Om Säkerhetsuppdatering 2014-002

Det här dokumentet beskriver säkerhetsinnehållet i Säkerhetsuppdatering 2014-002.

Den här uppdateringen kan hämtas och installeras med Programuppdatering eller från Apple-supportwebbplatsen.

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. Mer information om Apples produktsäkerhet finns på webbplatsen för Apples Product Security.

Information om PGP-nyckeln från Apple Product Security finns i Så här använder du en PGP-nyckel från Apple Product Security.

Om möjligt används CVE-ID:n som referenser till ytterligare information om säkerhetsproblem.

Mer information om andra säkerhetsuppdateringar finns i Säkerhetsuppdateringar från Apple.

• CFNetwork HTTPProtocol

  Tillgängligt för: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5 och OS X Mavericks 10.9.2

  Effekt: En angripare i en privilegierad nätverksposition kan få tag på webbplatsinloggningsuppgifter

  Beskrivning: Set-Cookie-huvuden bearbetades även om anslutningen avslutades innan huvudraden slutfördes. En angripare kunde rensa säkerhetsinställningarna från cookien genom att tvångsavsluta anslutningen innan säkerhetsinställningarna skickades, och sedan få tag på värden för den oskyddade cookien. Det här problemet åtgärdades genom att ignorera ofullständiga HTTP-huvudrader.

  CVE-ID

  CVE-2014-1296: Antoine Delignat-Lavaud på Prosecco at Inria Paris

• CoreServicesUIAgent

  Tillgängligt för: OS X Mavericks 10.9.2

  Effekt: Besök på en skadlig webbplats kan leda till att en app oväntat avslutas eller att opålitlig kod körs

  Beskrivning: Det förekom ett problem med formatsträngar i hanteringen av webbadresser. Problemet åtgärdades genom ytterligare validering av webbadresser. Problemet berör inte system före OS X Mavericks.

  CVE-ID

  CVE-2014-1315: Lukasz Pilorz på runic.pl, Erik Kooistra

• FontParser

  Tillgängligt för OS X Mountain Lion 10.8.5

  Effekt: Öppnande av en skadlig PDF-fil kan leda till att en app oväntat avslutas eller att opålitlig kod körs

  Beskrivning: Ett buffertunderskott förekom i hanteringen av typsnitt i PDF-filer. Problemet åtgärdades med ytterligare kontroll av gränserna. Det här problemet påverkar inte OS X Mavericks-system.

  CVE-ID

  CVE-2013-5170: Will Dormann på CERT/CC

• Heimdal Kerberos

  Tillgängligt för: OS X Mavericks 10.9.2

  Effekt: Fjärrangripare kan orsaka ett överbelastningsangrepp

  Beskrivning: Det förekom ett tillgängligt avbrott i hanteringen av ASN.1-data. Det här problemet åtgärdades genom ytterligare validering av ASN.1-data.

  CVE-ID

  CVE-2014-1316: Joonas Kuorilehto på Codenomicon

• ImageIO

  Tillgängligt för: OS X Mavericks 10.9.2

  Effekt: Visning av en skadlig JPEG-fil kan leda till oväntat appavslut eller körning av opålitlig kod

  Beskrivning: Det förekom ett buffertspill i ImageIO:s hantering av JPEG-bilder. Problemet åtgärdades med förbättrad kontroll av gränserna. Problemet berör inte system före OS X Mavericks.

  CVE-ID

  CVE-2014-1319: Cristian Draghici på Modulo Consulting, Karl Smith på NCC Group

• Intel Graphics Driver

  Tillgängligt för: OS X Mountain Lion 10.8.5 och OS X Mavericks 10.9.2

  Effekt: En skadlig app kan ta kontroll över systemet

  Beskrivning: Ett valideringsproblem förekom vid hanteringen av en pekare från userspace. Det här problemet åtgärdades genom ytterligare validering av pekare.

  CVE-ID

  CVE-2014-1318: Ian Beer på Google Project Zero i samarbete med HP:s Zero Day Initiative

• IOKit Kernel

  Tillgängligt för: OS X Mavericks 10.9.2

  Effekt: En lokal användare kan läsa lokala kernelpekare, som kan användas för att kringgå kernellens ASLR-skydd (address space layout randomization).

