Om säkerhetsinnehållet i OS X El Capitan 10.11.1, Säkerhetsuppdatering 2015-004 Yosemite och Säkerhetsuppdatering 2015-007 Mavericks

Det här dokumentet beskriver säkerhetsinnehållet i OS X El Capitan 10.11.1, Säkerhetsuppdatering 2015-004 Yosemite och Säkerhetsuppdatering 2015-007 Mavericks.

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. Läs mer om Apples produktsäkerhet på webbplatsen Apple produktsäkerhet.

Mer information om PGP-nyckeln från Apple Product Security finns i artikeln Så här använder du en PGP-nyckel från Apple Product Security.

Om möjligt används CVE-ID:n som referenser till ytterligare information om säkerhetsproblem.

Läs mer om andra säkerhetsuppdateringar i artikeln Säkerhetsuppdateringar från Apple.

OS X El Capitan 10.11.1, Säkerhetsuppdatering 2015-004 Yosemite och Säkerhetsuppdatering 2015-007 Mavericks

  • Accelerate Framework

    Tillgänglig för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: Besök på en webbplats med skadligt innehåll kan ge upphov till godtycklig kodkörning

    Beskrivning: Ett minnesfel förekom i Accelerate Framework i läget med flera trådar. Problemet åtgärdades genom förbättrad validering av accessorelement och förbättrad objektslåsning.

    CVE-ID

    CVE-2015-5940: Apple

  • apache_mod_php

    Tillgänglig för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: Flera sårbarheter i PHP

    Beskrivning: Flera sårbarheter fanns i PHP-versioner tidigare än 5.5.29 och 5.4.45. Det åtgärdades genom att uppdatera PHP till version 5.5.29 och 5.4.45.

    CVE-ID

    CVE-2015-0235

    CVE-2015-0273

    CVE-2015-6834

    CVE-2015-6835

    CVE-2015-6836

    CVE-2015-6837

    CVE-2015-6838

  • ATS

    Tillgänglig för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: Besök på en skadlig webbsida kan leda till oväntad programavslutning eller körning av opålitlig kod

    Beskrivning: Ett minnesfel förekom i hanteringen av ATS. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-6985: John Villamil (@day6reak), Yahoo Pentest Team

  • Ljud

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: Ett skadligt program kan köra opålitlig kod

    Beskrivning: Ett oinitierat minnesproblem förekom i coreaudiod. Problemet åtgärdades genom förbättrad minnesinitiering.

    CVE-ID

    CVE-2015-7003: Mark Brand på Google Project Zero

  • Ljud

    Tillgänglig för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: Uppspelning av en skadlig ljudfil kan leda till körning av opålitlig kod

    Beskrivning: Flera minnesfel förekom i hanteringen av ljudfiler. Dessa problem åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-5933: Apple

    CVE-2015-5934: Apple

  • Bom

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: Uppackning av ett arkiv med skadligt innehåll kan ge upphov till körning av opålitlig kod

    Beskrivning: En filintrångssvaghet förekom i hanteringen av CPIO-arkiv. Problemet åtgärdades genom förbättrad validering av metadata.

    CVE-ID

    CVE-2015-7006: Mark Dowd på Azimuth Security

  • CFNetwork

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: Besök på en webbplats med skadligt innehåll kan leda till att cookies skrivs över

    Beskrivning: Ett tolkningsproblem förekom vid hantering av cookies för bokstäver med olika skiftläge. Det här problemet åtgärdades genom förbättrad tolkning.

    CVE-ID

    CVE-2015-7023: Marvin Scholz och Michael Lutonsky; Xiaofeng Zheng och Jinjin Liang på Tsinghua University, Jian Jiang på University of California, Berkeley, Haixin Duan på Tsinghua University och International Computer Science Institute, Shuo Chen på Microsoft Research Redmond, Tao Wan på Huawei Canada, Nicholas Weaver på International Computer Science Institute and University of California, Berkeley, koordinerade via CERT/CC

  • configd

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: Ett skadligt program kan höja privilegier

    Beskrivning: Ett problem med ett heapbaserat buffertspill förekom i DNS-klientbibliotek. Ett skadligt program som kan förfalska svar från den lokala configd-tjänsten kan orsaka att godtycklig kod körs i DNS-klienter.

    CVE-ID

    CVE-2015-7015: PanguTeam

  • CoreGraphics

    Tillgänglig för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: Besök på en webbplats med skadligt innehåll kan ge upphov till godtycklig kodkörning

    Beskrivning: Flera minnesfel förekom i CoreGraphics. Dessa problem åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-5925: Apple

    CVE-2015-5926: Apple

  • CoreText

    Tillgänglig för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: Bearbetning av en felaktigt utformad typsnittsfil kan leda till körning av godtycklig kod

    Beskrivning: Flera minnesfel förekom i hanteringen av teckensnittsfiler. Dessa problem åtgärdades genom förbättrad gränskontroll.

    CVE-ID

    CVE-2015-6992: John Villamil (@day6reak), Yahoo Pentest Team

  • CoreText

    Tillgänglig för: OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: Bearbetning av en felaktigt utformad typsnittsfil kan leda till körning av godtycklig kod

    Beskrivning: Flera minnesfel förekom i hanteringen av teckensnittsfiler. Dessa problem åtgärdades genom förbättrad gränskontroll.

    CVE-ID

    CVE-2015-6975: John Villamil (@day6reak), Yahoo Pentest Team

  • CoreText

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: Bearbetning av en felaktigt utformad typsnittsfil kan leda till körning av godtycklig kod

    Beskrivning: Flera minnesfel förekom i hanteringen av teckensnittsfiler. Dessa problem åtgärdades genom förbättrad gränskontroll.

    CVE-ID

    CVE-2015-7017: John Villamil (@day6reak), Yahoo Pentest Team

  • CoreText

    Tillgängligt för: OS X Mavericks 10.9.5 och OS X Yosemite 10.10.5

    Effekt: Bearbetning av en felaktigt utformad typsnittsfil kan leda till körning av godtycklig kod

    Beskrivning: Flera minnesfel förekom i hanteringen av teckensnittsfiler. Dessa problem åtgärdades genom förbättrad gränskontroll.

    CVE-ID

    CVE-2015-5944: John Villamil (@day6reak), Yahoo Pentest Team

  • Katalogverktyg

    Tillgänglig för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: Det kan hända att en lokal användare kan köra opålitlig kod med rotprivilegier

    Beskrivning: Ett autentiseringsproblem förekom i etableringen av nya sessioner. Problemet åtgärdades genom förbättrade auktorisationskontroller.

    CVE-ID

    CVE-2015-6980: Michael på Westside Community Schools

  • Skivavbilder

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: Ett skadligt program kan köra godtycklig kod med systembehörighet

    Beskrivning: Ett minnesfel förekom i tolkning av skivbilder. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-6995: Ian Beer på Google Project Zero

  • EFI

    Tillgänglig för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: En angripare kan utöva oanvända EFI-funktioner

    Beskrivning: Ett problem förekom med EFI-argumenthantering. Det åtgärdades genom borttagning av de påverkade funktionerna.

    CVE-ID

    CVE-2014-4860: Corey Kallenberg, Xeno Kovah, John Butterworth och Sam Cornwell på The MITRE Corporation, samordnat via CERT

  • Filbokmärke

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: När användaren bläddrar till en mapp med felformaterade bokmärken kan det leda till oväntad programavslutning

    Beskrivning: Ett problem med indatavalidering förekom vid tolkning av bokmärkesmetadata. Problemet har åtgärdats genom förbättrade valideringskontroller.

    CVE-ID

    CVE-2015-6987: Luca Todesco (@qwertyoruiop)

  • FontParser

    Tillgänglig för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: Bearbetning av en felaktigt utformad typsnittsfil kan leda till körning av godtycklig kod

    Beskrivning: Flera minnesfel förekom i hanteringen av teckensnittsfiler. Dessa problem åtgärdades genom förbättrad gränskontroll.

    CVE-ID

    CVE-2015-5927: Apple

    CVE-2015-5942

    CVE-2015-6976: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-6977: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-6978: Jaanus Kp, Clarified Security, i samarbete med HPs Zero Day Initiative

    CVE-2015-6991: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-6993: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-7009: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-7010: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-7018: John Villamil (@day6reak), Yahoo Pentest Team

  • FontParser

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: Bearbetning av en felaktigt utformad typsnittsfil kan leda till körning av godtycklig kod

    Beskrivning: Flera minnesfel förekom i hanteringen av teckensnittsfiler. Dessa problem åtgärdades genom förbättrad gränskontroll.

    CVE-ID

    CVE-2015-6990: John Villamil (@day6reak), Yahoo Pentest Team

    CVE-2015-7008: John Villamil (@day6reak), Yahoo Pentest Team

  • Grand Central Dispatch

    Tillgänglig för: OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: Bearbetning av ett felaktigt utformat paket kan ge upphov till körning av godtycklig kod

    Beskrivning: Ett minnesfel förekom i hanteringen av Dispatch-anrop. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-6989: Apple

  • Grafikdrivrutiner

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: En lokal användare kan eventuellt orsaka att systemet avslutas oväntat eller att kärnminnet läses

    Beskrivning: Flera problem med läsning utanför gränserna förekom i NVIDIA-grafikdrivrutinen. Dessa problem åtgärdades genom förbättrad gränskontroll.

