Om säkerhetsinnehållet i OS X El Capitan 10.11.2, Säkerhetsuppdatering 2015-005 Yosemite och Säkerhetsuppdatering 2015-008 Mavericks

Det här dokumentet beskriver säkerhetsinnehållet i OS X El Capitan 10.11.2, Säkerhetsuppdatering 2015-005 Yosemite och Säkerhetsuppdatering 2015-008 Mavericks.

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. Läs mer om Apples produktsäkerhet på webbplatsen Apple produktsäkerhet.

Mer information om PGP-nyckeln från Apple Product Security finns i artikeln Så här använder du en PGP-nyckel från Apple Product Security.

Om möjligt används CVE-ID:n som referenser till ytterligare information om säkerhetsproblem.

Läs mer om andra säkerhetsuppdateringar i artikeln Säkerhetsuppdateringar från Apple.

OS X El Capitan 10.11.2, Säkerhetsuppdatering 2015-005 Yosemite och Säkerhetsuppdatering 2015-008 Mavericks

  • apache_mod_php

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Flera sårbarheter i PHP

    Beskrivning: Flera sårbarheter förekom i PHP-versioner innan 5.5.29, av vilka den allvarligaste kan leda till fjärrkörning av kod. Dessa åtgärdades genom att PHP uppdaterades till 5.5.30.

    CVE-ID

    CVE-2015-7803

    CVE-2015-7804

  • AppSandbox

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Ett skadligt program kan upprätthålla åtkomst till Kontakter efter återkallad åtkomst

    Beskrivning: Ett problem förekom i sandlådans hantering av hårda länkar. Problemet åtgärdades genom förbättrad hårdhet för appsandlådan.

    CVE-ID

    CVE-2015-7001: Razvan Deaconescu och Mihai Bucicoiu på University POLITEHNICA of Bucharest; Luke Deshotels och William Enck på North Carolina State University; Lucas Vincenzo Davi och Ahmad-Reza Sadeghi på TU Darmstadt

  • Bluetooth

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Det kan hända att en lokal användare kan köra opålitlig kod med systembehörigheter

    Beskrivning: Ett minneskorruptionsfel förekom i Bluetooth HCI-gränssnittet. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7108: Ian Beer på Google Project Zero

  • CFNetwork HTTPProtocol

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: En angripare med en privilegierad nätverksposition kan kringgå HSTS

    Beskrivning: Ett problem med indatavalidering förekom i URL-bearbetningen. Problemet har åtgärdats genom förbättrad URL-validering.

    CVE-ID

    CVE-2015-7094: Tsubasa Iinuma (@llamakko_cafe) på Gehirn Inc. och Muneaki Nishimura (nishimunea)

  • Komprimering

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Besök på en webbplats med skadligt innehåll kan ge upphov till godtycklig kodkörning

    Beskrivning: Ett oinitierat minnesåtkomstproblem förekom i zlib. Det här problemet åtgärdades genom bättre minneshantering och ytterligare validering av zlib-strömmar.

    CVE-ID

    CVE-2015-7054: j00ru

  • Konfigurationsprofiler

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: En lokal angripare kan installera en konfigurationsprofil utan administratörsbehörigheter

    Beskrivning: Ett problem förekom vid installation av konfigurationsprofiler. Problemet åtgärdades genom förbättrade auktorisationskontroller.

    CVE-ID

    CVE-2015-7062: David Mulder på Dell Software

  • CoreGraphics

    Tillgängligt för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5, OS X El Capitan 10.11 och 10.11.1

    Effekt: Bearbetning av en skadlig teckensnittsfil kan leda till körning av opålitlig kod

    Beskrivning: Ett minnesfel förekom i bearbetningen av teckensnittsfiler. Problemet har åtgärdats genom förbättrad indatavalidering.

