Проблемы системы безопасности, устраняемые версией OS X Yosemite 10.10.2 и обновлением системы безопасности 2015-001

В этом документе приведены проблемы системы безопасности, устраняемые версией OS X Yosemite 10.10.2 и обновлением системы безопасности 2015-001.

В целях защиты клиентов компания Apple не разглашает информацию о проблемах в системе безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет полностью завершено изучение соответствующей проблемы и не будут опубликованы все необходимые исправления и выпуски. Дополнительные сведения об обеспечении безопасности продуктов Apple см. на веб-сайте Безопасность продуктов Apple.

Информацию об обеспечении безопасности продуктов Apple с помощью PGP-ключа см. в статье Использование PGP-ключа безопасности продуктов Apple.

Там, где это возможно, для ссылки на дополнительную информацию об уязвимостях используются идентификаторы CVE.

Сведения о других обновлениях системы безопасности см. в статье Обновления системы безопасности Apple.

OS X Yosemite 10.10.2 и обновление системы безопасности 2015-001

  • Сервер AFP

    Доступно для: OS X Mavericks 10.9.5

    Воздействие. Удаленный злоумышленник мог получить все сетевые адреса системы.

    Описание. Файловый сервер AFP поддерживал команду, которая возвращала все сетевые адреса системы. Проблема устранена путем удаления адресов из результата выполнения команды.

    Идентификатор CVE

    CVE-2014-4426: Крег Янг (Craig Young) из Tripwire VERT

  • bash

    Доступно для: OS X Yosemite 10.10 и 10.10.1

    Воздействие. Ряд уязвимостей оболочки bash, в том числе одна, позволяющая локальному злоумышленнику выполнить произвольный код.

    Описание. В bash обнаружен ряд уязвимостей. Проблемы устранены путем обновления оболочки bash до уровня исправления 57.

    Идентификатор CVE

    CVE-2014-6277

    CVE-2014-7186

    CVE-2014-7187

  • Bluetooth

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5

    Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

    Описание. В IOBluetoothFamily существовала проблема расстановки знаков при целых числах, что давало возможность манипуляций с памятью ядра. Проблема устранена путем улучшенной проверки границ памяти. Эта проблема не затрагивает системы OS X Yosemite.

    Идентификатор CVE

    CVE-2014-4497

  • Bluetooth

    Доступно для: OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

    Описание. В драйвере Bluetooth существовала проблема, позволяющая вредоносной программе контролировать размер записи в память ядра. Проблема устранена путем дополнительной проверки ввода.

    Идентификатор CVE

    CVE-2014-8836: Иэн Бир (Ian Beer) из подразделения Google Project Zero

  • Bluetooth

    Доступно для: OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

    Описание. В драйвере Bluetooth существовало несколько проблем безопасности, что давало возможность вредоносной программе исполнять произвольный код с системными привилегиями. Проблемы устранены путем дополнительной проверки ввода.

    Идентификатор CVE

    CVE-2014-8837: Роберто Палеари (Roberto Paleari) и Аристиде Фаттори (Aristide Fattori) из Emaze Networks

  • CFNetwork Cache

    Доступно для: OS X Yosemite 10.10 и 10.10.1

    Воздействие. Кэш веб-сайта может очищаться не полностью после выхода из режима «Частный доступ».

    Описание. Существовала проблема, связанная с нарушением конфиденциальности: данные о просмотренных страницах оставались в кэше после выхода из режима «Частный доступ». Эта проблема устранена путем изменения поведения кэширования.

    Идентификатор CVE

    CVE-2014-4460

  • CoreGraphics

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Открытие вредоносного файла PDF может привести к неожиданному завершению работы программы или выполнению произвольного кода.

    Описание. При обработке файлов PDF возникала проблема целочисленного переполнения. Проблема устранена путем улучшенной проверки границ памяти.

    Идентификатор CVE

    CVE-2014-4481: Фелипе Андрес Мансано (Felipe Andres Manzano) из Binamuse VRT в рамках программы GVP по iSIGHT

  • CPU Software

    Доступно для: OS X Yosemite 10.10 и 10.10.1 на компьютерах MacBook Pro Retina, MacBook Air (середина 2013 г. и позднее), iMac (конец 2013 г. и позднее), Mac Pro (конец 2013 г.)

    Воздействие. Вредоносное устройство Thunderbolt могло вмешиваться в процесс перепрошивки.

    Описание. Устройства Thunderbolt могли изменять прошивку хост-компьютера, если были подключены в ходе обновления EFI. Проблема устранена путем запрета на загрузку необязательных ПЗУ в ходе обновлений.

