OS X Yosemite 10.10.5 и обновлением системы безопасности 2015-006
В этом документе описываются проблемы безопасности, устраняемые в OS X Yosemite 10.10.5 и обновлении системы безопасности 2015-006.
В целях защиты клиентов компания Apple не разглашает информацию о проблемах в системе безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет полностью завершено изучение соответствующей проблемы и не будут опубликованы все необходимые исправления и выпуски. Дополнительные сведения об обеспечении безопасности продуктов Apple см. на веб-сайте Безопасность продуктов Apple.
Информацию об обеспечении безопасности продуктов Apple с помощью PGP-ключа см. в статье Использование PGP-ключа безопасности продуктов Apple.
Там, где это возможно, для ссылки на дополнительную информацию об уязвимостях используются идентификаторы CVE.
Сведения о других обновлениях системы безопасности см. в статье Обновления системы безопасности Apple.
OS X Yosemite 10.10.5 и обновление системы безопасности 2015-006
Apache
Доступно для: OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. В Apache 2.4.16 существовал ряд уязвимостей, самые серьезные из которых могли позволить удаленному злоумышленнику вызвать отказ в обслуживании.
Описание. В Apache версий, предшествующих 2.4.16, существовал ряд уязвимостей. Они устранены путем обновления Apache до версии 2.4.16.
Идентификатор CVE
CVE-2014-3581
CVE-2014-3583
CVE-2014-8109
CVE-2015-0228
CVE-2015-0253
CVE-2015-3183
CVE-2015-3185
apache_mod_php
Доступно для: OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. В PHP 5.5.20 существовал ряд уязвимостей, наиболее серьезные из которых могли привести к выполнению произвольного кода.
Описание. В PHP версий, предшествующих 5.5.20, существовал ряд уязвимостей. Они устранены путем обновления Apache до версии 5.5.27.
Идентификатор CVE
CVE-2015-2783
CVE-2015-2787
CVE-2015-3307
CVE-2015-3329
CVE-2015-3330
CVE-2015-4021
CVE-2015-4022
CVE-2015-4024
CVE-2015-4025
CVE-2015-4026
CVE-2015-4147
CVE-2015-4148
Плагин OD для идентификатора Apple ID
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Вредоносная программа может изменить пароль локального пользователя.
Описание. При определенных обстоятельствах в процедуре аутентификации пароля возникала проблема управления состоянием. Эта проблема устранена путем улучшенного управления состоянием.
Идентификатор CVE
CVE-2015-3799: анонимный исследователь, работающий с компанией HP по программе Zero Day Initiative
AppleGraphicsControl
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Вредоносная программа может выявлять схему распределения памяти в ядре.
Описание. В AppleGraphicsControl существовала проблема, которая могла привести к раскрытию макета памяти ядра. Проблема устранена путем улучшенной проверки границ памяти.
Идентификатор CVE
CVE-2015-5768: Цзетао Ян (JieTao Yang) из группы KeenTeam
Bluetooth
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Локальный пользователь может вызвать выполнение произвольного кода с системными правами
Описание. В IOBluetoothHCIController существовало повреждение памяти. Проблема устранена путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-3779: Тедди Рид (Teddy Reed) из подразделения Facebook Security
Bluetooth
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Вредоносная программа может выявлять схему распределения памяти в ядре.
Описание. Существовала проблема управления памятью, которая могла привести к раскрытию макета памяти ядра. Проблема устранена путем улучшенного управления памятью.
Идентификатор CVE
CVE-2015-3780: Роберто Палеари (Roberto Paleari) и Аристиде Фаттори (Aristide Fattori) из Emaze Networks
Bluetooth
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Вредоносная программа может получить доступ к уведомлениям с других устройств iCloud.
Описание. Существовала проблема, при которой вредоносная программа могла получить доступ к уведомлениям центра уведомлений объединенных в пару Bluetooth-устройств Mac или iOS посредством службы центра уведомлений Apple. Проблема возникала на устройствах, использующих функцию Handoff и вошедших в одну и ту же учетную запись iCloud. Проблема устранена путем отмены доступа к службе центра уведомлений Apple.
