เกี่ยวกับเนื้อหาความปลอดภัยของ OS X Lion v10.8.5 และรายการอัปเดตความปลอดภัย 2011-006

เอกสารนี้จะอธิบายเนื้อหาเกี่ยวกับความปลอดภัยของ OS X Lion v10.7.2 และรายการอัปเดตความปลอดภัย 2011-006

เอกสารนี้จะอธิบายเนื้อหาเกี่ยวกับความปลอดภัยของ OS X v10.7.2 และรายการอัปเดตความปลอดภัย 2011-006 ซึ่งสามารถดาวน์โหลดและติดตั้งผ่านการตั้งค่ารายการอัปเดตซอฟต์แวร์ หรือจากรายการดาวน์โหลดของ Apple

เพื่อเป็นการปกป้องลูกค้าของเรา Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการสืบสวนโดยละเอียด และมีแพตช์หรือมีการเปิดตัวที่จำเป็นออกมาแล้ว หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับความปลอดภัยของผลิตภัณฑ์ Apple โปรดดูที่เว็บไซต์ การรักษาความปลอดภัยของผลิตภัณฑ์ Apple

สำหรับข้อมูลเกี่ยวกับ PGP Key สำหรับความปลอดภัยของผลิตภัณฑ์ Apple โปรดดู "วิธีใช้ PGP Key สำหรับความปลอดภัยของผลิตภัณฑ์ Apple"

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ต่างๆ จะใช้ CVE ID ในการอ้างอิง หากทำได้

หากต้องการเรียนรู้เกี่ยวกับการอัปเดตความปลอดภัยอื่นๆ โปรดดู "การอัปเดตความปลอดภัยของ Apple"
 

OS X Lion v10.7.2 และรายการอัปเดตความปลอดภัย 2011-006

  • Apache

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: มีช่องโหว่จำนวนมากใน Apache

    คำอธิบาย: Apache ได้รับการอัปเดตเป็นเวอร์ชัน 2.2.20 เพื่อแก้ปัญหาช่องโหว่จำนวนมาก ซึ่งช่องโหว่ที่ร้ายแรงที่สุดอาจทำให้ต้องปฏิเสธการให้บริการ แต่ CVE-2011-0419 ไม่มีผลกับระบบ OS X Lion สามารถดูข้อมูลเพิ่มเติมผ่านทางเว็บไซต์ของ Apache ที่ http://httpd.apache.org/

    CVE-ID

    CVE-2011-0419

    CVE-2011-3192

  • แอปพลิเคชั่นไฟร์วอลล์

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: การใช้งานชื่อไบนารี่ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้สามารถใช้รหัสที่มีสิทธิ์ในระดับที่สูงขึ้นได้โดยอำเภอใจ

    คำอธิบาย: มีข้อมูลช่องโหว่ของสตริงรูปแบบอยู่ในรายการบันทึกดีบักของแอปพลิเคชั่นไฟร์วอลล์

    CVE-ID

    CVE-2011-0185 : ผู้รายงานแบบไม่ระบุชื่อ

  • ATS

    มีให้สำหรับ: OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: การดูหรือดาวน์โหลดเอกสารที่มีแบบอักษรที่ออกแบบและฝังมาเพื่อประสงค์ร้ายอาจทำให้สามารถใช้รหัสได้โดยอำเภอใจ

    คำอธิบาย: มีปัญหา Signedness ในการจัดการแบบอักษรประเภทที่ 1 ของ ATS ปัญหานี้ไม่มีผลกระทบต่อระบบก่อนหน้า OS X Lion

    CVE-ID

    CVE-2011-3437

  • ATS

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: การดูหรือดาวน์โหลดเอกสารที่มีแบบอักษรที่ออกแบบและฝังมาเพื่อประสงค์ร้ายอาจทำให้สามารถใช้รหัสได้โดยอำเภอใจ

    คำอธิบาย: มีปัญหาหน่วยความจำนอกระบบในการจัดการแบบอักษรประเภทที่ 1 ของ ATS ปัญหานี้ไม่มีผลกระทบต่อระบบ OS X Lion

    CVE-ID

    CVE-2011-0229 : Will Dormann แห่ง CERT/CC

  • ATS

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: แอปพลิเคชั่นที่ใช้ ATSFontDeactivate API อาจมีความเสี่ยงให้เกิดการหยุดแอปพลิเคชั่นโดยไม่คาดหมาย หรือการนำรหัสมาใช้โดยอำเภอใจ

