Om säkerhetsinnehållet i OS X Yosemite 10.10

Det här dokumentet beskriver säkerhetsinnehållet i OS X Yosemite 10.10.

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. Mer information om Apples produktsäkerhet finns på webbplatsen Apple produktsäkerhet.

Mer information om Apples PGP-nyckel för produktsäkerhet finns i Så här använder du en PGP-nyckel från Apple Product Security.

Om möjligt används CVE-ID:n som referenser till ytterligare information om säkerhetsproblem.

Mer information om andra säkerhetsuppdateringar finns på Säkerhetsuppdateringar från Apple.

OS X Yosemite 10.10

• 802.1X

  Effekt: En angripare kan hämta inloggningsuppgifter till Wi-Fi

  Beskrivning: En angripare kunde efterlikna en åtkomstpunkt för Wi-Fi, erbjuda autentisering med LEAP, bryta MS-CHAPv1-hashen och använda de härledda inloggningsuppgifterna för att autentisera till den avsedda åtkomstpunkten även om denna hade stöd för starkare autentiseringsmetoder. Problemet åtgärdades genom att LEAP avaktiverades som standard.

  CVE-ID

  CVE-2014-4364: Pieter Robyns, Bram Bonne, Peter Quax och Wim Lamotte från Universiteit Hasselt

• AFP-filserver

  Effekt: En fjärrangripare kunde fastställa alla nätverksadresser i systemet

  Beskrivning: AFP-filservern hade stöd för ett kommando som returnerade alla nätverksadresser i systemet. Problemet åtgärdades genom att adresserna togs bort från resultatet.

  CVE-ID

  CVE-2014-4426: Craig Young på Tripwire VERT

• apache

  Effekt: Flera sårbarheter i Apache

  Beskrivning: Fler sårbarheter förekom i Apache, av vilka den allvarligaste kan leda till att tjänster nekas. Dessa problem åtgärdades genom uppdatering till Apache version 2.4.9.

  CVE-ID

  CVE-2013-6438

  CVE-2014-0098

• Sandlådan

  Effekt: Ett program som hanteras med begränsningar i sandlådan kan använda API för hjälpmedel felaktigt

  Beskrivning: Ett program i sandlådan kunde använda API för hjälpmedel felaktigt utan att användaren kände till det. Det har åtgärdats genom att ett godkännande av administratören krävs för att använda API:et för hjälpmedel separat för varje program.

  CVE-ID

  CVE-2014-4427: Paul S. Ziegler på Reflare UG

• Bash

  Effekt: I vissa konfigurationer har en extern angripare eventuellt kunnat exekvera godtyckliga skalkommandon

  Beskrivning: Ett problem i bashs tolkning av miljövariabler. Problemet åtgärdades genom förbättrad tolkning av miljövariabler tack vare förbättrad identifiering av slutet på funktionssatsen.

  Den här uppdateringen innehåller även den föreslagna ändringen av CVE-2014-7169 som nollställer tolkstatusen.

  Uppdateringen innehåller också ett nytt namnutrymme för exporterade funktioner genom att skapa en funktion-decorator för att förhindra oavsiktlig header-genomströmning till bash. Namnen på alla miljövariabler som introducerar funktionsdefinitioner måste ha prefixet ”__BASH_FUNC<” och suffixet ”>()” för att förhindra oavsiktlig funktionsströmning via HTTP-huvuden.

  CVE-ID

  CVE-2014-6271: Stephane Chazelas

  CVE-2014-7169: Tavis Ormandy

• Bluetooth

  Effekt: En skadlig Bluetooth-enhet kan kringgå parkoppling vid inmatning

  Beskrivning: Okrypterade anslutningar tilläts från strömsnåla Bluetooth-enheter av HID-klass. Om en Mac-dator var parkopplad till en sådan enhet kunde en angripare imitera den riktiga enheten för att etablera en anslutning. Problemet hanterades genom att neka okrypterade HID-anslutningar.

