เกี่ยวกับรายการอัปเดตความปลอดภัย 2014-005

เอกสารนี้อธิบายเกี่ยวกับเนื้อหาความปลอดภัยของรายการอัปเดตความปลอดภัย 2014-005

สามารถดาวน์โหลดและติดตั้งรายการอัปเดตนี้ได้โดยใช้ รายการอัปเดตซอฟต์แวร์ หรือจากเว็บไซต์บริการช่วยเหลือของ Apple

เพื่อเป็นการปกป้องลูกค้าของเรา Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการตรวจสอบแบบเต็มรูปแบบ และมีแพตช์หรือมีการเปิดตัวที่จำเป็นออกมาแล้ว หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับความปลอดภัยของผลิตภัณฑ์ Apple โปรดดูที่หน้าเว็บไซต์การรักษาความปลอดภัยของผลิตภัณฑ์ Apple

ดูข้อมูลเกี่ยวกับคีย์ PGP สำหรับความปลอดภัยของผลิตภัณฑ์ Apple ได้ที่วิธีใช้คีย์ PGP สำหรับความปลอดภัยของผลิตภัณฑ์ Apple

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ต่างๆ จะใช้ CVE ID ในการอ้างอิง หากทำได้

ดูเกี่ยวกับรายการอัปเดตความปลอดภัยอื่นๆ ได้ที่รายการอัปเดตความปลอดภัยของ Apple

รายการอัปเดตความปลอดภัย 2014-005

• Secure Transport

  มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5

  ผลกระทบ: ผู้โจมตีอาจสามารถถอดรหัสข้อมูลที่ปกป้องโดย SSL ได้

  คำอธิบาย: มีการโจมตีการรักษาความลับของ SSL 3.0 ที่ทราบกันดีอยู่แล้วเมื่อชุดการเข้ารหัสใช้การเข้ารหัสแบบบล็อกในโหมด CBC ผู้โจมตีสามารถบังคับให้ใช้ SSL 3.0 ได้ แม้ว่าเซิร์ฟเวอร์จะรองรับ TLS เวอร์ชั่นที่ดีกว่า โดยการบล็อก TLS 1.0 และความพยายามในการเชื่อมต่อรุ่นที่สูงกว่านั้น ปัญหานี้ได้รับการแก้ไขแล้วโดยการปิดใช้งานชุดการเข้ารหัส CBC เมื่อความพยายามในการเชื่อมต่อ TLS ล้มเหลว

  CVE-ID

  CVE-2014-3566 : Bodo Moeller, Thai Duong และ Krzysztof Kotowicz จาก Google Security Team

หมายเหตุ: รายการอัปเดตความปลอดภัย 2014-005 มีเนื้อหาความปลอดภัยของ OS X bash Update 1.0