    CVE-ID

    CVE-2015-7105: John Villamil (@day6reak), Yahoo Pentest Team

  • Uppspelning av CoreMedia

    Tillgängligt för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5, OS X El Capitan 10.11 och 10.11.1

    Effekt: Besök på en webbplats med skadligt innehåll kan ge upphov till godtycklig kodkörning

    Beskrivning: Flera minnesfel förekom i bearbetningen av felformaterade mediefiler. Dessa problem åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7074: Apple

    CVE-2015-7075

  • Skivavbilder

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Det kan hända att en lokal användare kan köra opålitlig kod med kärnbehörighet

    Beskrivning: Ett minnesfel förekom i tolkning av skivbilder. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7110: Ian Beer på Google Project Zero

  • EFI

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Det kan hända att en lokal användare kan köra opålitlig kod med systembehörigheter

    Beskrivning: Ett problem med validering av sökvägar förekom i kärnladdaren. Problemet åtgärdades genom förbättrad sanering av miljön.

    CVE-ID

    CVE-2015-7063: Apple

  • Filbokmärke

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: En process i sandlådeläge kan kringgå sandlådebegränsningarna

    Beskrivning: Ett problem med validering av sökvägar förekom i programomfattande bokmärken. Problemet åtgärdades genom förbättrad sanering av miljön.

    CVE-ID

    CVE-2015-7071: Apple

  • Hypervisor

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Det kan hända att en lokal användare kan köra opålitlig kod med systembehörigheter

    Beskrivning: Ett problem med tidigare använt minne förekom i hanteringen av VM-objekt. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7078: Ian Beer på Google Project Zero

  • iBooks

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Tolkning av en skadlig iBooks-fil kan leda till att användarinformation avslöjas

    Beskrivning: Det fanns ett problem med XML External Entity-referenser vid iBook-tolkning. Det här problemet åtgärdades genom förbättrad tolkning.

    CVE-ID

    CVE-2015-7081: Behrouz Sadeghipour (@Nahamsec) och Patrik Fehrenbach (@ITSecurityguard)

  • ImageIO

    Tillgängligt för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5, OS X El Capitan 10.11 och 10.11.1

    Effekt: Bearbetning av en skadlig bildfil kan ge upphov till körning av opålitlig kod

    Beskrivning: Ett minnesfel förekom i hanteringen av ImageIO. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7053: Apple

  • Intel Graphics-drivrutin

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Det kan hända att en lokal användare kan köra opålitlig kod med systembehörigheter

    Beskrivning: Ett problem med nollpekarreferens åtgärdades genom förbättrad indataverifiering.

    CVE-ID

    CVE-2015-7076: Juwei Lin på TrendMicro, beist och ABH på BoB och JeongHoon Shin@A.D.D

  • Intel Graphics-drivrutin

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Det kan hända att en lokal användare kan köra opålitlig kod med systembehörigheter

    Beskrivning: Ett minnesfel förekom i Intel Graphics-drivrutinen. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7106: Ian Beer på Google Project Zero, Juwei Lin på TrendMicro, beist och ABH på BoB och JeongHoon Shin@A.D.D

  • Intel Graphics-drivrutin

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Det kan hända att en lokal användare kan köra opålitlig kod med systembehörigheter

    Beskrivning: Ett out of bounds-minnesåtkomstproblem förekom i Intel Graphics-drivrutinen. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7077: Ian Beer på Google Project Zero

  • IOAcceleratorFamily

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Ett skadligt program kan köra godtycklig kod med systembehörighet

    Beskrivning: Ett minneskorruptionsfel förekom i IOAcceleratorFamily. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7109: Juwei Lin på TrendMicro

  • IOHIDFamily

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Ett skadligt program kan köra godtycklig kod med systembehörighet

    Beskrivning: Flera minnesfel förekom i IOHIDFamily API. Dessa problem åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7111: beist och ABH på BoB

    CVE-2015-7112: Ian Beer på Google Project Zero

  • IOKit SCSI

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Ett skadligt program kan köra opålitlig kod med kärnbehörighet

    Beskrivning: En nollpekarreferens förekom vid hanteringen av en särskild användarklienttyp. Problemet har åtgärdats genom förbättrad validering.

    CVE-ID

    CVE-2015-7068: Ian Beer på Google Project Zero

  • IOThunderboltFamily

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: En lokal användare kan orsaka att tjänster nekas i systemet

    Beskrivning: En nollpekarreferens förekom i IOThunderboltFamilys hantering av vissa användarklienttyper. Problemet har åtgärdats genom förbättrad validering av IOThunderboltFamily-kontexter.