  CVE-ID

  CVE-2014-4428: Mike Ryan på iSEC Partners

• CFPreferences

  Effekt: Inställningen för att kräva ett lösenord efter att viloläge eller skärmsläckare aktiverats kanske inte aktiveras förrän efter en omstart

  Beskrivning: Det förekom ett fel i sessionshanteringen vid hantering av systeminställningar. Problemet åtgärdades genom förbättrad sessionsspårning.

  CVE-ID

  CVE-2014-4425

• Certifierad förtroendepolicy

  Effekt: Uppdatering av den certifierade förtroendepolicyn

  Beskrivning: Den certifierade förtroendepolicyn uppdaterades. Du kan läsa den fullständiga listan över certifikat på http://support.apple.com/kb/HT6005?viewlocale=sv_SE.

• CoreStorage

  Effekt: En krypterad volym kan fortsätta att vara olåst när den har matats ut

  Beskrivning: Om en krypterad volym logiskt matades ut när den var monterad, sparades nycklarna trots att den monterats ut vilket innebar att den kunde monteras igen utan lösenordet behövde anges. Problemet åtgärdades genom att nycklarna raderades vid utmatning.

  CVE-ID

  CVE-2014-4430: Benjamin King på See Ben Click Computer Services LLC, Karsten Iwen, Dustin Li (http://dustin.li/), Ken J. Takekoshi och andra anonyma forskare

• CUPS

  Effekt: En lokal användare kan köra godtycklig kod med systembehörighet

  Beskrivning: När CUPS-webbgränssnittet hanterade filer följde det symlänkar. En lokal användare kunde skapa symlänkar till godtyckliga filer och hämta dem via webbgränssnittet. Problemet åtgärdades genom att inte tillåta hantering av symlänkar via CUPS-webbgränssnittet.

  CVE-ID

  CVE-2014-3537

• Dock

  Effekt: I vissa fall kan fönster vara synliga trots att skärmen är låst

  Beskrivning: Ett statushanteringsproblem förekom vid hanteringen av skärmlåset. Problemet åtgärdades genom förbättrad spårning av tillståndsstatus.

  CVE-ID

  CVE-2014-4431: Emil Sjölander på Umeå universitet

• fdesetup

  Effekt: Kommandot fdesetup kan ge missvisande status för tillståndet för kryptering på hårddisken

  Beskrivning: Efter en uppdatering av inställningarna, men före omstart, gav kommandot fdesetup missvisande status. Problemet åtgärdades genom förbättrad rapportering av status.

  CVE-ID

  CVE-2014-4432

• iCloud Hitta min Mac

  Effekt: PIN-koden för läget Förlorad i iCloud kan knäckas genom nyckelsökningsangrepp

  Beskrivning: Det fanns ett problem med att ett beständigt tillstånd för frekvensbegränsning tillät nyckelsökningsangrepp av PIN-koden för läget Förlorad i iCloud. Problemet åtgärdades genom bättre hantering av beständiga tillstånd vid omstart.

  CVE-ID

  CVE-2014-4435: knoy

• IOAcceleratorFamily

  Effekt: Ett program kan orsaka att tjänster nekas

  Beskrivning: IntelAccelerator-drivrutinen innehöll en NULL-pekarreferens. Problemet åtgärdades genom förbättrad felhantering.

  CVE-ID

  CVE-2014-4373: cunzhang från Adlab of Venustech

• IOHIDFamily

  Effekt: Ett skadligt program kan köra opålitlig kod med systembehörighet

  Beskrivning: En nollpekarreferens förekom i hanteringen av egenskaper för nyckelmappning i IOHIDFamily. Problemet åtgärdades genom förbättrad validering av egenskaperna för nyckelmappning i IOHIDFamily.

  CVE-ID

  CVE-2014-4405: Ian Beer på Google Project Zero

• IOHIDFamily

  Effekt: Ett skadligt program kan köra opålitlig kod med systembehörighet

  Beskrivning: Ett heap-buffertspill förekom i hanteringen av egenskaper för nyckelmappning i IOHIDFamily. Problemet åtgärdades genom förbättrad gränskontroll.

  CVE-ID

  CVE-2014-4404: Ian Beer på Google Project Zero

• IOHIDFamily

  Effekt: Ett program kan orsaka att tjänster nekas

  Beskrivning: Läsåtkomst utanför minnesgränserna förekom i drivrutinen IOHIDFamily. Det här problemet åtgärdades genom förbättrad indataverifiering.

  CVE-ID

  CVE-2014-4436: cunzhang från Adlab of Venustech

• IOHIDFamily

  Effekt: Det kan hända att en användare kan köra opålitlig kod med systembehörighet

  Beskrivning: Skrivåtkomst utanför minnesgränserna förekom i drivrutinen IOHIDFamily. Det här problemet åtgärdades genom förbättrad indataverifiering.

  CVE-ID

  CVE-2014-4380: cunzhang från Adlab of Venustech

• IOKit

  Effekt: Ett skadligt program kan läsa oinitierade data från kärnminnet

  Beskrivning: Ett oinitierat minnesåtkomstproblem förekom i hanteringen av IOKit-funktioner. Problemet åtgärdades genom förbättrad minnesinitiering.

  CVE-ID

  CVE-2014-4407: @PanguTeam

• IOKit

  Effekt: Ett skadligt program kan köra opålitlig kod med systembehörighet

  Beskrivning: Ett problem med validering förekom vid hanteringen av vissa metadatafält i IODataQueue-objekt. Problemet åtgärdades genom förbättrad validering av metadata.

  CVE-ID

  CVE-2014-4388: @PanguTeam

• IOKit

  Effekt: Ett skadligt program kan köra opålitlig kod med systembehörighet

  Beskrivning: Ett problem med validering förekom vid hanteringen av vissa metadatafält i IODataQueue-objekt. Problemet åtgärdades genom förbättrad validering av metadata.

  CVE-ID

  CVE-2014-4418: Ian Beer på Google Project Zero

• Kärna

  Effekt: En lokal användare kan ta reda på schemat för kärnminnet

  Beskrivning: Flera oinitierade minnesproblem förekom i gränssnittet för nätverksstatistik, vilket ledde till avslöjande av kärnminnesinnehåll. Problemet åtgärdades genom ytterligare minnesinitiering.

  CVE-ID

  CVE-2014-4371: Fermin J. Serna hos Google Security Team

  CVE-2014-4419: Fermin J. Serna hos Google Security Team

  CVE-2014-4420: Fermin J. Serna hos Google Security Team

  CVE-2014-4421: Fermin J. Serna hos Google Security Team

• Kärna

  Effekt: Ett fientligt filsystem kan orsaka oväntad systemavstängning eller att godtycklig kod körs

  Beskrivning: Ett heap-baserat buffertspill förekom i hanteringen av HFS-resursgafflar. Ett fientligt filsystem kan orsaka en oväntad systemavstängning eller att godtycklig kod körs med kärnbehörighet. Det här problemet åtgärdades genom förbättrad gränskontroll.

  CVE-ID

  CVE-2014-4433: Maksymilian Arciemowicz

• Kärna

  Effekt: Ett fientligt filsystem kan orsaka oväntad systemavstängning

  Beskrivning: Ett problem med nollreferens förekom i hanteringen av HFS-filnamn. Ett fientligt filsystem kan leda till oväntad systemavstängning. Problemet åtgärdades genom att undvika nollreferensen.

  CVE-ID

  CVE-2014-4434: Maksymilian Arciemowicz

• Kärna

  Effekt: En lokal användare kan orsaka oväntad systemavslutning eller exekvering av godtycklig kod i operativsystemkärnan

  Beskrivning: Ett dubbelt fritt fel förekom i hanteringen av Mach-portar. Problemet åtgärdades genom förbättrad validering av Mach-portar.

  CVE-ID

  CVE-2014-4375: en anonym person

• Kärna

  Effekt: En person med en privilegierad nätverksposition kan orsaka att begärda tjänster nekas

  Beskrivning: Ett race-tillståndsproblem förekom i hanteringen av IPv6-paket. Problemet åtgärdades genom förbättrad låsstatuskontroll.

  CVE-ID

  CVE-2011-2391: Marc Heuse

• Kärna

  Effekt: En lokal användare kan orsaka oväntad systemavslutning eller exekvering av godtycklig kod i operativsystemkärnan

  Beskrivning: Det fanns ett problem med läsning utanför gränserna i rt_setgate. Det kan leda till problem med avslöjande av minne eller minnesfel. Problemet åtgärdades genom förbättrad gränskontroll.

  CVE-ID

  CVE-2014-4408

• Kärna

  Effekt: En lokal användare kan orsaka en oväntat systemavstängning

  Beskrivning: Panic som gick att nå förekom i hanteringen av meddelanden som skickades till systemkontroll-sockets. Problemet åtgärdades genom ytterligare validering av meddelanden.

  CVE-ID

  CVE-2014-4442: Darius Davis på VMware

• Kärna

  Effekt: En del skyddsåtgärder för kärnan kan kringgås

  Beskrivning: Den ”tidiga” slumptalsgeneratorn som användes i vissa säkerhetsåtgärder för kärnan var inte kryptografiskt säker. En del av dess utdata synliggjordes i användarutrymmet, vilket gjorde det möjligt att kringgå säkerhetsåtgärderna. Problemet åtgärdades genom användning av en kryptografiskt säker algoritm.

  CVE-ID

  CVE-2014-4422: Tarjei Mandt på Azimuth Security

• LaunchServices

  Effekt: Ett lokalt program kan kringgå begränsningar i sandlådan

  Beskrivning: Gränssnittet LaunchServices för inställning av hanterare av innehållstyp tillät program i sandlådan att ange hanterare för befintliga innehållstyper. Ett modifierat program kan använda detta till att kringgå begränsningar i sandlådan. Problemet hanterades genom att förhindra program i sandlådan från att ange hanterare av innehållstyper.

  CVE-ID

  CVE-2014-4437: Meder Kydyraliev i Google Security Team

• Inloggningsfönster

  Effekt: Ibland går det inte att låsa skärmen

  Beskrivning: Ett sällsynt tillstånd fanns i LoginWindow, som ibland hindrade skärmen från att låsa sig. Problemet hanterades genom att ändra ordningen för åtgärderna.

  CVE-ID

  CVE-2014-4438: Harry Sintonen på nSense, Alessandro Lobina på Helvetia Insurances, Patryk Szlagowski på Funky Monkey Labs

• Mail

  Effekt: Mail kan skicka e-postmeddelanden till oönskade mottagare

  Beskrivning: En inkonsekvens i användargränssnittet för Mail-programmet ledde till att e-postmeddelanden skickades till adresser som tagits bort från listan med mottagare. Problemet åtgärdades genom förbättrad kontroll av användargränssnittet.

  CVE-ID

  CVE-2014-4439: Patrick J Power från Melbourne, Australien

• MCX-inställningsprofiler för skrivbordet

  Effekt: När mobilkonfigurationsprofiler avinstallerades togs inställningarna inte bort

  Beskrivning: Webbproxyinställningar som installerats av en mobilkonfigurationsprofil togs inte bort när profilen avinstallerades. Problemet åtgärdades genom förbättrad hantering av avinstallation av profiler.

  CVE-ID

  CVE-2014-4440: Kevin Koster på Cloudpath Networks

• NetFS-klientramverk

  Effekt: Fildelning kan gå över i ett läge där det inte går att inaktivera

  Beskrivning: Det fanns ett problem med hantering av tillstånd i ramverket för fildelning. Problemet åtgärdades genom förbättrad tillståndshantering.

  CVE-ID

  CVE-2014-4441: Eduardo Bonsi på BEARTCOMMUNICATIONS

• QuickTime

  Effekt: Uppspelning av en uppsåtligt skapad skadlig M4A-fil kan leda till oväntad programavslutning eller körning av godtycklig kod

  Beskrivning: Ett buffertspill förekom i hanteringen av ljudsamplingar. Problemet åtgärdades genom förbättrad gränskontroll.

  CVE-ID

  CVE-2014-4351: Karl Smith på NCC Group

• Safari

  Effekt: Webbhistoriken över nyligen besökta sidor i en öppen flik kan finnas kvar efter att historiken har rensats

  Beskrivning: En rensning av Safaris historik rensade inte historiken för framåt/bakåt i öppna flikar. Problemet åtgärdades genom att rensa framåt-/bakåthistoriken.

  CVE-ID

  CVE-2013-5150

• Safari

  Effekt: Om användaren tackar ja till push-meddelanden från en skadlig webbplats kan det leda till att framtida push-meddelanden från Safari missas

  Beskrivning: Det fanns ett oupptäckt undantagsfel i SafariNotificationAgents hantering av Safaris push-meddelanden. Problemet åtgärdades genom förbättrad hantering av Safaris push-meddelanden.

  CVE-ID

  CVE-2014-4417: Marek Isalski på Faelix Limited

• Secure Transport

  Effekt: En angripare kan avkryptera data som skyddas av SSL

  Beskrivning: Det förekommer kända attacker mot konfidentialiteten för SSL 3.0 när en chiffersvit använder ett blockchiffer i CBC-läge. En angripare kan tvinga fram användning av SSL 3.0, trots att servern har stöd för en bättre TLS-version, genom att blockera anslutningsförsök med TLS 1.0 och senare. Problemet åtgärdades genom att inaktivera CBC-chiffersviter när TLS-anslutningsförsök misslyckas.

  CVE-ID

  CVE-2014-3566: Bodo Moeller, Thai Duong och Krzysztof Kotowicz hos Google Security Team

• Säkerhet

  Effekt: En fjärrangripare kan orsaka att tjänsten avbryts

  Beskrivning: En nollreferens uppstod vid hantering av ASN.1-data. Problemet åtgärdades genom ytterligare validering av ASN.1-data.

  CVE-ID

  CVE-2014-4443: Coverity

• Säkerhet

  Effekt: En lokal användare kan ha åtkomst till en annan användares Kerberos-biljetter

  Beskrivning: Det fanns ett problem med hantering av tillstånd i SecurityAgent. Vid snabbt användarbyte kunde ibland en Kerberos-biljett för användaren som det växlades till placeras i cacheminnet för den tidigare användaren. Problemet åtgärdades genom förbättrad tillståndshantering.

  CVE-ID

  CVE-2014-4444: Gary Simon på Sandia National Laboratories, Ragnar Sundblad på KTH, Eugene Homyakov på Kaspersky Lab

• Säkerhet – Kodsignering

  Effekt: Det går inte att förhindra att manipulerade program startas

  Beskrivning: Program som signerats på OS X före OS X Mavericks 10.9 eller program som använder anpassade resursregler kan ha utsatts för manipulering som gjorde att signaturen inte blev ogiltig. På system som är inställda att endast tillåta program från Mac App Store och identifierade utvecklare kunde ett hämtat, modifierat program få tillstånd att köras som om det vore äkta. Problemet åtgärdades genom att ignorera signaturer för paket med resurskuvert som utelämnar resurser som kan påverka körningen. OS X Mavericks 10.9.5 och Säkerhetsuppdatering 2014-004 för OS X Mountain Lion 10.8.5 innehåller redan dessa ändringar.

  CVE-ID

  CVE-2014-4391: Christopher Hickstein i samarbete med HP:s Zero Day Initiative

Obs! I OS X Yosemite ingår Safari 8.0, där även säkerhetsinnehållet i Safari 7.1 ingår. Mer information finns i Om säkerhetsinnehållet i Safari 6.2 och Safari 7.1.