Om säkerhetsinnehållet i Säkerhetsuppdatering 2009-003/Mac OS X 10.5.8

Det här dokumentet beskriver säkerhetsinnehållet i Säkerhetsuppdatering 2009-003/Mac OS X 10.5.8. Den kan hämtas och installeras genom inställningarna för Programuppdatering eller i Hämtningsbara filer.

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. Mer information om Apples produktsäkerhet finns på webbplatsen för Apples Product Security.

Information om PGP-nyckeln från Apple Product Security finns i Så här använder du en PGP-lösenkod från Apple Product Security.

Om möjligt används CVE-ID:n som referenser till ytterligare information om säkerhetsproblem.

Mer information om andra säkerhetsuppdateringar finns i ”Apples säkerhetssläpp”.

Säkerhetsuppdatering 2009-003/Mac OS X 10.5.8

• bzip2

  CVE-ID: CVE-2008-1372

  Tillgängligt för: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: Dekomprimering av skadligt skapad data kan leda till en oväntad programavslutning

  Beskrivning: En out-of-bounds minnesåtkomst finns i bzip2. Visning av en komprimerad fil med skadligt innehåll kan leda till oväntad programavslutning. Den här uppdateringen åtgärdar problemet genom att uppdatera bzip2 till version 1.0.5. Mer information finns på bzip2:s webbplats på http://bzip.org/

• CFNetwork

  CVE-ID: CVE-2009-1723

  Tillgängligt för: Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: En uppsåtligt skapad webbplats kan kontrollera den visade webbplatsens URL i en certifikatvarning

  Beskrivning: När Safari når en webbplats via en 302-omdirigering och en certifikatvarning visas innehåller varningen den ursprungliga webbplatsens URL istället för den aktuella webbplatsens URL. Detta kan tillåta en skadligt skapad webbplats som nås via en öppen omdirigering på en användarbetrodd webbplats att kontrollera webbplatsens URL som visas i en certifikatvarning. Det här problemet åtgärdades genom att returnera rätt URL i det underliggande CFNetwork-lagret. Problemet berör inte system före Mac OS X v10.5. Tack till Kevin Day från Your.Org och Jason Mueller från Indiana University som rapporterade problemet.

• ColorSync

  CVE-ID: CVE-2009-1726

  Tillgängligt för: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: Visning av en uppsåtligt skapad bild med en inbäddad ColorSync-profil kan leda till en oväntad programavslutning eller exekvering av skadlig kod

  Beskrivning: Ett heapbuffertspill finns vid hanteringen av bilder med en inbäddad ColorSync-profil. Visning av en bild med skadligt innehåll och med en inbäddad ColorSync-profil kan leda till att program oväntat avslutas eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom att utföra ytterligare validering av ColorSync-profiler. Tack till Chris Evans på Google Security Team som rapporterade problemet.

• CoreTypes

  CVE-ID: CVE-2009-1727

  Tillgängligt för: Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: Användare varnas inte innan vissa potentiellt osäkra innehållstyper öppnas

  Beskrivning: Denna uppdatering utökar systemets lista innehållstyper som kommer att flaggas som potentiellt osäkra under vissa omständigheter, till exempel när de laddas ner från en webbsida. Dessa innehållstyper startas inte automatiskt men kan, om de öppnas manuellt, leda till att en skadlig JavaScript-nyttolast körs. Den här uppdateringen förbättrar systemets förmåga att meddela användare innan de hanterar innehållstyper som används av Safari. Tack till Brian Mastenbrook och Clint Ruoho på Laconic Security som rapporterade problemet.

• Dock

  CVE-ID: CVE-2009-0151

  Tillgängligt för: Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: En person med fysisk åtkomst till ett låst system kan använda multi-touch-gester med fyra fingrar

  Beskrivning: Skärmsläckaren blockerar inte Multi-Touch-gester med fyra fingrar, vilket kan göra det möjligt för en person med fysisk åtkomst till ett låst system att hantera applikationer eller använda Expose. Den här uppdateringen åtgärdar problemet genom att korrekt blockera Multi-Touch-gester när skärmsläckaren körs. Det här problemet påverkar endast system med en Multi-Touch-styrplatta.