    คำอธิบาย: มีปัญหาบัฟเฟอร์ล้นใน ATSFontDeactivate API

    CVE-ID

    CVE-2011-0230 : Steven Michaud แห่ง Mozilla

  • BIND

    มีให้สำหรับ: OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: มีช่องโหว่จำนวนมากใน BIND 9.7.3

    คำอธิบาย: มีปัญหาจำนวนมากที่ต้องปฏิเสธการให้บริการใน BIND 9.7.3 ปัญหาเหล่านี้แก้ไขได้ด้วยการอัปเดต BIND เป็นเวอร์ชั่น 9.7.3-P3

    CVE-ID

    CVE-2011-1910

    CVE-2011-2464

  • BIND

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: มีช่องโหว่จำนวนมากใน BIND

    คำอธิบาย: มีปัญหาจำนวนมากที่ต้องปฏิเสธการให้บริการใน BIND ปัญหาเหล่านี้แก้ไขได้ด้วยการอัปเดต BIND เป็นเวอร์ชั่น 9.6-ESV-R4-P3

    CVE-ID

    CVE-2009-4022

    CVE-2010-0097

    CVE-2010-3613

    CVE-2010-3614

    CVE-2011-1910

    CVE-2011-2464

  • นโยบายความน่าเชื่อถือของใบรับรอง

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: ใบรับรองในระดับรูทได้รับการอัปเดต

    คำอธิบาย: มีการเพิ่มใบรับรองที่น่าเชื่อถือจำนวนมากในรายการในระดับรูทของระบบ ใบรับรองที่มีอยู่จำนวนมากได้รับการอัปเดตเป็นเวอร์ชั่นล่าสุด คุณสามารถดูรายการในระดับรูทที่ระบบรู้จักทั้งหมดได้ผ่านทางแอปพลิเคชั่น การเข้าถึงพวงกุญแจ

  • CFNetwork

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: Safari อาจเก็บคุ้กกี้ไว้ แม้จะไม่ได้ตั้งค่าให้ยอมรับ

    คำอธิบาย: มีข้อมูลปัญหาการซิงโครไนซ์อยู่ในนโยบายการจัดการคุกกี้ของ CFNetwork การตั้งค่าคุกกี้ของ Safari อาจไม่ได้ถูกนำมาใช้ ซึ่งทำให้เว็บไซต์ต่างๆ สามารถตั้งค่าให้คุกกี้ที่จะถูกบล็อคเหล่านั้นให้มีผลบังคับใช้ได้มากกว่า การอัปเดตนี้จะแก้ปัญหาดังกล่าวโดยการปรับปรุงการจัดการพื้นที่จัดเก็บคุกกี้ให้ดียิ่งขึ้น

    CVE-ID

    CVE-2011-0231 : Martin Tessarek, Steve Riggins แห่ง Geeks R Us, Justin C. Walker และ Stephen Creswell

  • CFNetwork

    มีให้สำหรับ: OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: การเข้าชมเว็บไซต์ที่สร้างขึ้นเพื่อประสงค์ร้ายอาจทำให้มีการเปิดเผยข้อมูลสำคัญ

    คำอธิบาย: มีปัญหาอยู่ในการจัดการคุกกี้ HTTP ของ CFNetwork เมื่อเข้าใช้งาน URL HTTP หรือ HTTPS ที่ออกแบบมาเพื่อประสงค์ร้าย CFNetwork อาจส่งคุกกี้สำหรับโดเมนอย่างไม่ถูกต้อง ให้ไปยังเซิร์ฟเวอร์ที่ไม่ใช่ของโดเมนนั้นๆ ปัญหานี้ไม่มีผลกระทบต่อระบบก่อนหน้า OS X Lion

    CVE-ID

    CVE-2011-3246 : Erling Ellingsen แห่ง Facebook

  • CoreFoundation

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: การดูเว็บไซต์หรืออีเมลที่ออกมาแบบมาเพื่อประสงค์ร้าย อาจทำให้แอปพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ

    คำอธิบาย: มีปัญหาหน่วยความจำเสียหายในการจัดการการโทเค็นสตริงของ CoreFoundation ปัญหานี้ไม่มีผลกระทบต่อระบบ OS X Lion การอัปเดตนี้จะแก้ปัญหาดังกล่าวโดยการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น