    CVE-ID

    CVE-2015-7019: Ian Beer på Google Project Zero

    CVE-2015-7020: Moony Li på Trend Micro

  • Grafikdrivrutiner

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: Det kan hända att en lokal användare kan köra godtycklig kod med kärnprivilegier

    Beskrivning: Ett minnesfel förekom i kärnan. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7021: Moony Li på Trend Micro

  • ImageIO

    Tillgängligt för: OS X Mavericks 10.9.5 och OS X Yosemite 10.10.5

    Effekt: Bearbetning av en felaktigt utformad bildfil kan ge upphov till körning av godtycklig kod

    Beskrivning: Flera minnesfel förekom i tolkningen av bildmetadata. Problemen åtgärdades genom förbättrad metadatavalidering.

    CVE-ID

    CVE-2015-5935: Apple

    CVE-2015-5938: Apple

  • ImageIO

    Tillgänglig för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: Bearbetning av en felaktigt utformad bildfil kan ge upphov till körning av godtycklig kod

    Beskrivning: Flera minnesfel förekom i tolkningen av bildmetadata. Problemen åtgärdades genom förbättrad metadatavalidering.

    CVE-ID

    CVE-2015-5936: Apple

    CVE-2015-5937: Apple

    CVE-2015-5939: Apple

  • IOAcceleratorFamily

    Tillgänglig för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: Ett skadligt program kan köra godtycklig kod med systembehörighet

    Beskrivning: Ett minneskorruptionsfel förekom i IOAcceleratorFamily. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-6996: Ian Beer på Google Project Zero

  • IOHIDFamily

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: Ett skadligt program kan köra godtycklig kod med kernelbehörighet

    Beskrivning: Ett minnesfel förekom i kärnan. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-6974: Luca Todesco (@qwertyoruiop)

  • Kärna

    Tillgänglig för: OS X Yosemite 10.10.5

    Effekt: Det kan hända att en lokal användare kan köra opålitlig kod med systembehörigheter

    Beskrivning: Ett problem med sammanblandning av typer förekom i valideringen av Mach-åtgärder. Problemet åtgärdades genom förbättrad Mach-åtgärdsvalidering.

    CVE-ID

    CVE-2015-5932: Luca Todesco (@qwertyoruiop), Filippo Bigarella

  • Kärna

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: En angripare med en privilegierad nätverksposition kan orsaka godtycklig kodkörning

    Beskrivning: Ett oinitierat minnesproblem förekom i kärnan. Problemet åtgärdades genom förbättrad minnesinitiering.

    CVE-ID

    CVE-2015-6988: The Brainy Code Scanner (m00nbsd)

  • Kärna

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: Ett lokalt program kan orsaka att tjänster nekas

    Beskrivning: Ett problem förekom vid återanvändning av virtuellt minne. Problemet har åtgärdats genom förbättrad validering.

    CVE-ID

    CVE-2015-6994: Mark Mentovai på Google Inc.

  • libarchive

    Tillgänglig för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: Ett skadligt program kan skriva över filer oförutsägbart

    Beskrivning: Det förekom ett problem med logiken för validering av sökvägar för symlänkar. Problemet åtgärdades genom förbättrad sökvägssanering.

    CVE-ID

    CVE-2015-6984: Christopher Crone på Infinit, Jonathan Schleifer

  • MCX-programbegränsningar

    Tillgänglig för: OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: En utvecklarsignerad körbar fil kan få begränsade behörigheter

    Beskrivning: Ett problem med behörighetsvalidering förekom i Managed Configuration. Ett utvecklarsignerat program kan kringgå begränsningar för de begränsade behörigheterna och få ökade privilegier. Problemet åtgärdades genom förbättrad profilhanteringsvalidering.

    CVE-ID

    CVE-2015-7016: Apple

  • mDNSResponder

    Tillgängligt för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: En fjärrangripare kunde orsaka ett oväntat programavslut eller körning av godtycklig kod

    Beskrivning: Flera minnesproblem förekom i tolkningen av DNS-data. Dessa problem åtgärdades genom förbättrad gränskontroll.

    CVE-ID

    CVE-2015-7987: Alexandre Helie

  • mDNSResponder

    Tillgängligt för: OS X El Capitan 10.11

    Effekt: Ett lokalt program kan orsaka att tjänster nekas

    Beskrivning: Ett problem med nollpekarreferens åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7988: Alexandre Helie

  • Net-SNMP

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: En angripare i en privilegierad nätverksposition kan orsaka att tjänsten nekas

    Beskrivning: Flera problem förekom i netsnmp version 5.6. Problemen åtgärdades genom användning av programkorrigeringar som påverkar OS X uppströms.

    CVE-ID

    CVE-2012-6151

    CVE-2014-3565

  • OpenGL

    Tillgänglig för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: Besök på en webbplats med skadligt innehåll kan ge upphov till godtycklig kodkörning

    Beskrivning: Ett minnesfel förekom i hanteringen av OpenGL. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-5924: Apple

  • OpenSSH

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: En lokal användare kan utföra imitationsattacker

    Beskrivning: Ett problem med privilegierad separation förekom i PAM-support. Problemet åtgärdades genom förbättrade auktorisationskontroller.

    CVE-ID

    CVE-2015-6563: Moritz Jodeit på Blue Frost Security GmbH

  • Sandlåda

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: Det kan hända att en lokal användare kan köra godtycklig kod med kärnprivilegier

    Beskrivning: Ett problem med indatavalidering förekom i hanteringen av NVRAM-parametrar. Problemet har åtgärdats genom förbättrad validering.

    CVE-ID

    CVE-2015-5945: Rich Trouton (@rtrouton), Howard Hughes Medical Institute, Apple

  • Skriptredigerare

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: En angripare kan lura användaren att köra ett opålitligt AppleScript

    Beskrivning: Under vissa omständigheter frågade inte Skriptredigerare efter användarens bekräftelse före körning av AppleScripts. Problemet åtgärdades genom att användaren måste bekräfta före körning av AppleScripts.

    CVE-ID

    CVE-2015-7007: Joe Vennix

  • Säkerhet

    Tillgänglig för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5 och OS X El Capitan 10.11

    Effekt: En Apple-signerad binär kan användas för att ladda godtyckliga filer

    Beskrivning: Vissa Apple-signerade körbara filer laddade program från relativa platser. Det åtgärdades genom utökade kontroller i Gatekeeper.

    CVE-ID

    CVE-2015-7024: Patrick Wardle från Synack

  • Säkerhet

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: Bearbetning av ett felaktigt utformat certifikat kan leda till körning av godtycklig kod

    Beskrivning: Flera minnesfel förekom i ASN.1-avkodaren. Dessa problem har åtgärdats genom förbättrad indatavalidering.

    CVE-ID

    CVE-2015-7059: David Keeler på Mozilla

    CVE-2015-7060: Tyson Smith på Mozilla

    CVE-2015-7061: Ryan Sleevi på Google

  • Säkerhet

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: Ett skadligt program kan skriva över filer oförutsägbart

    Beskrivning: Ett dubbelt fritt fel förekom i hanteringen av AtomicBufferedFile-identifierare. Problemet åtgärdades genom förbättrad validering av AtomicBufferedFile-identifierare.

    CVE-ID

    CVE-2015-6983: David Benjamin, Greg Kerr, Mark Mentovai och Sergey Ulanov från Chrome Team

  • SecurityAgent

    Tillgänglig för: OS X El Capitan 10.11

    Effekt: Ett skadligt program kan programmeringsmässigt kontrollera begäranden om åtkomst till nyckelringen

    Beskrivning: Det fanns en metod för program för att skapa syntetiska klick vid nyckelringsbegäranden. Detta åtgärdades genom att syntetiska klick för nyckelringsåtkomstfönster inaktiverades.

    CVE-ID

    CVE-2015-5943

I OS X El Capitan 10.11.1 ingår säkerhetsinnehållet i Safari 9.0.1.

Säkerhetsuppdatering 2015-004 och 2015-007 rekommenderas för alla användare och förbättrar säkerheten i OS X.

Information om produkter som inte tillverkas av Apple eller som finns på oberoende webbplatser som inte står under Apples kontroll eller testats av Apple anges endast i informationssyfte och är inte att betrakta som rekommendationer av eller stöd för produkterna. Apple tar inget ansvar för valet eller nyttjandet av webbplatser eller produkter från tredje part och inte heller för produkternas prestanda. Apple garanterar inte att informationen på webbplatser från tredje part är korrekt eller tillförlitlig. Det finns konkreta risker med att använda internet. Kontakta leverantören om du vill veta mer. Andra företags- och produktnamn kan vara varumärken som tillhör respektive ägare.

Publiceringsdatum: