Om säkerhetsuppdatering 2009-005

Det här dokumentet beskriver säkerhetsuppdatering 2009-005.

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. Mer information om Apples produktsäkerhet finns på webbplatsen för Apples Product Security.

Information om PGP-nyckeln från Apple Product Security finns i Så här använder du en PGP-nyckel från Apple Product Security.

Om möjligt används CVE-ID:n som referenser till ytterligare information om säkerhetsproblem.

Mer information om andra säkerhetsuppdateringar finns i Säkerhetsuppdateringar från Apple."

Säkerhetsuppdatering 2009-005

• Alias Manager

  CVE-ID: CVE-2009-2800

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: När en aliasfil med skadligt innehåll öppnas kan det leda till att program oväntat avslutas eller körning av opålitlig kod

  Beskrivning: En buffertöversvämning förekommer i hanteringen av aliasfiler. När en aliasfil med skadligt innehåll öppnas kan det leda till att program oväntat avslutas eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom förbättrad kontroll av gränserna. Det här problemet påverkar inte Mac OS X v10.6-system. Av: Apple.

• CarbonCore

  CVE-ID: CVE-2009-2803

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Om en fil med en resursgaffel med skadligt innehåll öppnas kan det leda till att program oväntat avslutas eller körning av opålitlig kod

  Beskrivning: Ett problem med skadat minne förekommer i Resurshanterarens hantering av resursgafflar. Om en fil med en resursgaffel med skadligt innehåll öppnas kan det leda till att program oväntat avslutas eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom förbättrad validering av resursgafflar. Det här problemet påverkar inte Mac OS X v10.6-system. Av: Apple.

• ClamAV

  CVE-ID: CVE-2009-1241, CVE-2009-1270, CVE-2008-6680, CVE-2009-1371, CVE-2009-1372

  Tillgängligt för: Mac OS X Server v10.5.8

  Effekt: Flera sårbarheter i ClamAV 0.94.2

  Beskrivning: Flera sårbarheter förekommer i ClamAV 0.94.2, varav de allvarligaste kan leda till körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom att uppdatera ClamAV till version 0.95.2. ClamAV distribueras endast med Mac OS X Server-system. Mer information finns på webbplatsen för ClamAV på http://www.clamav.net/ Dessa problem påverkar inte Mac OS X v10.6-system.

• ColorSync

  CVE-ID: CVE-2009-2804

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Visning av en bild med med skadligt innehåll och med en ColorSync-profil kan leda till att program oväntat avslutas eller körning av opålitlig kod

  Beskrivning: En heltalsöversvämning förekommer i hanteringen av bilder med en inbäddad ColorSync-profil, vilket kan leda till en heap-buffertöversvämning. Visning av en bild med skadligt innehåll och med en inbäddad ColorSync-profil kan leda till att program oväntat avslutas eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom att utföra ytterligare validering av ColorSync-profiler. Det här problemet påverkar inte Mac OS X v10.6-system. Av: Apple.

• CoreGraphics

  CVE-ID: CVE-2009-2805

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Om du öppnar en PDF-fil med skadligt innehåll kan det leda till att program oväntat avslutas eller körning av opålitlig kod.

  Beskrivning: En heltalsöversvämning i CoreGraphics hantering av PDF-filer kan leda till en heap-buffertöversvämning. Om du öppnar en PDF-fil med en JBIG2-stream med skadligt innehåll kan det leda till att program oväntat avslutas eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom förbättrad kontroll av gränserna. Tack till Will Dormann på CERT/CC som rapporterade problemet. Det här problemet påverkar inte Mac OS X v10.6-system.

• CoreGraphics

  CVE-ID: CVE-2009-2468

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: När du besöker en webbplats med skadligt innehåll kan det leda till att program oväntat avslutas eller körning av opålitlig kod

  Beskrivning: Översvämning av en heap-buffert förekommer när långa textsträngar skrivs. Om du besöker en webbplats med skadligt innehåll kan det leda till att program avslutas oväntat eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom förbättrad kontroll av gränserna. Det här problemet påverkar inte Mac OS X v10.6-system. Tack till Will Drewry på Google Inc. som rapporterade problemet.

• CUPS

  CVE-ID: CVE-2009-0949

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Det kan hända att en fjärrangripare kan neka åtkomsten till tjänsten Printer Sharing

  Beskrivning: En nollpekarreferens förekommer i CUPS. Genom att upprepat skicka schemaläggarförfrågningar med skadligt innehåll kan det hända att en fjärrangripare kan neka åtkomst till tjänsten Printer Sharing. Det här uppdateringen åtgärdar problemet genom förbättrad validering av schemaläggarförfrågningar. Det här problemet påverkar inte Mac OS X v10.6-system. Tack till Anibal Sacco från CORE IMPACT Exploit Writing Team (EWT) på Core Security Technologies som rapporterade problemet.

• CUPS

  CVE-ID: CVE-2009-2807

  Tillgängligt för: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Det kan hända att en obehörig användare erhåller systembehörighet

  Beskrivning: En heap-buffertöversvämning förekommer i usb-backend för CUPS. Det här kan göra det möjligt för en lokal användare att erhålla systembehörighet. Den här uppdateringen åtgärdar problemet genom förbättrad kontroll av gränserna. Det här problemet påverkar inte system före Mac OS X v10.5 eller Mac OS X v10.6-system.

• Flash Player plug-in

  CVE-ID: CVE-2009-1862, CVE-2009-1863, CVE-2009-1864, CVE-2009-1865, CVE-2009-1866, CVE-2009-1867, CVE-2009-1868, CVE-2009-1869, CVE-2009-1870

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Flera sårbarheter i Adobe Flash Player-insticksprogrammet

  Beskrivning: Flera problem förekommer i Adobe Flash Player-insticksprogrammet, varav de allvarligaste kan leda till körning av opålitlig kod och visning av en webbplats med skadligt innehåll. Problemen åtgärdas genom att Flash Player-insticksprogrammet på Mac OS v10.5.8 uppdateras till version 10.0.32.18, och till version 9.0.246.0 på Mac OS X v10.4.11-system. För Mac OS X v10.6-system åtgärdas dessa problem i Mac OS X v10.6.1. Mer information finns på Adobes webbplats på http://www.adobe.com/support/security/bulletins/apsb09-10.html

• ImageIO

  CVE-ID: CVE-2009-2809

  Tillgängligt för: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: När du visar en PixarFilm-kodad TIFF-bild med skadligt innehåll kan det leda till att program oväntat avslutas eller körning av opålitlig kod

  Beskrivning: Flera problem med skadat minne förekommer i ImageIO:s hantering av PixarFilm-kodade TIFF-bilder. Visning av en PixarFilm-kodad TIFF-bild med skadligt innehåll kan leda till att program oväntat avslutas eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom ytterligare validering av PixarFilm-kodade TIFF-bilder. Det här problemet påverkar inte Mac OS X v10.6-system. Av: Apple.

• Launch Services

  CVE-ID: CVE-2009-2811

  Tillgängligt för: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: När du försöker öppna osäkert hämtat innehåll kan det leda till en varning

  Beskrivning: Den här uppdateringen lägger till ”.fileloc” i systemets lista över innehållstyper som flaggas som potentiellt osäkra under vissa omständigheter, till exempel när de hämtas från ett e-postmeddelande. Dessa innehållstyper öppnas inte automatiskt, men kan leda till att en nyttolast med skadligt innehåll körs om de öppnas manuellt. Den här uppdateringen förbättrar systemet förmåga att underrätta användare innan ”.fileloc”-filer hanteras. Det här problemet påverkar inte Mac OS X v10.6-system. Av: Apple.

• Launch Services

  CVE-ID: CVE-2009-2812

  Tillgängligt för: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: När du besöker en webbplats med skadligt innehåll kan det leda till körning av opålitlig kod

  Beksrivning: När en applikation hämtas analyserar Launch Services dess exporterade dokumenttyper. Ett designproblem i hanteringen av exporterade dokumenttyper kan leda till att Launch Services associerar ett säkert filtillägg med en osäker Uniform Type Identifier (UTI). När du besöker en webbplats med skadligt innehåll kan det hända att en osäker filtyp öppnas automatiskt. Den här uppdateringen åtgärdar problemet genom förbättrad hantering av exporterade dokumenttyper från ej betrodda applikationer. Det här problemet påverkar inte system före Mac OS X v10.5 eller Mac OS X v10.6-system. Av: Apple.

• MySQL

  CVE-ID: CVE-2008-2079

  Tillgängligt för: Mac OS X Server v10.5.8

  Effekt : MySQL uppdateras till version 5.0.82

  Beskrivning: MySQL uppdateras till version 5.0.82 för att åtgärda ett implementeringsproblem som gör det möjligt för en lokal användare att erhålla högre behörighet. Det här problemet påverkar endast Mac OS X Server-system. Det här problemet påverkar inte Mac OS X v10.6-system. Mer information finns på webbplatsen för MySQL på http://dev.mysql.com/doc/refman/5.0/en/news-5-0-82.html

• PHP

  CVE-ID: CVE-2009-1271, CVE-2009-1272, CVE-2008-5498

  Tillgängligt för: Mac OS X v10.5, Mac OS X Server v10.5.8

  Effekt: Flera sårbarheter i PHP 5.2.8

  Beskrivning: PHP uppdateras till version 5.2.10 för att åtgärda flera sårbarheter, varav de allvarligaste kan leda till körning av opålitlig kod. Mer information finns på webbplatsen för PHP på http://www.php.net/ Dessa problem påverkar inte Mac OS X v10.6-system.

• SMB

  CVE-ID: CVE-2009-2813

  Tillgängligt för: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  Effekt: Aktivering av Windows File Sharing kan elda till att mappar delas oväntat

  Beskrivning: Ett okontrollerat feltillstånd förekommer i Samba. En användare som inte har konfigurerat hemkatalogen och ansluter till tjänsten Windows File Sharing kan få åtkomst till innehållen i filsystemet, med förbehåll för lokala filsystemsbehörigheter. Den här uppdateringen åtgärdar problemet genom att förbättra hanteringen av sökvägslösningsfel. Det här problemet påverkar inte system före Mac OS X v10.5 eller Mac OS X v10.6-system. Tack till J. David Hester på LCG Systems National Institutes of Health som rapporterade problemet.

• Wiki Server

  CVE-ID: CVE-2009-2814

  Tillgängligt för: Mac OS X Server v10.5.8

  Effekt: Det kan hända att en fjärrangripare får åtkomst till Wiki Server-användarkonton

  Beskrivning: Ett problem med skriptkörning över flera platser förekommer i Wiki Servers hantering av sökförfrågningar som innehåller data som inte är UTF-8-kodade data. Detta kan låta en fjärrangripare få åtkomst till en Wiki-server med inloggningsuppgifterna för Wiki Server-användaren som utför sökningen. Den här uppdateringen åtgärdar felet genom att ställa in UTF-8 som standardteckenuppsättning i HTTP-svar. Det här problemet påverkar inte system före Mac OS X v10.5 eller Mac OS X v10.6-system. Av: Apple.