• Image RAW

  CVE-ID: CVE-2009-1728

  Tillgängligt för: Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: Visning av en Canon RAW-bild med skadligt innehåll kan leda till att program avslutas oväntat eller att opålitlig kod körs

  Beskrivning: Ett stackbuffertspill förekommer vid hanteringen av Canon RAW-bilder. Visning av en skadligt skapad Canon RAW-bild kan leda till oväntad programavslutning eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom förbättrad kontroll av gränserna. För Mac OS X v10.4-system är detta problem redan åtgärdat med Digital Camera RAW Compatibility Update 2.6. Tack till Chris Ries från Carnegie Mellon University Computing Services som rapporterade problemet.

• ImageIO

  CVE-ID: CVE-2009-1722

  Tillgängligt för: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: Visning av en skadligt skapad OpenEXR-bild kan leda till en oväntad programavslutning eller exekvering av opålitlig kod

  Beskrivning: Ett heapbuffertspill finns i ImageIO:s hantering av OpenEXR-bilder. Visning av en uppsåtligt skapad OpenEXR-bild kan leda till oväntad programavslutning eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom att uppdatera OpenEXR till version 1.6.1. Tack till Lurene Grenier från Sourcefire VRT och Chris Ries från Carnegie Mellon University Computing Services som rapporterade problemet.

• ImageIO

  CVE-ID: CVE-2009-1721

  Tillgängligt för: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: Visning av en skadligt skapad OpenEXR-bild kan leda till en oväntad programavslutning eller exekvering av opålitlig kod

  Beskrivning: Ett problem med oinitierad minnesåtkomst finns i ImageIO:s hantering av OpenEXR-bilder. Visning av en uppsåtligt skapad OpenEXR-bild kan leda till oväntad programavslutning eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom korrekt minnesinitiering och ytterligare validering av OpenEXR-bilder. Av: Apple.

• ImageIO

  CVE-ID: CVE-2009-1720

  Tillgängligt för: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: Visning av en skadligt skapad OpenEXR-bild kan leda till en oväntad programavslutning eller exekvering av opålitlig kod

  Beskrivning: Flera heltalsspill finns i ImageIO:s hantering av OpenEXR-bilder. Visning av en uppsåtligt skapad OpenEXR-bild kan leda till oväntad programavslutning eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemen genom förbättrad kontroll av gränserna. Av: Apple.

• ImageIO

  CVE-ID: CVE-2009-2188

  Tillgängligt för: Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: Visning av en skadligt skapad bild kan leda till en oväntad programavslutning eller exekvering av opålitlig kod

  Beskrivning: Ett buffertspill finns i ImageIO:s hantering av EXIF-metadata. Visning av en bild med skadligt innehåll kan leda till att program avslutas oväntat eller att opålitlig kod körs. Den här uppdateringen åtgärdar problemet genom förbättrad kontroll av gränserna. Problemet berör inte system före Mac OS X v10.5.

• ImageIO

  CVE-ID: CVE-2009-0040

  Tillgängligt för: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: Bearbetning av en illvilligt skapad PNG-bild kan leda till oväntad programavslutning eller körning av opålitlig kod

  Beskrivning: Ett problem med oinitierad pekare finns i hanteringen av PNG-bilder. Bearbetning av en illvilligt skapad PNG-bild kan leda till oväntad programavslutning eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom att utföra ytterligare validering av PNG-bilder. Tack till Tavis Ormandy på Google Security Team som rapporterade problemet.

• Kernel

  CVE-ID: CVE-2009-1235

  Tillgängligt för: Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: En lokal användare kan få systembehörighet

  Beskrivning: Det finns ett implementeringsproblem i kärnans hantering av fcntl-systemsamtal. En lokal användare kan skriva över kärnminne och exekvera skadlig kod med systembehörighet. Den här uppdateringen åtgärdar problemet genom förbättrad hantering av fcntl-systemsamtal. Tack till Razvan Musaloiu-E. på Johns Hopkins University, HiNRG som rapporterade problemet.

• launchd

  CVE-ID: CVE-2009-2190

  Tillgängligt för: Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: Öppnande av många anslutningar till en inetd-baserad lanserad tjänst kan leda till en överbelastningstjänst

  Beskrivning: Öppnande av många anslutningar till en inetd-baserad lanserad tjänst kan göra att launchd slutar betjäna inkommande anslutningar till den tjänsten tills nästa systemstart. Den här uppdateringen åtgärdar problemet genom förbättrad felhantering.

• Login Window

  CVE-ID: CVE-2009-2191

  Tillgängligt för: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: Ett formatsträngsproblem i inloggningsfönstret kan leda till en oväntad programavslutning eller exekvering av opålitlig kod

  Beskrivning: Ett formatsträngsproblem i inloggningsfönstrets hantering av applikationsnamn kan leda till en oväntad applikationsavslutning eller exekvering av skadlig kod. Den här uppdateringen åtgärdar problemet genom förbättrad hantering av applikationsnamn. Tack till Alfredo Pesoli på 0xcafebabe.it som rapporterade problemet.

• MobileMe

  CVE-ID: CVE-2009-2192

  Tillgängligt för: Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: Utloggning från MobileMe tar inte bort alla inloggningsuppgifter

  Beskrivning: Det finns ett logiskt problem i MobileMe-inställningsfönstret. Utloggning från MobileMe tar inte bort alla inloggningsuppgifter. En person med åtkomst till det lokala användarkontot kan fortsätta att få åtkomst till alla andra system som är kopplade till MobileMe-kontot som tidigare hade loggats in för det lokala kontot. Den här uppdateringen åtgärdar problemet genom att ta bort alla inloggningsuppgifter vid utloggning.

• Networking

  CVE-ID: CVE-2009-2193

  Tillgängligt för: Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: Mottagande av ett uppsåtligt utformat AppleTalk-svarspaket kan leda till exekvering av skadlig kod med systembehörigheter eller en oväntad systemavstängning

  Beskrivning: Ett buffertspill finns i kärnans hantering av AppleTalk-svarspaket. Mottagande av ett uppsåtligt utformat AppleTalk-svarspaket kan leda till exekvering av skadlig kod med systembehörigheter eller en oväntad systemavstängning. Den här uppdateringen åtgärdar problemet genom förbättrad validering av AppleTalk-svarspaket. Tack till Ilja van Sprundel på IOActive som rapporterade problemet.

• Networking

  CVE-ID: CVE-2009-2194

  Tillgängligt för: Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: En lokal användare kan orsaka en oväntad systemavstängning

  Beskrivning: Ett synkroniseringsproblem finns i hanteringen av filbeskrivningsdelning över lokala uttag. Genom att skicka meddelanden som innehåller filbeskrivningar till ett uttag utan mottagare kan en lokal användare orsaka en oväntad systemavstängning. Den här uppdateringen åtgärdar problemet genom förbättrad hantering av filbeskrivningsdelning. Tack till Bennet Yee på Google Inc. som rapporterade problemet.

• XQuery

  CVE-ID: CVE-2008-0674

  Tillgängligt för: Mac OS X 10.5 till 10.5.7, Mac OS X Server 10.5 till 10.5.7

  Effekt: Bearbetning av skadligt skapat XML-innehåll kan leda till exekvering av opålitlig kod

  Beskrivning: Ett buffertspill finns i hanteringen av teckenklasser i reguljära uttryck i biblioteket Perl Compatible Regular Expressions (PCRE) som används av XQuery. Detta kan tillåta en fjärrangripare att exekvera opålitlig kod via ett reguljärt uttryck som innehåller en teckenklass med ett stort antal tecken med Unicode-kodpunkter större än 255. Den här uppdateringen åtgärdar problemet genom att uppdatera PCRE till version 7.6.