    CVE-ID

    CVE-2011-0259 : Apple

  • CoreMedia

    มีให้สำหรับ: OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: การเข้าชมเว็บไซต์ที่สร้างขึ้นเพื่อประสงค์ร้ายอาจทำให้มีการเปิดเผยข้อมูลวิดีโอต่อไซต์อื่นได้

    คำอธิบาย: มีปัญหาข้ามโดเมนในการจัดการการเปลี่ยนเส้นทางระหว่างไซต์ของ CoreMedia ปัญหานี้แก้ไขได้โดยการปรับปรุงการติดตามที่มาให้ดียิ่งขึ้น

    CVE-ID

    CVE-2011-0187 : Nirankush Panchbhai และ Microsoft Vulnerability Research (MSVR)

  • CoreMedia

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: การดูไฟล์ภาพยนตร์ที่ออกมาแบบมาเพื่อประสงค์ร้าย อาจทำให้แอปพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ

    คำอธิบาย: มีปัญหาหน่วยความจำเสียหายจำนวนมากในการจัดการไฟล์ภาพยนตร์ของ QuickTime ปัญหาเหล่านี้ไม่มีผลกระทบต่อระบบ OS X Lion

    CVE-ID

    CVE-2011-0224 : Apple

  • CoreProcesses

    มีให้สำหรับ: OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: ผู้ที่สามารถเข้าใช้งานระบบอาจสามารถบายพาสหน้าจอที่ล็อคอยู่บางส่วนได้

    คำอธิบาย: หน้าต่างของระบบ เช่น ข้อความแจ้งรหัสผ่าน VPN ที่ปรากฏขึ้นขณะหน้าจอล็อคอยู่อาจยอมรับการกดคีย์บอร์ดแม้ว่าหน้าจอจะถูกล็อคอยู่ ปัญหานี้แก้ไขได้โดยการป้องกันไม่ให้หน้าต่างของระบบร้องขอการกดคีย์บอร์ดขณะที่หน้าจอล็อคอยู่ ปัญหานี้ไม่มีผลกระทบต่อระบบก่อนหน้า OS X Lion

    CVE-ID

    CVE-2011-0260 : Clint Tseng แห่ง University of Washington, Michael Kobb และ Adam Kemp

  • CoreStorage

    มีให้สำหรับ: OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: การแปลงไปเป็น FileVault ไม่ลบข้อมูลที่มีอยู่ทั้งหมดออก

    คำอธิบาย: หลังจากเปิดใช้งาน FileVault แล้ว ข้อมูลประมาณ 250 MB ขณะเริ่มต้นโวลุ่มไม่ได้รับการเข้ารหัสในดิสก์ในพื้นที่ที่ไม่ได้ใช้งาน เฉพาะข้อมูลที่อยู่ในโวลุ่มก่อนเปิดใช้งาน FileVault เท่านั้นที่ไม่ได้รับการเข้ารหัส ปัญหานี้แก้ไขได้โดยการลบพื้นที่นี้ออกขณะเปิดใช้งาน FileVault และในการใช้งานเป็นครั้งแรกสำหรับโวลุ่มที่เข้ารหัสที่ได้รับผลกระทบจากปัญหานี้ ปัญหานี้ไม่มีผลกระทบต่อระบบก่อนหน้า OS X Lion

    CVE-ID

    CVE-2011-3212 : Judson Powers แห่ง ATC-NY

  • ระบบไฟล์

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: ผู้โจมตีที่มีสิทธิ์ในระดับเครือข่ายอาจเข้าจัดการกับใบรับรองเซิร์ฟเวอร์ HTTPS ซึ่งทำให้มีการเปิดเผยข้อมูลที่สำคัญได้

    คำอธิบาย: มีปัญหาในการจัดการโวลุ่ม WebDAV ในเซิร์ฟเวอร์ HTTPS หากเซิร์ฟเวอร์แสดงสายใบรับรองที่ไม่สามารถตรวจสอบได้โดยอัตโนมัติ ระบบจะแสดงข้อความเตือนและปิดการเชื่อมต่อ ถ้าผู้ใช้คลิกปุ่ม "ดำเนินการต่อ" ในกรอบข้อความเตือน ใบรับรองทั้งหมดที่มาพร้อมการเชื่อมต่อจะได้รับการยอมรับให้ไปยังเซิร์ฟเวอร์นั้นๆ ผู้โจมตีที่มีสิทธิ์ในระดับเครือข่ายอาจเข้าจัดการกับการเชื่อมต่อเพื่อให้ได้ข้อมูลสำคัญหรือดำเนินการบนเซิร์ฟเวอร์ในนามของผู้ใช้ การอัปเดตนี้จะแก้ปัญหาดังกล่าวโดยการตรวจสอบว่าใบรับรองที่ได้รับในการเชื่อมต่อครั้งที่สองเป็นใบรับรองเดียวกันกับใบที่ได้แสดงต่อผู้ใช้ไว้หรือไม่

    CVE-ID

    CVE-2011-3213 : Apple

  • IOGraphics

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: ผู้ที่สามารถเข้าใช้งานอาจสามารถบายพาสหน้าจอที่ล็อคอยู่ได้

    คำอธิบาย: มีปัญหากับหน้าจอที่ล็อคอยู่เมื่อใช้กับจอภาพ Apple Cinema เมื่อต้องใช้รหัสผ่านในการปลุกจากการพักเครื่อง ผู้ที่สามารถเข้าใช้งานอาจสามารถเข้าถึงระบบได้โดยไม่ต้องป้อนรหัสผ่านหากระบบอยู่ในโหมดพักหน้าจอ การอัปเดตนี้จะแก้ปัญหาดังกล่าวโดยการตรวจสอบให้แน่ใจว่าหน้าจอที่ล็อคอยู่มีการเปิดใช้งานโหมดพักหน้าจออย่างถูกต้องแล้ว ปัญหานี้ไม่มีผลกระทบต่อระบบ OS X Lion

    CVE-ID

    CVE-2011-3214 : Apple

  • iChat Server

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: ผู้โจมตีจากระยะไกลอาจทำให้เซิร์ฟเวอร์ Jabber ไม่ได้ใช้ทรัพยากรของระบบตามสัดส่วน

    คำอธิบาย: มีปัญหาในการจัดการเอนทิตีภายนอกของ XML ใน jabberd2 ซึ่งเป็นเซิร์ฟเวอร์สำหรับ Extensible Messaging and Presence Protocol (XMPP) jabberd2 จะขยายเอนทิตีภายนอกในคำขอขาเข้า ซึ่งจะทำให้ผู้โจมตีสามารถใช้ทรัพยากรของระบบได้อย่างรวดเร็ว และปฏิเสธการให้บริการแก่ผู้ใช้เซิร์ฟเวอร์ที่ถูกต้อง การอัปเดตนี้จะแก้ปัญหาดังกล่าวโดยการปิดใช้งานการขยายเอนทิตีในคำขอขาเข้า

    CVE-ID

    CVE-2011-1755

  • เคอร์เนล

    มีให้สำหรับ: OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: ผู้ที่สามารถเข้าใช้งานอาจสามารถเข้าถึงรหัสผ่านของผู้ใช้ได้

    คำอธิบาย: ข้อผิดพลาดลอจิกในการป้องกัน DMA ของเคอร์เนลให้อนุญาต FireWire DMA ที่หน้าต่างเข้าสู่ระบบ บู๊ต และปิดเครื่อง แม้จะไม่ได้อยู่ที่หน้าจอล็อคก็ตาม การอัปเดตนี้จะแก้ปัญหาดังกล่าวโดยการป้องกัน FireWire DMA ในทุกสถานะเมื่อผู้ใช้ไม่ได้เข้าสู่ระบบ

    CVE-ID

    CVE-2011-3215 : Passware, Inc.

  • เคอร์เนล

    มีให้สำหรับ: OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: ผู้ใช้ที่ไม่มีสิทธิ์ก็อาจจะสามารถลบไฟล์ของผู้ใช้อื่นในไดเรกทอรีที่ใช้ร่วมกันได้

    คำอธิบาย: มีข้อผิดพลาดลอจิกในการจัดการกับการลบไฟล์ของเคอร์เนลในไดเรกทอรีที่มีสติ๊กกี้บิต

    CVE-ID

    CVE-2011-3216 : Gordon Davisson of Crywolf, Linc Davis, R. Dormer และ Allan Schmid และ Oliver Jeckel แห่ง brainworks Training