Идентификатор CVE
CVE-2015-3786: Сяолун Бай (Xiaolong Bai) (Университет Цинхуа), персонал Лаборатории обеспечения системной безопасности (Индианский университет), Тунсинь Ли (Tongxin Li) (Пекинский университет), Сяофэн Ван (XiaoFeng Wang) (Индианский университет)
Bluetooth
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Злоумышленник, имеющий привилегированное положение в сети, может выполнить атаку типа «отказ в обслуживании» с помощью неверно сформированных пакетов Bluetooth.
Описание. При анализе пакетов Bluetooth ACL возникала проблема проверки ввода. Проблема устранена путем улучшенной проверки ввода.
Идентификатор CVE
CVE-2015-3787: Trend Micro
Bluetooth
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Локальный злоумышленник может вызвать неожиданное завершение работы программы или выполнить произвольный код.
Описание. При обработке XPC-сообщений подпрограммы blued возникали различные проблемы переполнения буфера. Проблемы устранены путем улучшенной проверки границ.
Идентификатор CVE
CVE-2015-3777: mitp0sh из компании [PDX]
bootp
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Вредоносная сеть Wi-Fi имела возможность определить сети, к которым устройство было подключено ранее
Описание. При подключении к сети Wi-Fi система iOS могла передавать MAC-адреса ранее подключенных сетей посредством протокола DNAv4. Проблема устранена путем отключения DNAv4 в незашифрованных сетях Wi-Fi.
Идентификатор CVE
CVE-2015-3778: Пирс О'Хэнлон (Piers O'Hanlon) из Оксфордского института Интернета, Оксфордский университет (в рамках проекта EPSRC Being There)
CloudKit
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Вредоносная программа может получить доступ к записи ранее вошедшего в iCloud пользователя.
Описание. При выходе пользователей из службы в CloudKit возникало несоответствие состояний. Проблема устранена путем улучшенного управления состояниями.
Идентификатор CVE
CVE-2015-3782: Дипканвал Плаха (Deepkanwal Plaha) из Торонтского университета
Воспроизведение CoreMedia
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Просмотр вредоносного видеофайла может привести к неожиданному завершению работы программы или выполнению произвольного кода.
Описание. В механизме воспроизведения CoreMedia возникали проблемы повреждения памяти. Проблемы устранены путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-5777: Apple
CVE-2015-5778: Apple
CoreText
Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. Обработка вредоносного файла шрифта могла приводить к неожиданному завершению программы или выполнению произвольного кода.
Описание. При обработке файлов шрифтов существовала проблема повреждения памяти. Проблема устранена путем улучшенной проверки ввода.
Идентификатор CVE
CVE-2015-5761: Джон Вилламил (John Villamil) (@day6reak), отдел Yahoo Pentest
CoreText
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Обработка вредоносного файла шрифта могла приводить к неожиданному завершению программы или выполнению произвольного кода.
Описание. При обработке файлов шрифтов существовала проблема повреждения памяти. Проблема устранена путем улучшенной проверки ввода.
Идентификатор CVE
CVE-2015-5755: Джон Вилламил (John Villamil) (@day6reak), отдел Yahoo Pentest
curl
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Обнаружен ряд уязвимостей в cURL и libcurl версий, выпущенных ранее 7.38.0, одна из которых может позволить удаленным злоумышленникам обойти политику одного источника.
Описание. В cURL и libcurl версий, предшествующих 7.38.0, существовал ряд уязвимостей. Они устранены путем обновления cURL до версии 7.43.0.
Идентификатор CVE
CVE-2014-3613
CVE-2014-3620
CVE-2014-3707
CVE-2014-8150
CVE-2014-8151
CVE-2015-3143
CVE-2015-3144
CVE-2015-3145
CVE-2015-3148
CVE-2015-3153
Подсистема детекторов данных
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Обработка последовательности символов Unicode может приводить к неожиданному завершению работы программы или выполнению произвольного кода.
Описание. При обработке символов Unicode возникали проблемы повреждения памяти. Проблемы устранены путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-5750: M1x7e1 из рабочей группы Safeye (www.safeye.org)
Панель параметров даты и времени
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Программы, зависящие от системного времени, могут иметь непредвиденное поведение.
Описание. При изменении системных параметров даты и времени возникала проблема авторизации. Проблема устранена путем дополнительных проверок авторизации.
Идентификатор CVE
CVE-2015-3757: Марк Смит (Mark S. C. Smith)
Программа «Словарь»
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Злоумышленник, имеющий привилегированное положение в сети, может перехватывать запросы, отправляемые пользователями в программу «Словарь».
Описание. В программе «Словарь» возникала проблема, препятствующая надлежащей защите взаимодействия пользователей. Проблема устранена путем переноса запросов программы «Словарь» в среду HTTPS.
Идентификатор CVE
CVE-2015-3774: Джеффри Пол (Jeffrey Paul) из компании EEQJ, Ян Би (Jan Bee) из подразделения Google по обеспечению безопасности
DiskImages
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Обработка вредоносного файла DMG могла приводить к неожиданному завершению программы или выполнению произвольного кода с системными привилегиями.
Описание. При анализе неверно сформированных изображений DMG возникало повреждение памяти. Проблема устранена путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-3800: Фрэнк Грациано (Frank Graziano) из отдела Yahoo Pentest
dyld
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Локальный пользователь может вызвать выполнение произвольного кода с системными правами
Описание. В dyld существовала проблема проверки пути. Проблема устранена путем улучшенной очистки среды.
Идентификатор CVE
CVE-2015-3760: beist из компании grayhash, Стефан Эссер (Stefan Esser)
FontParser
Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. Обработка вредоносного файла шрифта могла приводить к неожиданному завершению программы или выполнению произвольного кода.
Описание. При обработке файлов шрифтов существовала проблема повреждения памяти. Проблема устранена путем улучшенной проверки ввода.
Идентификатор CVE
CVE-2015-3804: Apple
CVE-2015-5775: Apple
FontParser
Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. Обработка вредоносного файла шрифта могла приводить к неожиданному завершению программы или выполнению произвольного кода.
Описание. При обработке файлов шрифтов существовала проблема повреждения памяти. Проблема устранена путем улучшенной проверки ввода.
Идентификатор CVE
CVE-2015-5756: Джон Вилламил (John Villamil) (@day6reak), отдел Yahoo Pentest
groff
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Обнаружен ряд проблем в pdfroff.
Описание. В pdfroff возникали различные проблемы, наиболее серьезные из которых могут позволить произвольное изменение файловой системы. Проблемы устранены путем удаления pdfroff.
Идентификатор CVE
CVE-2009-5044
CVE-2009-5078
ImageIO
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Обработка вредоносного файла изображения TIFF может привести к непредусмотренному завершению работы программы или выполнению произвольного кода
Описание. При обработке изображений TIFF существовала проблема повреждения данных в памяти. Проблема устранена путем улучшенной проверки границ памяти.
Идентификатор CVE
CVE-2015-5758: Apple
ImageIO
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Посещение вредоносного веб-сайта может привести к раскрытию памяти процесса.
Описание. При обработке изображений PNG и TIFF в ImageIO был возможен неинициализированный доступ к памяти. Посещение вредоносного веб-сайта может привести к отправке данных на веб-сайт из памяти процесса. Проблема устранена путем улучшенной инициализации памяти и дополнительной проверки изображений PNG и TIFF.
Идентификатор CVE
CVE-2015-5781: Михаль Залевски (Michal Zalewski)
CVE-2015-5782: Михаль Залевски (Michal Zalewski)
Устаревание платформы установки
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Вредоносная программа может выполнять произвольный код с привилегиями корневого пользователя.
Описание. В способе снижения привилегий выполняющимся двоичным кодом платформы Install.framework возникала проблема. Эта проблема устранена путем улучшенного управления привилегиями.
Идентификатор CVE
CVE-2015-5784: Иэн Бир (Ian Beer) из подразделения Google Project Zero
Устаревание платформы установки
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.
Описание. В выполняющемся двоичном коде Install.framework существовало состояние гонки, приводившее к неверному понижению привилегий. Проблема устранена путем улучшенной блокировки объектов.
Идентификатор CVE
CVE-2015-5754: Иэн Бир (Ian Beer) из подразделения Google Project Zero
IOFireWireFamily
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Локальный пользователь может вызвать выполнение произвольного кода с системными правами
Описание. В IOFireWireFamily возникали проблемы повреждения памяти. Эти проблемы были устранены путем дополнительной проверки ввода типа.
Идентификатор CVE
CVE-2015-3769: Илья ван Спрюндел (Ilja van Sprundel)
CVE-2015-3771: Илья ван Спрюндел (Ilja van Sprundel)
CVE-2015-3772: Илья ван Спрюндел (Ilja van Sprundel)
IOGraphics
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.
Описание. В IOGraphics существовало повреждение памяти. Проблема устранена путем дополнительной проверки ввода типа.
Идентификатор CVE
CVE-2015-3770: Илья ван Спрюндел (Ilja van Sprundel)
CVE-2015-5783: Илья ван Спрюндел (Ilja van Sprundel)
IOHIDFamily
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Локальный пользователь может вызвать выполнение произвольного кода с системными правами
Описание. В IOHIDFamily возникала проблема переполнения буфера. Проблема устранена путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-5774: коллектив TaiG Jailbreak
Ядро
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Вредоносная программа может выявлять схему распределения памяти в ядре.
Описание. В интерфейсе mach_port_space_info существовала проблема, которая могла привести к раскрытию макета памяти ядра. Проблема устранена путем отключения интерфейса mach_port_space_info.
Идентификатор CVE
CVE-2015-3766: Cererdlong из отдела безопасности мобильных устройств в Alibaba, @PanguTeam
Ядро
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.
Описание. При обработке функций IOKit существовала проблема целочисленного переполнения. Проблема устранена путем улучшенной проверки аргументов IOKit API-интерфейса.
Идентификатор CVE
CVE-2015-3768: Илья ван Спрюндел (Ilja van Sprundel)
Ядро
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Локальный пользователь может вызвать отказ в обслуживании.
Описание. В драйвере fasttrap существовала проблема нехватки ресурсов. Проблема устранена путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-5747: Максим ВИЛЛАРД (Maxime VILLARD) из m00nbsd
Ядро
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Локальный пользователь может вызвать отказ в обслуживании.
Описание. При подключении томов HFS существовала проблема проверки. Проблема устранена путем ввода дополнительных проверок.
Идентификатор CVE
CVE-2015-5748: Максим ВИЛЛАРД (Maxime VILLARD) из m00nbsd
Ядро
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Вредоносная программа может вызвать выполнение неподписанного кода.
Описание. Существовала проблема, которая позволяла добавлять неподписанный код к подписанному коду в специально созданном исполняемом файле. Проблема устранена путем улучшенной проверки подписи кода.
Идентификатор CVE
CVE-2015-3806: коллектив TaiG Jailbreak
Ядро
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Специально созданный исполняемый файл мог разрешить выполнение неподписанного вредоносного кода.
Описание. В способе оценки многоархитектурных исполняемых файлов существовала проблема, которая позволяла выполнять неподписанный код. Проблема устранена путем улучшенной проверки исполняемых файлов.
Идентификатор CVE
CVE-2015-3803: коллектив TaiG Jailbreak
Ядро
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Локальный пользователь может вызвать выполнение неподписанного кода.
Описание. При обработке файлов Mach-O существовала проблема проверки. Проблема устранена путем ввода дополнительных проверок.
Идентификатор CVE
CVE-2015-3802: коллектив TaiG Jailbreak
CVE-2015-3805: коллектив TaiG Jailbreak
Ядро
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Анализ вредоносного PLIST-файла может привести к неожиданному завершению работы программы или выполнению произвольного кода с системными привилегиями.
Описание. При обработке неверно сформированных PLIST-файлов возникало повреждение памяти. Проблема устранена путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-3776: Тедди Рид (Teddy Reed) из подразделения Facebook Security, Патрик Штайн (Patrick Stein) (@jollyjinx) из компании Jinx, Германия
Ядро
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Локальный пользователь может вызвать выполнение произвольного кода с системными правами
Описание. Существовала проблема проверки пути. Проблема устранена путем улучшенной очистки среды.