    Идентификатор CVE

    CVE-2014-4498: Траммелл Хадсон (Trammell Hudson) из Two Sigma Investments

  • CommerceKit Framework

    Доступно для: OS X Yosemite 10.10 и 10.10.1

    Воздействие. Злоумышленник с доступом к системе может узнавать учетные данные Apple ID.

    Описание. При обработке журналов App Store возникала проблема. После активации дополнительного журналирования процесс App Store мог записывать в журнал учетные данные Apple ID. Проблема устранена путем запрета сохранения учетных данных в журнал.

    Идентификатор CVE

    CVE-2014-4499: Стен Питерсон (Sten Petersen)

  • CoreGraphics

    Доступно для: OS X Yosemite 10.10 и 10.10.1

    Воздействие. Некоторые программы сторонней разработки с небезопасным вводом текста и событий мыши могли заносить эти события в журнал.

    Описание. Сочетание неинициализированной переменной и особого распределителя памяти приводило к возможности регистрации программой небезопасного ввода текста и событий мыши. Проблема была устранена путем предварительного отключения журналирования. Эта проблема не затрагивала системы более ранних версий, чем OS X Yosemite.

    Идентификатор CVE

    CVE-2014-1595: Стивен Мичауд (Steven Michaud) из Mozilla в сотрудничестве с Кентом Говардом (Kent Howard)

  • CoreGraphics

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5

    Воздействие. Открытие вредоносного файла PDF может привести к неожиданному завершению работы программы или выполнению произвольного кода.

    Описание. При обработке файлов PDF возникала проблема повреждения памяти. Проблема устранена путем улучшенной проверки границ. Эта проблема не затрагивает системы OS X Yosemite.

    Идентификатор CVE

    CVE-2014-8816: Майк Майерс (Mike Myers), компания Digital Operatives LLC

  • CoreSymbolication

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

    Описание. В процедуре обработки сообщений XPD процессом coresymbolicationd существовало несколько ошибок смешения типов. Эти проблемы были устранены путем улучшенной проверки типов.

    Идентификатор CVE

    CVE-2014-8817: Иэн Бир (Ian Beer) из подразделения Google Project Zero

  • FontParser

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Обработка вредоносного файла .dfont могла приводить к неожиданному завершению программы или выполнению произвольного кода.

    Описание. При обработке файлов .dfont возникала проблема повреждения памяти. Проблема устранена путем улучшенной проверки границ памяти.

    Идентификатор CVE

    CVE-2014-4484: Гаурав Баруах (Gaurav Baruah), сотрудничающий с компанией HP по программе Zero Day Initiative

  • FontParser

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Открытие вредоносного файла PDF может привести к неожиданному завершению работы программы или выполнению произвольного кода.

    Описание. При обработке файлов шрифтов возникала проблема переполнения буфера. Проблема устранена путем улучшенной проверки границ памяти.

    Идентификатор CVE

    CVE-2014-4483: Apple

  • Платформа

    Доступно для: OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Просмотр вредоносного файла XML может привести к неожиданному завершению работы программы или выполнению произвольного кода.

    Описание. В процессе разбора файлов XML возникала проблема переполнения буфера. Проблема устранена путем улучшенной проверки границ памяти.

    Идентификатор CVE

    CVE-2014-4485: Apple

  • Драйвер графического процессора Intel

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Ряд уязвимостей графического драйвера Intel.

    Описание. В драйвере графического процессора Intel выявлено несколько уязвимостей, наиболее серьезные из которых могли приводить к исполнению произвольного кода с системными привилегиями. Это обновление устраняет описанные проблемы путем дополнительной проверки границ.

    Идентификатор CVE

    CVE-2014-8819: Иэн Бир (Ian Beer) из подразделения Google Project Zero

    CVE-2014-8820: Иэн Бир (Ian Beer) из подразделения Google Project Zero

    CVE-2014-8821: Иэн Бир (Ian Beer) из подразделения Google Project Zero

  • IOAcceleratorFamily

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

    Описание. При обработке функциями IOAcceleratorFamily некоторых типов клиентов-пользователей IOService возникала проблема разыменования нулевого указателя. Проблема устранена путем улучшенной проверки контекстов IOAcceleratorFamily.

    Идентификатор CVE

    CVE-2014-4486: Иэн Бир (Ian Beer) из подразделения Google Project Zero

  • IOHIDFamily

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

    Описание. В IOHIDFamily возникала проблема переполнения буфера. Проблема устранена путем улучшенной проверки границ памяти.

    Идентификатор CVE

    CVE-2014-4487: группа TaiG Jailbreak Team

  • IOHIDFamily

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

    Описание. При обработке метаданных очереди ресурсов функциями IOHIDFamily возникала проблема валидации. Проблема устранена путем улучшенной проверки метаданных.

    Идентификатор CVE

    CVE-2014-4488: Apple

  • IOHIDFamily

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

    Описание. При обработке функцией IOHIDFamily очередей событий возникала проблема разыменования нулевого указателя. Проблема устранена путем улучшенной проверки инициализации очереди событий в IOHIDFamily.

    Идентификатор CVE

    CVE-2014-4489: @beist

  • IOHIDFamily

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие: выполнение вредоносной программы может привести к выполнению произвольного кода внутри ядра.

    Описание. В клиенте-пользователе, поставляемом драйвером IOHIDFamily, существовала проблема проверки границ, позволяющая вредоносной программе перезаписывать произвольные участки адресного пространства ядра. Проблема устранена путем удаления уязвимого метода клиента-пользователя.

    Идентификатор CVE

    CVE-2014-8822: Виталий Торопов, работающий с компанией HP по программе Zero Day Initiative

  • IOKit

    Доступно для: OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

    Описание. При обработке функций IOKit возникала проблема целочисленного переполнения. Проблема устранена путем улучшенной проверки аргументов IOKit API-интерфейса.

    Идентификатор CVE

    CVE-2014-4389: Иэн Бир из подразделения Google Project Zero

  • IOUSBFamily

    Доступно для: OS X Yosemite 10.10 и 10.10.1

    Воздействие. Наделенная привилегиями программа может читать произвольные данные из ядра памяти.

    Описание. При обработке функций клиента-пользователя контроллера IOUSB возникала проблема доступа к памяти. Проблема устранена путем улучшенной проверки аргументов.

    Идентификатор CVE

    CVE-2014-8823: Иэн Бир (Ian Beer) из подразделения Google Project Zero

  • Kerberos

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

    Описание. Библиотека libgssapi Kerberos возвращала контекстный токен с непривязанным указателем. Проблема была устранена путем улучшенного управления состоянием.

    Идентификатор CVE

    CVE-2014-5352

  • Ядро

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

    Описание. Указание особого режима кэша позволяло осуществлять запись в сегменты «только для чтения» общей памяти ядра. Проблема устранена путем запрета на предоставление права на запись как следствия некоторых особых режимов кэша.

    Идентификатор CVE

    CVE-2014-4495: Иэн Бир (Ian Beer) из подразделения Google Project Zero

  • Ядро

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

    Описание. При обработке некоторых полей метаданных объектов IODataQueue возникала проблема проверки. Проблема устранена путем улучшенной проверки метаданных.

    Идентификатор CVE

    CVE-2014-8824: @PanguTeam

  • Ядро

    Доступно для: OS X Yosemite 10.10 и 10.10.1

    Воздействие. Локальный злоумышленник мог подменять отклики службы каталогов на запросы ядра,. повышая свои привилегии или получая возможность исполнения кода в ядре.

    Описание. Проблемы существовали в проверке identitysvc процесса разрешения службы каталогов, обработки флагов и ошибок. Проблема устранена путем улучшенной проверки.

    Идентификатор CVE

    CVE-2014-8825: Алекс Радосия (Alex Radocea) из CrowdStrike

  • Ядро

    Доступно для: OS X Yosemite 10.10 и 10.10.1

    Воздействие. Локальный пользователь может выявлять схему распределения памяти в ядре.

    Описание. В интерфейсе сетевой статистики возникало множество проблем с неинициализированным доступом к памяти, которые приводили к утечке содержимого памяти ядра. Проблема устранена путем дополнительной инициализации памяти.

    Идентификатор CVE

    CVE-2014-4371: Фермин Дж. Серна (Fermin J. Serna) из подразделения Google Security Team

    CVE-2014-4419: Фермин Дж. Серна (Fermin J. Serna) из подразделения Google Security Team

    CVE-2014-4420: Фермин Дж. Серна (Fermin J. Serna) из подразделения Google Security Team

    CVE-2014-4421: Фермин Дж. Серна (Fermin J. Serna) из подразделения Google Security Team

  • Ядро

    Доступно для: OS X Mavericks 10.9.5

    Воздействие. Злоумышленник, находящийся в привилегированном участке сети, может вызвать отказ в обслуживании.

    Описание. При обработке пакетов IPv6 возникало условие состязания. Проблема устранена путем улучшенной проверки состояния блокировки.

    Идентификатор CVE

    CVE-2011-2391

  • Ядро

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносные или скомпрометированные программы могут определять адреса в ядре

    Описание. При обработке API-интерфейсов, связанных с расширениями ядра, возникает проблема раскрытия информации. Ответы, содержащие ключ OSBundleMachOHeaders, могли включать адреса ядра, что создавало потенциальную возможность обойти защиту адресного пространства путем рандомизации схемы размещения (ASLR). Проблема решена путем отмены смещения адресов перед их возвращением.

    Идентификатор CVE

    CVE-2014-4491: @PanguTeam, Штефан Эссер (Stefan Esser)

  • Ядро

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

    Описание. При обработке определенных полей метаданных в объектах IOSharedDataQueue возникала проблема проверки. Эта проблема устранена путем перемещения метаданных.

    Идентификатор CVE

    CVE-2014-4461: @PanguTeam

  • LaunchServices

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносный файл JAR мог обходить проверки Gatekeeper.

    Описание. При обработке запусков программ существовала проблема, позволяющая некоторым вредоносным файлам JAR обходить проверки Gatekeeper. Проблема устранена путем улучшенной обработки метаданных типа файла.

    Идентификатор CVE

    CVE-2014-8826: Гернан Окоа (Hernan Ochoa) из Amplia Security

  • libnetcore

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносная программа в среде sandbox может скомпрометировать демона networkd.

    Описание. В процедуре обработки межпроцессной коммуникации networkd существовало несколько ошибок смешения типов. Отправив сообщение networkd особого формата, можно было выполнить произвольный код в качестве процесса networkd. Проблема была устранена путем дополнительной проверки типов.

    Идентификатор CVE

    CVE-2014-4492: Иэн Бир (Ian Beer) из подразделения Google Project Zero

  • Окно входа

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Компьютер Mac мог не блокироваться сразу же после пробуждения.

    Описание. При рендеринге экрана блокировки возникала проблема. Проблема устранена путем улучшенного рендеринга экрана во время блокировки.

    Идентификатор CVE

    CVE-2014-8827: Ксавьер Бертельс (Xavier Bertels) из Mono и несколько тестировщиков OS X

  • lukemftp

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Извлечение файлов с вредоносного http-сервера с помощью средства ftp командной строки могло привести к исполнению произвольного кода.

    Описание. При обработке перенаправлений HTTP возникала проблема внедрения исполняемой команды. Проблема устранена путем улучшенной проверки специальных символов.

    Идентификатор CVE

    CVE-2014-8517

  • ntpd

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Использование демона ntp с криптографической проверкой подлинности могло привести к утечке информации.

    Описание. В ntpd выявлено несколько проблем валидации ввода. Эти проблемы были устранены путем улучшенной валидации данных.

    Идентификатор CVE

    CVE-2014-9297

  • OpenSSL

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Ряд уязвимостей OpenSSL 0.9.8za, в том числе одна, позволяющая злоумышленнику понижать уровень соединений для использования более слабых криптографических средств в программе посредством этой библиотеки.

    Описание. В OpenSSL 0.9.8za имелся ряд уязвимостей. Проблемы решены путем обновления OpenSSL до версии 0.9.8zc.

    Идентификатор CVE

    CVE-2014-3566

    CVE-2014-3567

    CVE-2014-3568

  • Sandbox

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5

    Воздействие. Некий процесс в среде sandbox мог обойти ограничения sandbox.

    Описание. В процедуре кэширования профилей sandbox существовала проектная ошибка, позволяющая программам в среде sandbox получать доступ на запись к кэшу. Проблема устранена путем ограничения доступа на запись для путей, содержащих сегмент com.apple.sandbox. Эта проблема не затрагивает ОС OS X Yosemite 10.10 и более поздних версий.

    Идентификатор CVE

    CVE-2014-8828: Apple

  • SceneKit

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5

    Воздействие. Вредоносная программа могла исполнить произвольный код, ведущий к компрометации информации пользователя.

    Описание. В SceneKit существовал ряд проблем с записью за границы памяти. Эти проблемы были устранены путем улучшенной проверки границ.

    Идентификатор CVE

    CVE-2014-8829: Хосе Дуарт (Jose Duart) из подразделения Google Security Team

  • SceneKit

    Доступно для: OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Просмотр вредоносного файла Collada может привести к неожиданному завершению работы программы или выполнению произвольного кода

    Описание. При обработке файлов Collada компонентом SceneKit возникала проблема переполнения буфера кучи. Просмотр вредоносного файла Collada мог привести к неожиданному завершению работы программы или выполнению произвольного кода. Проблема устранена путем улучшенной проверки элементов доступа.

    Идентификатор CVE

    CVE-2014-8830: Хосе Дуарт (Jose Duart) из подразделения Google Security Team

  • Безопасность

    Доступно для: OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Загруженная программа, подписанная отозванным сертификатом Developer ID, могло проходить проверки Gatekeeper.

    Описание. В процедуре оценки кэшированной информации о сертификате программы существовала ошибка. Проблема устранена путем улучшения логики работы с кэшем.

    Идентификатор CVE

    CVE-2014-8838: Apple

  • security_taskgate

    Доступно для: OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Некая программа могла получать доступ к элементам связки ключей, принадлежащим другим программам.

    Описание. В компоненте «Связка ключей» существовала проблема контроля доступа. Программы, подписанные собственным сертификатом или сертификатом Developer ID, могли получать доступ к элементам связки ключей, списки контроля доступа которых были основаны на группах связки ключей. Проблема устранена путем ввода проверки подписи при предоставлении доступа к группам связки ключей.

    Идентификатор CVE

    CVE-2014-8831: Apple

  • Spotlight

    Доступно для: OS X Yosemite 10.10 и 10.10.1

    Воздействие. Отправитель сообщения электронной почты мог определить IP-адрес получателя.

    Описание. Функция Spotlight не проверяла состояние параметра Mail «Загружать содержимое из других источников». Проблема была устранена путем улучшенной проверки конфигурации.

    Идентификатор CVE

    CVE-2014-8839: Джон Уайтхэд (John Whitehead) из New York Times, Фроде Мо (Frode Moe) из LastFriday.no

  • Spotlight

    Доступно для: OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Функция Spotlight могла сохранять непредусмотренную информацию на внешний жесткий диск.

    Описание. В Spotlight существовала проблема, по причине которой содержимое памяти могло записываться на внешние жесткие диски в ходе индексации. Проблема была устранена путем улучшенного управления памятью.

    Идентификатор CVE

    CVE-2014-8832: F-Secure

  • SpotlightIndex

    Доступно для: OS X Yosemite 10.10 и 10.10.1

    Воздействие. Функция Spotlight могла отображать в списке результатов файлы, не принадлежащие данному пользователю.

    Описание. В процедуре обработки кэшей разрешений функцией Spotlight существовала проблема десериализации. Пользователь, выполняющий запрос Spotlight, мог увидеть в результатах поиска файлы, на чтение которых у него недостаточно привилегий. Проблема устранена путем улучшенной проверки границ памяти.

    Идентификатор CVE

    CVE-2014-8833: Дэвид Дж. Пикок (David J Peacock), независимый консультант по технологиям

  • sysmond

    Доступно для: OS X Mavericks 10.9.5, OS X Yosemite 10.10 и 10.10.1

    Воздействие. Вредоносная программа может выполнять произвольный код с корневыми привилегиями.

    Описание. В sysmond существовала уязвимость смешения типов, позволяющая локальной программе повысить уровень привилегий. Проблема устранена путем улучшенной проверки типов.

    Идентификатор CVE

    CVE-2014-8835: Иэн Бир (Ian Beer) из подразделения Google Project Zero

  • UserAccountUpdater

    Доступно для: OS X Yosemite 10.10 и 10.10.1

    Воздействие. Файлы параметров печати могли содержать конфиденциальную информацию о PDF-документах.

    Описание. В OS X Yosemite 10.10 устранена ошибка обработки защищенных паролем файлов PDF в диалоговом окне печати, по причине которой пароли к файлам могли записываться в файлы параметров печати. В этом обновлении такая излишняя информация, входящая в файлы параметров печати, была исключена.

    Идентификатор CVE

    CVE-2014-8834: Apple

Примечание. ОС OS X Yosemite 10.10.2 устраняет также проблемы системы безопасности, устраняемые Safari 8.0.3.

Информация о продуктах, произведенных не компанией Apple, или о независимых веб-сайтах, неподконтрольных и не тестируемых компанией Apple, не носит рекомендательного характера и не рекламируются компанией. Компания Apple не несет никакой ответственности за выбор, функциональность и использование веб-сайтов или продукции сторонних производителей. Компания Apple также не несет ответственности за точность или достоверность данных, размещенных на веб-сайтах сторонних производителей. Помните, что использование любых сведений или продуктов, размещенных в Интернете, сопровождается риском. За дополнительной информацией обращайтесь к поставщику. Другие названия компаний или продуктов могут быть товарными знаками соответствующих владельцев.

Дата публикации: