Om säkerhetsinnehållet i Säkerhetsuppdatering 2009-001

I det här dokumentet beskrivs säkerhetsuppdatering 2009-001, som kan hämtas och installeras via inställningarna för Programuppdatering, eller från Hämtningsbara filer från Apple.

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. Mer information om Apples produktsäkerhet finns på webbplatsen för Apples Product Security.

Information om PGP-nyckeln från Apple Product Security finns i Så här använder du en PGP-nyckel från Apple Product Security.

Om möjligt används CVE-ID:n som referenser till ytterligare information om säkerhetsproblem.

Mer information om andra säkerhetsuppdateringar finns i Säkerhetsuppdateringar från Apple."

Säkerhetsuppdatering 2009-001

• AFP Server

  CVE-ID: CVE-2009-0142

  Tillgängligt för: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: En användare med möjlighet att ansluta till AFP Server kanske kan utlösa en funktionsförlust

  Beskrivning: Ett kapplöpningstillstånd i AFP Server kan leda till en oändlig loop. Emulering av filer på en AFP Server kan leda till funktionsförlust. Den här uppdateringen åtgärdar problemet genom förbättrad logik för filräkning. Det här problemet påverkar endast system som kör Mac OS X v10.5.6.

• Apple Pixlet Video

  CVE-ID: CVE-2009-0009

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Om en filmfil med skadligt innehåll öppnas kan det leda till att program oväntat avslutas eller körning av opålitlig kod

  Beskrivning: Ett problem med skadat minne förekommer i hanteringen av filmfiler som använder Pixlet-kodeken. Visning av en filmfil med skadligt innehåll kan leda till att program oväntat avslutas eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom förbättrad kontroll av gränserna. Av: Apple.

• CarbonCore

  CVE-ID: CVE-2009-0020

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Om en fil med en resursgaffel med skadligt innehåll öppnas kan det leda till att program oväntat avslutas eller körning av opålitlig kod

  Beskrivning: Ett problem med skadat minne förekommer i Resource Managers hantering av resursgafflar. Om en fil med en resursgaffel med skadligt innehåll öppnas kan det leda till att program oväntat avslutas eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom förbättrad validering av resursgafflar. Av: Apple.

• CFNetwork

  Tillgängligt för: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Återställer korrekt funktion för cookies med giltighetstider som är noll

  Beskrivning: Den här uppdateringen åtgärdar en ej säkerhetsrelaterad regression som infördes i Mac OS X 10.5.6. Cookies kanske inte är korrekt inställda om en webbplats försöker ställa in en sessionscookie genom att ange ett nollvärde i fältet ”löper ut” i stället för att lämna fältet tomt. Den här uppdateringen åtgärdar problemet genom att ignorera fältet ”löper ut” om det har ett nollvärde.

• CFNetwork

  Tillgängligt för: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Återställer korrekt funktion för sessionscookies i applikationer

  Beskrivning: Den här uppdateringen åtgärdar en ej säkerhetsrelaterad regression som infördes i Mac OS X 10.5.6. CFNetwork kanske inte sparar cookies på hårddisk om flera öppna applikationer försöker ställa in sessionscookies. Den här uppdateringen åtgärdar problemet genom att säkerställa att varje applikation sparar sina sessionscookies separat.

• Certificate Assistant

  CVE-ID: CVE-2009-0011

  Tillgängligt för: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: En lokal användare kan manipulera filer med behörigheterna för en annan användare som kör Certificate Assistant

  Beskrivning: En osäker filåtgärd förekommer i Certificate Assistants hantering av temporära filer. Detta kunde göra det möjligt för en lokal användare att skriva över filer med behörigheterna för en annan användare som kör Certificate Assistant. Den här uppdateringen åtgärdar problemet genom förbättrad hantering av temporära filer. Problemet berör inte system före Mac OS X v10.5. Av: Apple.

• ClamAV

  CVE-ID: CVE-2008-5050, CVE-2008-5314

  Tillgängligt för: Mac OS X Server v10.4.11, Mac OS X Server v10.5.6

  Effekt: Flera sårbarheter i ClamAV 0.94

  Beskrivning: Flera sårbarheter förekommer i ClamAV 0.94, varav de allvarligaste kan leda till körning av opålitlig kod. Den här uppdateringen åtgärdar problemen genom att uppdatera ClamAV till version 0.94.2. ClamAV distribueras endast med Mac OS X Server-system. Mer information finns på webbplatsen för ClamAV på http://www.clamav.net/

• CoreText

  CVE-ID: CVE-2009-0012

  Tillgängligt för: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Visning av Unicode-innehåll med skadligt innehåll kan leda till att program oväntat avslutas eller körning av opålitlig kod

  Beskrivning: En heap-buffertöversvämning kan uppstå vid bearbetning av Unicode-strängar i CoreText. Användning av CoreText för att hantera Unicode-strängar med skadligt innehåll, till exempel när man visar en webbplats med skadligt innehåll, kan leda till att program oväntat avslutas eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom förbättrad kontroll av gränserna. Problemet påverkar inte system för Mac OS X v10.5. Tack till Rosyna på Unsanity som rapporterade problemet.

• CUPS

  CVE-ID: CVE-2008-5183

  Tillgängligt för: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Besök på en webbplats med skadligt innehåll kan leda till att program oväntat avslutas

  Beskriver: Att överskrida det högsta antalet RSS-prenumerationer leder till namnåtergång av nullpekaren i CUPS-webbgränssnittet. Detta kan leda till att program oväntat avslutas vid besök på en webbplats med skadligt innehåll. För att det här problemet ska utlösas måste användarens inloggningsuppgifter antingen vara kända av den som utför attacken eller sparade i användarens webbläsare. CUPS startas om automatiskt efter att problemet har utlösts. Den här uppdateringen åtgärder problemet genom korrekt hantering av antalet RSS-prenumerationer. Problemet berör inte system före Mac OS X v10.5.

• DS Tools

  CVE-ID: CVE-2009-0013

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Lösenord som skickas till dscl exponeras för andra lokala användare

  Beskrivning: Kommandoradsverktyget dscl krävde att lösenord skickades till det i sina argument, vilket potentiellt exponerade lösenorden för andra användare. Exponerade lösenord innefattar lösenord för användare och administratörer. Den här uppdateringen gör lösenordsparametern valfri och dscl ber om lösenordet om det behövs. Av: Apple.

• fetchmail

  CVE-ID: CVE-2007-4565, CVE-2008-2711

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Flera sårbarheter i fetchmail 6.3.8

  Beskrivning: Flera sårbarheter förekommer i fetchmail 6.3.8, varav de allvarligaste ka leda till funktionsförlust. Den här uppdatering åtgärdar problemet genom att uppdatera till version 6.3.9. Mer information finns på webbplatsen för fetchmail på http://fetchmail.berlios.de/

• Folder Manager

  CVE-ID: CVE-2009-0014

  Tillgängligt för: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Andra lokala användare kan komma åt mappen Hämtade filer

  Beskrivning: Ett problem gällande standardbehörighet förekommer i Folder Manager. När en användare raderar sin mapp Hämtade filer och Folder Manager återskapar den skapas mappen med läsbehörighet för alla. Den här uppdateringen åtgärdar problemet genom att låta Folder Manager begränsa behörigheten så att mappen endast är tillgänglig för användaren. Det här problemet påverkar endast applikationen som använder Folder Manager. Problemet påverkar inte system före Mac OS X v10.5. Tack till Graham Perrin på CENTRIM, University of Brighton som rapporterade problemet.

• FSEvents

  CVE-ID: CVE-2009-0015

  Tillgängligt för: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Genom att använda FSEvents-ramverken kan det hända att en lokal användare kan se filsystemsaktivitet som annars inte vore tillgänglig

  Beskrivning: Ett problem med hanteringen av inloggningsuppgifter förekommer i fseventsd. Genom att använda FSEvents-ramverken kan det hända att en lokal användare kan se filsystemsaktivitet som annars inte vore tillgänglig. Detta innefattar namnet på en katalog som användaren annars inte skulle kunna se, och upptäckten av aktivitet i katalogen vid en viss tidpunkt. Det här uppdateringen åtgärdar problemet genom förbättra validering av inloggningsuppgifter i fseventsd. Problemet påverkar inte system före Mac OS X v10.5. Tack till Mark Dalrymple so, rapporterade problemet.

• Network Time

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Konfigurationen för tjänsten Network Time har uppdaterats

  Besrivning: Som en förebyggande säkerhetsåtgärd ändrar den här uppdateringen standardkonfigurationen för tjänsten Network Time. Information om systemtid och systemversion är inte längre tillgänglig i standardkonfigurationen för ntpd. På Mac OS X v10.4.11-system börjar den nya konfigurationen gälla efter en systemomstart när tjänsten Network Time är aktiverad.

• perl

  CVE-ID: CVE-2008-1927

  Tillgängigt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Användning av reguljära uttryck som innehåller UTF-8-tecken kan leda till att program oväntat avslutas eller körning av opålitlig kod

  Beskrivning: Ett problem med skadat minne förekommer i hanteringen av vissa UTF-8-tecken i reguljära uttryck. Tolkning av reguljära uttryck med skadligt innehåll kan leda till att program oväntat avslutas eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom att utföra ytterligare validering av reguljära uttryck.

• Printing

  CVE-ID: CVE-2009-0017

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Det kan hända att en lokal användare erhåller systembehörighet

  Beskrivning: Ett problem gällande felhantering förekommer i csregprinter, vilket kan leda till heap-buffertöversvämning. Det här kan göra det möjligt för en lokal användare att erhålla systembehörighet. Den här uppdateringen åtgärdar problemet genom förbättrad felhantering. Tack till Lars Haulin som rapporterade problemet.

• python

  CVE-ID: CVE-2008-1679, CVE-2008-1721, CVE-2008-1887, CVE-2008-2315, CVE-2008-2316, CVE-2008-3142, CVE-2008-3144, CVE-2008-4864, CVE-2007-4965, CVE-2008-5031

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Flera sårbarheter i python

  Beskrivning: Flera sårbarheter förekommer i python, varav de allvarligaste kan leda körning av opålitlig kod. Den här uppdateringen åtgärdar problemen genom att tillämpa korrigeringar från python-projektet.

• Remote Apple Events

  CVE-ID: CVE-2009-0018

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Känslig information kan avslöjas när Remote Apple Events skickas

  Beskrivning: Ett fel gällande ej initialiserad buffert förekommer i Remote Apple Events-servern, vilket kan leda till att innehåll i minnet avslöjas för nätverksklienter. Den här uppdateringen åtgärdar problemet genom korrekt initialisering av minnet. Av: Apple.

• Remote Apple Events

  CVE-ID: CVE-2009-0019

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: När Remote Apple Events aktiveras kan det leda till att program oväntat avslutas eller att känslig information avslöjas

  Beskrivning: En minnesåtkomst utanför gränserna förekommer i Remote Apple Events. När Remote Apple Events aktiveras kan det leda till att program oväntat avslutas eller att känslig information avslöjas för nätverksklienter. Den här uppdateringen åtgärdar problemet genom förbättrad kontroll av gränserna. Av: Apple.

• Safari RSS

  CVE-ID: CVE-2009-0137

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Åtkomst till en feed:-webbadress med skadligt innehåll kan leda till körning av opålitlig kod

  Beskrivning: Flera problem med validering av indata förekommer i Safaris hantering av feed:-webbadresser. Problemen möjliggör körning av opålitlig JavaScript i den lokala säkerhetszonen. Den här uppdateringen åtgärdar problemen genom förbättrad hantering av inbäddade JavaScript i ”feed:”-webbadresser. Tack till Clint Ruoho på Laconic Security, Billy Rios på Microsoft och Brian Mastenbrook som rapporterade dessa problem.

• servermgrd

  CVE-ID: CVE-2009-0138

  Tillgngligt för: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Det kan hända att fjärrangripare får åtkomst till Server Manager utan giltiga inloggningsuppgifter

  Beskrivning: Ett problem i Server Managers validering av inloggningsuppgifter kan göra det möjligt för fjärrangripare att ändra systemkonfigurationen. Den här uppdateringen åtgärdar problemet genom ytterligare validering av inloggningsuppgifter. Problemet berör inte system före Mac OS X v10.5. Av: Apple.

• SMB

  CVE-ID: CVE-2009-0139

  Tillgängligt för: Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Anslutning till ett SMB-filsystem med skadligt innehåll kan leda till att program oväntat avslutas eller körning av opålitlig kod med systembehörighet

  Beskrivning: En heltalsöversvämning i SMB-filsystemet kan leda till en heap-buffertöversvämning. Anslutning till ett SMB-filsystem med skadligt innehåll kan leda till att program oväntat avslutas eller körning av opålitlig kod med systembehörighet. Den här uppdateringen åtgärdar problemet genom förbättrad kontroll av gränserna. Problemet berör inte system före Mac OS X v10.5. Av: Apple.

• SMB

  CVE-ID: CVE-2009-0140

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Anslutning till en SMB-filserver med skadligt innehåll kan leda till oväntad systemavstängning

  Beskrivning: Ett problem med uttömt minne förekommer i SMB-filsystemet hantering av filsystemnamn. Anslutning till en SMB-filserver med skadligt innehåll kan leda till oväntad systemavstängning. Den här uppdateringen åtgärdar problemet genom att begränsa mängden minne som tilldelas av klienten för filsystemnamn. Av: Apple.

• SquirrelMail

  CVE-ID: CVE-2008-2379, CVE-2008-3663

  Tillgängligt för: Mac OS X Server v10.4.11, Mac OS X Server v10.5.6

  Effekt: Flera sårbarheter i SquirrelMail

  Beskrivning: SquirrelMail uppdateras till version 1.4.17 för att åtgärda flera sårbarheter, varav den allvarligaste är ett skriptproblem över flera platser. Mer information finns på SquirrelMail webbplats på http://www.SquirrelMail.org/

• X11

  CVE-ID: CVE-2008-1377, CVE-2008-1379, CVE-2008-2360, CVE-2008-2361, CVE-2008-2362

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: Flera sårbarheter i X11-server

  Beskrivning: Flera sårbarheter förekommer i X11-server. Den allvarligaste av dessa kan leda till körning av opålitlig kod med behörigheten för användaren som kör X11-servern, om angriparen kan logga in på X11-servern. Den här uppdateringen åtgärdar problemen genom att tillämpa de uppdaterade X.Org-rättelserna. Mer information finns på X.Orgs webbplats på http://www.x.org/wiki/Development/Security

• X11

  CVE-ID: CVE-2006-1861, CVE-2006-3467, CVE-2007-1351, CVE-2008-1806, CVE-2008-1807, CVE-2008-1808

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11

  Effekt: Flera sårbarheter i FreeType v2.1.4

  Beskrivning: Flera sårbarheter förekommer i FreeType v2.1.4, varav de allvarligaste kan leda till körning av opålitlig kod vid bearbetning av typsnitt med skadligt innehåll. Den här uppdateringen åtgärdar problemet genom att införliva säkerhetsfixarna från version 2.3.6 av FreeType. Mer information finns på FreeTypes webbplats på http://www.freetype.org/ Problemen har redan åtgärdats på system som kör Mac OS X v10.5.6.

• X11

  CVE-ID: CVE-2007-1351, CVE-2007-1352, CVE-2007-1667

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11

  Effekt: Flera sårbarheter i LibX11

  Beskrivning: Flera sårbarheter förekommer i LibX11, varav de allvarligaste kan leda till körning av opålitlig kod vid bearbetning av skadligt typsnitt. Den här uppdateringen åtgärdar problemen genom att tillämpa de uppdaterade X.Org-rättelserna. Mer information finns på X.Orgs webbplats på http://www.x.org/wiki/Development/Security Dessa problem påverkar inte system som kör Mac OS X v10.5 eller senare.

• XTerm

  CVE-ID: CVE-2009-0141

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.6, Mac OS X Server v10.5.6

  Effekt: En lokal användare kan skicka information direkt till en annan användares Xterm

  Beskrivning: Ett behörighetsproblem förekommer i Xterm. När det används med luit skapar Xterm tty-enheter som är tillgängliga för alla. Den här uppdateringen åtgärdar problemet genom att låta Xterm begränsa behörigheterna så att tty-enheter endast är tillgängliga för användaren.