    CVE-ID

    CVE-2015-7067: Juwei Lin på TrendMicro

  • Kärna

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Ett lokalt program kan orsaka att tjänster nekas

    Beskrivning: Flera problem där tjänster nekades åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7040: Lufeng Li på Qihoo 360 Vulcan Team

    CVE-2015-7041: Lufeng Li på Qihoo 360 Vulcan Team

    CVE-2015-7042: Lufeng Li på Qihoo 360 Vulcan Team

    CVE-2015-7043: Tarjei Mandt (@kernelpool)

  • Kärna

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Det kan hända att en lokal användare kan köra opålitlig kod med kärnbehörighet

    Beskrivning: Flera minneskorruptionsproblem förekom i kärnan. Dessa problem åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7083: Ian Beer på Google Project Zero

    CVE-2015-7084: Ian Beer på Google Project Zero

  • Kärna

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Det kan hända att en lokal användare kan köra opålitlig kod med kärnbehörighet

    Beskrivning: Ett problem förekom i tolkningen av mach-meddelanden. Problemet åtgärdades genom ytterligare validering av mach-meddelanden.

    CVE-ID

    CVE-2015-7047: Ian Beer på Google Project Zero

  • kext-verktyg

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Det kan hända att en lokal användare kan köra opålitlig kod med kärnbehörighet

    Beskrivning: Ett problem med validering förekom vid laddning av kärntillägg. Problemet åtgärdades med ytterligare verifiering.

    CVE-ID

    CVE-2015-7052: Apple

  • Nyckelhanterare

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Ett skadligt program kan imitera Nyckelring-servern.

    Beskrivning: Ett problem förekom i hur Nyckelhanterare interagerade med Keychain Agent. Problemet åtgärdades genom borttagning av äldre funktioner.

    CVE-ID

    CVE-2015-7045: Luyi Xing och XiaoFeng Wang på Indiana University Bloomington, Xiaolong Bai på Indiana University Bloomington och Tsinghua University, Tongxin Li på Peking University, Kai Chen på Indiana University Bloomington och Institute of Information Engineering, Xiaojing Liao på Georgia Institute of Technology, Shi-Min Hu på Tsinghua University och Xinhui Han på Peking University

  • libarchive

    Tillgängligt för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5, OS X El Capitan 10.11 och 10.11.1

    Effekt: Besök på en webbplats med skadligt innehåll kan ge upphov till godtycklig kodkörning

    Beskrivning: Ett minnesfel förekom i bearbetningen av arkiv. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2011-2895: @practicalswift

  • libc

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Bearbetning av ett felaktigt utformat paket kan ge upphov till körning av godtycklig kod

    Beskrivning: Flera buffertspill förekom i standardbiblioteket C. Dessa problem åtgärdades genom förbättrad gränskontroll.

    CVE-ID

    CVE-2015-7038 : Brian D. Wells of E. W. Scripps, Narayan Subramanian of Symantec Corporation/Veritas LLC

    • CVE-2015-7039: Maksymilian Arciemowicz (CXSECURITY.COM)

      Posten uppdaterades 3 mars, 2017

  • libexpat

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Flera sårbarheter i expat

    Beskrivning: Flera sårbarheter förekom i expat-versioner innan 2.1.0. Dessa åtgärdades genom att uppdatera expat till version 2.1.0.

    CVE-ID

    CVE-2012-0876: Vincent Danen

    CVE-2012-1147: Kurt Seifried

    CVE-2012-1148: Kurt Seifried

  • libxml2

    Tillgängligt för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5, OS X El Capitan 10.11 och 10.11.1

    Effekt: Tolkning av ett skadligt XML-dokument kan leda till att användarinformation avslöjas

    Beskrivning: Ett problem med minneskorruption fanns i tolkningen av XML-filer. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7115 : Wei Lei och Liu Yang of Nanyang Technological University

    CVE-2015-7116 : Wei Lei och Liu Yang of Nanyang Technological University

  • OpenGL

    Tillgängligt för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5, OS X El Capitan 10.11 och 10.11.1

    Effekt: Besök på en webbplats med skadligt innehåll kan ge upphov till godtycklig kodkörning

    Beskrivning: Flera minnesfel förekom i OpenGL. Dessa problem åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7064: Apple

    CVE-2015-7065: Apple

    CVE-2015-7066: Tongbo Luo och Bo Qu på Palo Alto Networks

  • OpenLDAP

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: En icke autentiserad fjärrangripare kan orsaka att tjänsten nekas

    Beskrivning: Ett indatavalideringsproblem förekom i OpenLDAP. Problemet har åtgärdats genom förbättrad indatavalidering.

    CVE-ID

    CVE-2015-6908

  • OpenSSH

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Flera sårbarheter i LibreSSL

    Beskrivning: Flera sårbarheter förekom i LibreSSL-versioner innan 2.1.8. De åtgärdades genom att LibreSSL uppdaterades till 2.1.8.

    CVE-ID

    CVE-2015-5333

    CVE-2015-5334

  • Överblick

    Tillgängligt för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5, OS X El Capitan 10.11 och 10.11.1

    Effekt: Öppning av en felaktigt utformad iWork-fil kan leda till körning av opålitlig kod.

    Beskrivning: Ett minnesfel förekom i hantering av iWork-filer. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7107

  • Sandlåda

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Ett skadligt program med rotbehörigheter kan kringgå kärnadressens slumpmässiga utrymmeslayout

    Beskrivning: Ett problem med otillräckligt privilegierad separation förekom i xnu. Problemet åtgärdades genom förbättrade auktorisationskontroller.

    CVE-ID

    CVE-2015-7046: Apple

  • Säkerhet

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: En fjärrangripare kan orsaka att program avslutas oväntat eller att opålitlig kod körs

    Beskrivning: Ett minnesfel förekom i hanteringen av SSL-handskakningar. Problemet åtgärdades genom förbättrad minneshantering.

    CVE-ID

    CVE-2015-7073: Benoit Foucher på ZeroC, Inc.

  • Säkerhet

    Tillgängligt för: OS X Mavericks 10.9.5 och OS X Yosemite 10.10.5

    Effekt: Bearbetning av ett skadligt certifikat kan ge upphov till körning av godtycklig kod

    Beskrivning: Flera minnesfel förekom i ASN.1-avkodaren. Dessa problem har åtgärdats genom förbättrad indatavalidering

    CVE-ID

    CVE-2015-7059: David Keeler på Mozilla

    CVE-2015-7060: Tyson Smith på Mozilla

    CVE-2015-7061: Ryan Sleevi på Google

  • Säkerhet

    Tillgängligt för: OS X Mavericks 10.9.5, OS X Yosemite 10.10.5, OS X El Capitan 10.11 och 10.11.1

    Effekt: Ett skadligt program kunde få åtkomst till en användares nyckelringsobjekt

    Beskrivning: Ett problem förekom i valideringen av åtkomstkontrollistor för objekt i nyckelringen. Problemet åtgärdades genom förbättrade kontroller av åtkomstkontrollistor.

    CVE-ID

    CVE-2015-7058

  • Systemintegritetsskydd

    Tillgängligt för: OS X El Capitan 10.11 och 10.11.1

    Effekt: Ett skadligt program med rotbehörigheter kan köra godtycklig kod med systembehörighet

    Beskrivning: Ett problem med behörigheter förekom i hanteringen av union mounts. Problemet åtgärdades genom förbättrade auktorisationskontroller.

    CVE-ID

    CVE-2015-7044: MacDefender

Anteckningar

  • Säkerhetsuppdatering 2015-005 och 2015-008 rekommenderas till alla användare och ökar säkerheten av OS X. Efter att ha installerat uppdateringen är webbinsticksfilen QuickTime 7 inte längre aktiverad som standard. Lär dig vad du kan göra om du fortfarande behöver den här äldre insticksfilen.

  • I OS X El Capitan 10.11.2 ingår säkerhetsinnehållet i Safari 9.0.2.

Information om produkter som inte tillverkas av Apple eller som finns på oberoende webbplatser som inte står under Apples kontroll eller testats av Apple anges endast i informationssyfte och är inte att betrakta som rekommendationer av eller stöd för produkterna. Apple tar inget ansvar för valet eller nyttjandet av webbplatser eller produkter från tredje part och inte heller för produkternas prestanda. Apple garanterar inte att informationen på webbplatser från tredje part är korrekt eller tillförlitlig. Kontakta leverantören för mer information.

Publiceringsdatum: