Om säkerhetsinnehållet i Mac OS X 10.4.8-uppdateringen och säkerhetsuppdatering 2006-006

I det här dokumentet beskrivs säkerhetsuppdatering 2006-006 och säkerhetsinnehållet i Mac OS X 10.4.8-uppdateringen, som kan hämtas och installeras via inställningarna för Programuppdatering eller från Apple-hämtningar.

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. Mer information om Apple Produktsäkerhet finns på webbplatsen för Apple Produktsäkerhet.

Information om PGP-nyckeln från Apple Product Security finns i ”Så här använder du en PGP-nyckel från Apple Product Security”.

Om möjligt används CVE-ID:n som referenser till ytterligare information om säkerhetsproblem.

Mer information om andra säkerhetsuppdateringar finns i ”Säkerhetsuppdateringar från Apple”.

Mac OS X 10.4.8 och säkerhetsuppdatering 2006-006

• CFNetwork

  CVE-ID: CVE-2006-4390

  Tillgängligt för: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4 till Mac OS X 10.4.7, Mac OS X Server 10.4 till Mac OS X Server 10.4.7

  Effekt: Oautentiserade SSL-webbplatser kan visas som autentiserade i CFNetwork-klienter som Safari

  Beskrivning: Anslutningar som skapas med SSL är vanligtvis autentiserade och krypterade. När kryptering är implementerat utan autentisering kan skadliga webbplatser framställa sig som betrodda webbplatser. I fallet med Safari kan detta leda till att låssymbolen visas när en fjärrplats identitet inte är pålitlig. I den här uppdateringen åtgärdas problemet genom att anonyma SSL-anslutningar som standard inte tillåts. Tack till Adam Bryzak på Queensland University of Technology som rapporterade problemet.

• Flash Player

  CVE-ID: CVE-2006-3311, CVE-2006-3587, CVE-2006-3588, CVE-2006-4640

  Tillgängligt för: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4 till Mac OS X 10.4.7, Mac OS X Server 10.4 till Mac OS X Server 10.4.7

  Effekt: Uppspelning av Flash-innehåll kan leda till körning av opålitlig kod

  Beskrivning: Adobe Flash Player innehåller kritiska säkerhetsrisker som kan leda till körning av opålitlig kod när skadligt innehåll hanteras. I den här uppdateringen åtgärdas problemet genom installation av Flash Player version 9.0.16.0 på system med Mac OS X 10.3.9 och Flash Player version 9.0.20.0 på system med Mac OS X 10.4.

  Mer information finns på webbplatsen för Adobe på http://www.adobe.com/support/security/bulletins/apsb06-11.html.

• ImageIO

  CVE-ID: CVE-2006-4391

  Tillgängligt för: Mac OS X 10.4 till Mac OS X 10.4.7, Mac OS X Server 10.4 till Mac OS X Server 10.4.7

  Effekt: Visning av en skadlig JPEG2000-bild kan leda till oväntad programavslutning eller körning av opålitlig kod

  Beskrivning: Genom att skapa en korrupt JPEG2000-bild kan en angripare utlösa ett buffertspill som kan leda till oväntad programavslutning eller körning av opålitlig kod. I den här uppdateringen åtgärdas problemet genom ytterligare validering av JPEG2000-bilder. Problemet berör inte system före Mac OS X 10.4. Tack till Tom Saxton på Idle Loop Software Design som rapporterade problemet.

• Kernel

  CVE-ID: CVE-2006-4392

  Tillgängligt för: Mac OS X 10.4 till Mac OS X 10.4.7, Mac OS X Server 10.4 till Mac OS X Server 10.4.7

  Effekt: Lokala användare kan kanske köra opålitlig kod med förhöjda behörigheter

  Beskrivning: En felhanteringsmekanism i en kernel, som kallas Mach-undantagsportar, gör det möjligt att styra program när vissa typer av fel uppstår. Lokala användare med skadligt uppåt kan använda den här mekanismen för att köra opålitlig kod i behöriga program om ett fel uppstår. I den här uppdateringen åtgärdas problemet genom att begränsa åtkomsten till Mach-undantagsportar för behöriga program. Tack till Dino Dai Zovi på Matasano Security som rapporterade problemet.

• LoginWindow

  CVE-ID: CVE-2006-4397

  Tillgängligt för: Mac OS X 10.4 till Mac OS X 10.4.7, Mac OS X Server 10.4 till Mac OS X Server 10.4.7

  Effekt: Efter ett misslyckat försök att logga in på ett nätverkskonto kan Kerberos-biljetter bli tillgängliga för andra lokala användare

  Beskrivning: På grund av ett okontrollerat feltillstånd blir Kerberos-biljetter kanske inte ordentligt förstörda efter ett misslyckat försök att logga in på ett nätverkskonto via loginwindow. Detta kan leda till att andra lokala användare får obehörig åtkomst till den föregående användarens Kerberos-biljetter. I den här uppdateringen åtgärdas problemet genom att cacheminnet för inloggningsuppgifter rensas efter misslyckade inloggningar. Problemet berör inte system före Mac OS X 10.4. Tack till Patrick Gallagher på Digital Peaks Corporation som rapporterade problemet.

• LoginWindow

  CVE-ID: CVE-2006-4393

  Tillgängligt för: Mac OS X 10.4 till Mac OS X 10.4.7, Mac OS X Server 10.4 till Mac OS X Server 10.4.7

  Effekt: Andra lokala användare kan komma åt Kerberos-biljetter om Snabbt användarbyte är aktiverat

  Beskrivning: Ett fel i hanteringen av Snabbt användarbyte kan göra det möjligt för en lokal användare att få åtkomst till Kerberos-biljetter som tillhör andra lokala användare. Snabbt användarbyte har uppdaterats för att förhindra den här situationen. Problemet berör inte system före Mac OS X 10.4. Tack till Ragnar Sundblad på KTH, Stockholm, Sverige som rapporterade problemet.

• LoginWindow

  CVE-ID: CVE-2006-4394

  Tillgängligt för: Mac OS X 10.4 till Mac OS X 10.4.7, Mac OS X Server 10.4 till Mac OS X Server 10.4.7

  Effekt: Nätverkskonton kan kanske kringgå åtkomstkontroller för loginwindow-tjänsten

  Beskrivning: Tjänsteåtkomstkontroller kan användas för att begränsa vilka användare som får logga in i ett system via loginwindow. Ett logikfel i loginwindow gör det möjligt för nätverkskonton utan GUID:er att kringgå tjänsteåtkomstkontroller. Problemet påverkar endast system som har konfigurerats att använda tjänsteåtkomstkontroller för loginwindow och där användare får autentiseras för nätverkskonton utan något GUID. Problemet har lösts genom att tjänsteåtkomstkontroller nu hanteras som de ska i loginwindow. Problemet berör inte system före Mac OS X 10.4.

• Preferences

  CVE-ID: CVE-2006-4387

  Tillgängligt för: Mac OS X 10.4 till Mac OS X 10.4.7, Mac OS X Server 10.4 till Mac OS X Server 10.4.7

  Effekt: Efter borttagning av ett kontos administratörsbehörighet kan WebObjects-program fortfarande hanteras från kontot

  Beskrivning: Trots att kryssrutan ”Tillåt användaren att administrera datorn” i Systeminställningar avmarkeras så kanske inte kontot tas bort från grupperna appserveradm eller appserverusr. De här grupperna tillåter ett konto att hantera WebObjects-program. I den här uppdateringen åtgärdas problemet genom att se till att kontot tas bort från lämpliga grupper. Problemet berör inte system före Mac OS X 10.4. Tack till Phillip Tejada på Fruit Bat Software som rapporterade problemet.

• QuickDraw Manager

  CVE-ID: CVE-2006-4395

  Tillgängligt för: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4 till Mac OS X 10.4.7, Mac OS X Server 10.4 till Mac OS X Server 10.4.7

  Effekt: Öppnande av en skadlig PICT-bild i vissa program kan leda till oväntad programavslutning eller körning av opålitlig kod

  Beskrivning: I visa program anropas en QuickDraw-åtgärd som inte stöds vid visning av PICT-bilder. Genom att skapa en korrupt PICT-bild kan en angripare utlösa minneskorruption i dessa program, vilket kan leda till oväntad programavslutning eller körning av opålitlig kod. I den här uppdateringen åtgärdas problemet genom att den åtgärd som inte stöds förhindras.

• SASL

  CVE-ID: CVE-2006-1721

  Tillgängligt för: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4 till Mac OS X 10.4.7, Mac OS X Server 10.4 till Mac OS X Server 10.4.7

  Effekt: Fjärrangripare kan orsaka ett dos-angrepp på IMAP-servern

  Beskrivning: Ett problem i DIGEST-MD5-förhandlingsstödet i Cyrus SASL kan leda till ett segmenteringsfel i IMAP-servern med ett skadligt sfärhuvud. I den här uppdateringen åtgärdas problemet genom förbättrad hantering av sfärhuvuden i autentiseringsförsök.

• WebCore

  CVE-ID: CVE-2006-3946

  Tillgängligt för: Mac OS X 10.3.9, Mac OS X Server 10.3.9, Mac OS X 10.4 till Mac OS X 10.4.7, Mac OS X Server 10.4 till Mac OS X Server 10.4.7

  Effekt: Visning av en skadlig webbsida kan leda till körning av opålitlig kod

  Beskrivning: Ett minneshanteringsfel i WebKits hantering av vissa HTML kan göra det möjligt för en skadlig webbplats att orsaka en krasch eller potentiellt köra opålitlig kod när användaren visa webbplatsen. I den här uppdateringen åtgärdas problemet genom att tillståndet som orsakar spillet förebyggs. Tack till Jens Kutilek på Netzallee, Lurene Grenier – Senior Research Engineer på Sourcefire VRT och Jose Avila III – Security Analyst på ONZRA som rapporterade problemet.

• Workgroup Manager

  CVE-ID: CVE-2006-4399

  Tillgängligt för: Mac OS X Server 10.4 till Mac OS X Server 10.4.7

  Effekt: Konton i en överordnad NetInfo som verkar använda ShadowHash-lösenord kan ändå använda crypt

  Beskrivning: Workgroup Manager verkar tillåta byte av autentiseringstyp från crypt- till ShadowHash-lösenord i en överordnad NetInfo men gör det egentligen inte. Uppdatering av vyn över ett konto i en överordnad NetInfo visar att crypt faktiskt fortfarande används. I den här uppdateringen åtgärdas problemet genom att administratörer inte tillåts välja ShadowHash-lösenord för konton i en överordnad NetInfo. Tack till Chris Pepper på The Rockefeller University som rapporterade problemet.

Installationsanteckning

I Programuppdatering visas den uppdatering som gäller för din systemkonfiguration. Endast en behövs.

Säkerhetsuppdatering 2006-006 installeras på system med Mac OS X 10.3.9 och Mac OS X Server 10.3.9.

Mac OS X 10.4.8 innehåller de säkerhetskorrigeringar som finns i säkerhetsuppdatering 2006-006 och installeras på Mac OS X 10.4 eller senare samt system med Mac OS X Server 10.4 eller senare.