Идентификатор CVE
CVE-2015-3761: Apple
Libc
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Обработка вредоносного регулярного выражения могла приводить к неожиданному завершению программы или выполнению произвольного кода.
Описание. В библиотеке TRE возникали проблемы повреждения памяти. Проблемы устранены путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-3796: Иэн Бир (Ian Beer) из подразделения Google Project Zero
CVE-2015-3797: Иэн Бир (Ian Beer) из подразделения Google Project Zero
CVE-2015-3798: Иэн Бир (Ian Beer) из подразделения Google Project Zero
Libinfo
Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. Удаленный злоумышленник может вызвать неожиданное завершение работы программы или выполнить произвольный код.
Описание. При обработке сокетов AF_INET6 возникали проблемы повреждения памяти. Проблемы устранены путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-5776: Apple
libpthread
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.
Описание. При обработке системных вызовов возникало повреждение памяти. Проблема устранена путем улучшенной проверки состояния блокировки.
Идентификатор CVE
CVE-2015-5757: Луфэн Ли (Lufeng Li) из компании Qihoo 360
libxml2
Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. В libxml2 версий, предшествующих 2.9.2, существовал ряд уязвимостей, самые серьезные из которых могли позволить удаленному злоумышленнику вызвать отказ в обслуживании.
Описание. В libxml2 версий, предшествующих 2.9.2, существовал ряд уязвимостей. Они устранены путем обновления libxml2 до версии 2.9.2.
Идентификатор CVE
CVE-2012-6685: Феликс Гроеберт (Felix Groebert), подразделение Google
CVE-2014-0191: Феликс Гроеберт (Felix Groebert), подразделение Google
libxml2
Доступно для: OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. Анализ вредоносного документа XML может привести к разглашению информации пользователя.
Описание. В libxml2 возникала проблема с доступом к памяти. Проблема устранена путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2014-3660: Феликс Гроеберт (Felix Groebert), подразделение Google
libxml2
Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. Анализ вредоносного документа XML может привести к разглашению информации пользователя.
Описание. При анализе файлов XML возникала проблема повреждения памяти. Проблема устранена путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-3807: Apple
libxpc
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.
Описание. При обработке неверно сформированных XPC-сообщений возникала проблема повреждения памяти. Проблема устранена путем улучшенной проверки границ памяти.
Идентификатор CVE
CVE-2015-3795: Мэтью Роули (Mathew Rowley)
mail_cmds
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Локальный пользователь может вызвать выполнение произвольных команд оболочки.
Описание. При анализе адресов электронной почты утилитой mailx возникала проблема проверки. Проблема устранена путем улучшенной очистки.
Идентификатор CVE
CVE-2014-7844
Центр уведомлений: OSX
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Вредоносная программа может получить доступ ко всем уведомлениям, ранее показанным пользователям.
Описание. В центре уведомлений возникала проблема, вызывавшая неверное удаление уведомлений пользователей. Проблема устранена путем надлежащего удаления уведомлений, отклоненных пользователями.
Идентификатор CVE
CVE-2015-3764: Джонатан Здзиарски (Jonathan Zdziarski)
NTFS
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Локальный пользователь может вызвать выполнение произвольного кода с системными правами
Описание. В NTFS существовало повреждение памяти. Проблема устранена путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-5763: Роберто Палеари (Roberto Paleari) и Аристиде Фаттори (Aristide Fattori) из Emaze Networks
OpenSSH
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Удаленные злоумышленники могут обойти временную задержку при неудачных попытках входа и провести атаки методом полного перебора.
Описание. При обработке устройств, поддерживающих интерактивный ввод с клавиатуры, возникала проблема. Проблема устранена путем улучшенной проверки запроса на аутентификацию.
Идентификатор CVE
CVE-2015-5600
OpenSSL
Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. В OpenSSL версий, предшествующих 0.9.8zg, существовал ряд уязвимостей, самые серьезные из которых могли позволить удаленному злоумышленнику вызвать отказ в обслуживании.
Описание. В OpenSSL версий, предшествующих 0.9.8zg, существовал ряд уязвимостей. Проблемы решены путем обновления OpenSSL до версии 0.9.8zg.
Идентификатор CVE
CVE-2015-1788
CVE-2015-1789
CVE-2015-1790
CVE-2015-1791
CVE-2015-1792
perl
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Анализ вредоносного регулярного выражения может приводить к раскрытию сведений о неожиданном завершении работы программы или выполнении произвольного кода.
Описание. В способе анализа регулярных выражений в Perl возникала проблема исчезновения целочисленного значения. Проблема устранена путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2013-7422
PostgreSQL
Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. Злоумышленник может вызвать неожиданное завершение работы программы или получить доступ к данным без правильного выполнения аутентификации.
Описание. В PostgreSQL 9.2.4 существовало несколько проблем, которые были устранены путем обновления PostgreSQL до версии 9.2.13.
Идентификатор CVE
CVE-2014-0067
CVE-2014-8161
CVE-2015-0241
CVE-2015-0242
CVE-2015-0243
CVE-2015-0244
Python
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. В Python 2.7.6 существовал ряд уязвимостей, наиболее серьезные из которых могли привести к выполнению произвольного кода.
Описание. В Python версий, предшествующих 2.7.6, существовал ряд уязвимостей. Они устранены путем обновления Python до версии 2.7.10.
Идентификатор CVE
CVE-2013-7040
CVE-2013-7338
CVE-2014-1912
CVE-2014-7185
CVE-2014-9365
QL Office
Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. Анализ вредоносного документа Office мог приводить к неожиданному завершению программы или выполнению произвольного кода.
Описание. При анализе документов Office возникало повреждение памяти. Проблема устранена путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-5773: Apple
QL Office
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Анализ вредоносного файла XML может привести к разглашению информации пользователя.
Описание. При анализе файла XML возникала проблема со ссылкой на элемент внешней системы. Проблема устранена путем улучшенного анализа.
Идентификатор CVE
CVE-2015-3784: Бруно Мориссон (Bruno Morisson) из компании INTEGRITY S.A.
Платформа Quartz Composer
Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. Анализ вредоносного файла QuickTime могла приводить к неожиданному завершению программы или выполнению произвольного кода.
Описание. При анализе файлов QuickTime возникала проблема повреждения памяти. Проблема устранена путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-5771: Apple
Быстрый просмотр
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Поиск ранее просмотренного веб-сайта может привести к запуску веб-браузера и отображению этого веб-сайта.
Описание. Существовала проблема, при которой у QuickLook имелась возможность выполнения кода JavaScript. Проблема устранена путем запрета выполнения кода JavaScript.
Идентификатор CVE
CVE-2015-3781: Эндрю Пульо (Andrew Pouliot) из Facebook, Анто Лойола (Anto Loyola) из компании Qubole
QuickTime 7
Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. Обработка вредоносного файла могла приводить к неожиданному завершению программы или выполнению произвольного кода.
Описание. В QuickTime возникал ряд проблем, приводящих к повреждению памяти. Проблемы устранены путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-3772
CVE-2015-3779
CVE-2015-5753: Apple
CVE-2015-5779: Apple
QuickTime 7
Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. Обработка вредоносного файла могла приводить к неожиданному завершению программы или выполнению произвольного кода.
Описание. В QuickTime возникал ряд проблем, приводящих к повреждению памяти. Проблемы устранены путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-3765: Джо Бернетт (Joe Burnett) из компании Audio Poison
CVE-2015-3788: Райан Пентни (Ryan Pentney) и Ричард Джонсон (Richard Johnson) из группы Cisco Talos
CVE-2015-3789: Райан Пентни (Ryan Pentney) и Ричард Джонсон (Richard Johnson) из группы Cisco Talos
CVE-2015-3790: Райан Пентни (Ryan Pentney) и Ричард Джонсон (Richard Johnson) из группы Cisco Talos
CVE-2015-3791: Райан Пентни (Ryan Pentney) и Ричард Джонсон (Richard Johnson) из группы Cisco Talos
CVE-2015-3792: Райан Пентни (Ryan Pentney) и Ричард Джонсон (Richard Johnson) из группы Cisco Talos
CVE-2015-5751: WalkerFuz
SceneKit
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Просмотр вредоносного файла Collada могла привести к выполнению произвольного кода.
Описание. При обработке файлов Collada компонентом SceneKit возникала проблема переполнения буфера кучи. Проблема устранена путем улучшенной проверки ввода.
Идентификатор CVE
CVE-2015-5772: Apple
SceneKit
Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10–10.10.4
Воздействие. Удаленный злоумышленник может вызвать неожиданное завершение работы программы или выполнить произвольный код.
Описание. В SceneKit существовало повреждение памяти. Проблема устранена путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-3783: Харис Андрианакис (Haris Andrianakis) из подразделения Google по обеспечению безопасности
Безопасность
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Обычный пользователь может получить доступ к привилегиям администратора без соответствующей аутентификации.
Описание. В способе обработки аутентификации пользователя существовала проблема. Проблема устранена путем улучшенных проверок аутентификации.
Идентификатор CVE
CVE-2015-3775: Элдон Арольд [Eldon Ahrold]
SMBClient
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Удаленный злоумышленник может вызвать неожиданное завершение работы программы или выполнить произвольный код.
Описание. В клиенте SMB существовало повреждение памяти. Проблема устранена путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-3773: Илья ван Спрюндел (Ilja van Sprundel)
Пользовательский интерфейс синтезатора речи
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Анализ вредоносной строки символов Unicode с включенной функцией речевых предупреждений может приводить к неожиданному завершению работы программы или выполнению произвольного кода.
Описание. При обработке строк символов Unicode возникала проблема повреждения памяти. Проблема устранена путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-3794: Адам Гринбаум (Adam Greenbaum) из компании Refinitive
sudo
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. В sudo версий, предшествующих 1.7.10p9, существовал ряд уязвимостей, самые серьезные из которых могли позволить злоумышленнику получить доступ к произвольным файлам.
Описание. В sudo версий, предшествующих 1.7.10p9, существовал ряд уязвимостей. Проблемы устранены путем обновления sudo до версии 1.7.10p9.
Идентификатор CVE
CVE-2013-1775
CVE-2013-1776
CVE-2013-2776
CVE-2013-2777
CVE-2014-0106
CVE-2014-9680
tcpdump
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. В tcpdump 4.7.3 существовал ряд уязвимостей, самые серьезные из которых могли позволить удаленному злоумышленнику вызвать отказ в обслуживании.
Описание. В tcpdump версий, предшествующих 4.7.3, существовал ряд уязвимостей. Они устранены путем обновления tcpdump до версии 4.7.3.
Идентификатор CVE
CVE-2014-8767
CVE-2014-8769
CVE-2014-9140
Текстовые форматы
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Анализ вредоносного текстового файла может привести к разглашению информации пользователя.
Описание. При анализе TextEdit возникала проблема со ссылкой на XML-элемент внешней системы. Проблема устранена путем улучшенного анализа.
Идентификатор CVE
CVE-2015-3762: Сяоюн У (Xiaoyong Wu) из подразделения Evernote по обеспечению безопасности
udf
Доступно для: OS X Yosemite 10.10–10.10.4
Воздействие. Обработка вредоносного файла DMG могла приводить к неожиданному завершению программы или выполнению произвольного кода с системными привилегиями.
Описание. При анализе неверно сформированных изображений DMG возникало повреждение памяти. Проблема устранена путем улучшенной обработки памяти.
Идентификатор CVE
CVE-2015-3767: beist из компании grayhash
ОС OS X Yosemite 10.10.5 устраняет также проблемы безопасности, устраненные в браузере Safari 8.0.8.
Информация о продуктах, произведенных не компанией Apple, или о независимых веб-сайтах, неподконтрольных и не тестируемых компанией Apple, не носит рекомендательного или одобрительного характера. Компания Apple не несет никакой ответственности за выбор, функциональность и использование веб-сайтов или продукции сторонних производителей. Компания Apple также не несет ответственности за точность или достоверность данных, размещенных на веб-сайтах сторонних производителей. Обратитесь к поставщику за дополнительной информацией.