  Beskrivning: En uppsättning kernelpekare som lagrades i ett IOKit-objekt kunde hämtas från userland. Det här problemet åtgärdades genom att ta bort pekarna från objektet.

  CVE-ID

  CVE-2014-1320: Ian Beer på Google Project Zero i samarbete med HP:s Zero Day Initiative

• Kernel

  Tillgängligt för: OS X Mavericks 10.9.2

  Effekt: En lokal användare kan läsa en lokal kernelpekare, som kan användas för att kringgå kernellens ASLR-skydd (address space layout randomization)

  Beskrivning: En kernelpekare som lagrades i ett XNU-objekt kunde hämtas från userland. Det här problemet åtgärdades genom att ta bort pekaren från objektet.

  CVE-ID

  CVE-2014-1322: Ian Beer på Google Project Zero

• Power Management

  Tillgängligt för: OS X Mavericks 10.9.2

  Effekt: Skärmen kanske inte låser sig

  Beskrivning: Vid knapptryckning eller beröring av styrplattan efter att locket stängts kunde systemet starta när det försattes i viloläge, vilket ledde till att skärmen låstes upp. Det här problemet åtgärdades genom att ignorera knapptryckningar när systemet försätts i viloläge. Problemet berör inte system före OS X Mavericks.

  CVE-ID

  CVE-2014-1321: Paul Kleeberg på Stratis Health Bloomington MN, Julian Sincu på Baden-Wuerttemberg Cooperative State University (DHBW Stuttgart), Gerben Wierda på R&A, Daniel Luz

• Ruby

  Tillgängligt för: OS X Mavericks 10.9.2

  Effekt: Körning av ett Ruby-skript som hanterar obetrodda YAML-taggar kan leda till oväntat appavslut eller körning av opålitlig kod

  Beskrivning: Det förekom ett heltalsspill i LibYAML:s hantering av YAML-taggar. Det här problemet åtgärdades genom ytterligare validering av YAML-taggar. Problemet berör inte system före OS X Mavericks.

  CVE-ID

  CVE-2013-6393

• Ruby

  Tillgängligt för: OS X Lion 10.7.5, OS X Lion Server 10.7.5, OS X Mountain Lion 10.8.5, och OS X Mavericks 10.9.2

  Effekt: Körning av ett Ruby-skript som använder obetrodda indata för att skapa ett Float-objekt kan leda till oväntat appavslut eller körning av opålitlig kod

  Beskrivning: Ett problem med ett heapbaserat buffertspill förekom i Ruby vid konvertering av en sträng till ett flyttalsvärde. Det här problemet åtgärdades genom ytterligare validering av flyttalsvärden.

  CVE-ID

  CVE-2013-4164

• Security - Secure Transport

  Tillgängligt för: OS X Mountain Lion 10.8.5 och OS X Mavericks 10.9.2

  Effekt: En angripare med en privilegierad nätverksposition kan samla in data eller ändra åtgärder som utförs i sessioner som skyddas av SSL

  Beskrivning: I en 'triple handshake'-attack var det möjligt för en angripare att upprätta två anslutningar med samma krypteringsnycklar och handskakning, ange angriparens data i en anslutning och omförhandla så att anslutningarna vidarebefordrar till varandra. För att förhindra attacker baserat på detta scenario ändrades Secure Transport till att alltid kräva att en omförhandling måste presentera samma servercertifikat som den ursprungliga anslutningen. Det här problemet påverkar inte Mac OS X 10.7-system eller tidigare.

  CVE-ID

  CVE-2014-1295: Antoine Delignat-Lavaud, Karthikeyan Bhargavan och Alfredo Pironti på Prosecco at Inria Paris

• WindowServer

  Tillgängligt för: OS X Mountain Lion 10.8.5 och OS X Mavericks 10.9.2

  Effekt: Skadliga appar kan köra opålitlig kod utanför sandlådan

  Beskrivning: WindowServer-sessioner kunde skapas av sandlådeappar. Detta problem åtgärdades genom att förbjuda att sandlådeappar skapar WindowServer-sessioner.

  CVE-ID

  CVE-2014-1314: KeenTeam i samarbete med HP:s Zero Day Initiative

• Obs! Säkerhetsuppdatering 2014-002 för OS X Mavericks-system inkluderar säkerhetsinnehållet för Safari 7.0.3.