  • libsecurity

    มีให้สำหรับ: OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: การดูเว็บไซต์หรืออีเมลที่ออกมาแบบมาเพื่อประสงค์ร้าย อาจทำให้แอปพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ

    คำอธิบาย: เกิดข้อผิดพลาดในการจัดการปัญหาขณะวิเคราะห์การขยายรายการเพิกถอนใบรับรองที่ไม่ได้มาตรฐาน

    CVE-ID

    CVE-2011-3227 : Richard Godbee แห่ง Virginia Tech

  • Mailman

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: มีช่องโหว่จำนวนมากใน Mailman 2.1.14

    คำอธิบาย: มีปัญหาการส่งลิงก์ฝังสคริปต์ให้ไปยังไซต์อื่น (Cross-site Scripting) จำนวนมากใน Mailman 2.1.14 ปัญหาเหล่านี้ได้รับการแก้ไขโดยการปรับปรุงการเข้ารหัสอักขระของเอาท์พุต HTML ให้ดียิ่งขึ้น ดูข้อมูลเพิ่มเติมได้ที่ไซต์ Mailman ที่ http://mail.python.org/pipermail/mailman-announce/2011-February/000158.html ปัญหานี้ไม่มีผลกระทบต่อระบบ OS X Lion

    CVE-ID

    CVE-2011-0707

  • MediaKit

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: การเปิดภาพดิสก์ที่ออกแบบมาเพื่อประสงค์ร้าย อาจทำให้แอปพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ

    คำอธิบาย: มีปัญหาหน่วยความจำเสียหายจำนวนมากในการจัดการภาพดิสก์ ปัญหาเหล่านี้ไม่มีผลกระทบต่อระบบ OS X Lion

    CVE-ID

    CVE-2011-3217 : Apple

  • Open Directory

    มีให้สำหรับ: OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: ผู้ใช้รายใดก็ตามอาจสามารถดูข้อมูลรหัสผ่านของผู้ใช้อื่นในเครื่องได้

    คำอธิบาย: มีปัญหาในการควบคุมสิทธิ์การเข้าใช้งาน Open Directory ปัญหานี้ไม่มีผลกระทบต่อระบบก่อนหน้า OS X Lion

    CVE-ID

    CVE-2011-3435 : Arek Dreyer แห่ง Dreyer Network Consultants, Inc และ Patrick Dunstan ที่ defenseindepth.net

  • Open Directory

    มีให้สำหรับ: OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: ผู้ใช้ที่รับรองความถูกต้องแล้วอาจเปลี่ยนรหัสผ่านของบัญชีนั้นโดยไม่ได้ป้อนรหัสผ่านปัจจุบัน

    คำอธิบาย: มีปัญหาในการควบคุมสิทธิ์การเข้าใช้งาน Open Directory ปัญหานี้ไม่มีผลกระทบต่อระบบก่อนหน้า OS X Lion

    CVE-ID

    CVE-2011-3436 : Patrick Dunstan ที่ defenceindepth.net

  • Open Directory

    มีให้สำหรับ: OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: ผู้ใช้อาจสามารถเข้าสู่ระบบโดยไม่ต้องใช้รหัสผ่านได้

    คำอธิบาย: เมื่อ Open Directory เชื่อมต่อกับเซิร์ฟเวอร์ LDAPv3 โดยใช้ RFC2307 หรือการแม็ปที่กำหนดเอง ซึ่งในกรณีดังกล่าวจะไม่มีแอตทริบิวต์ AuthenticationAuthority สำหรับผู้ใช้ ผู้ใช้ LDAP อาจได้รับอนุญาตให้เข้าสู่ระบบโดยไม่ต้องใช้รหัสผ่านได้ ปัญหานี้ไม่มีผลกระทบต่อระบบก่อนหน้า OS X Lion

    CVE-ID

    CVE-2011-3226 : Jeffry Strunk แห่ง The University of Texas at Austin, Steven Eppler แห่ง Colorado Mesa University, Hugh Cole-Baker และ Frederic Metoz แห่ง Institut de Biologie Structurale

  • PHP

    มีให้สำหรับ: OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: การดูไฟล์ PDF ที่ออกมาแบบมาเพื่อประสงค์ร้าย อาจทำให้แอปพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ

    คำอธิบาย: มีปัญหา Signedness ในการจัดการแบบอักษรประเภทที่ 1 ของ FreeType ปัญหานี้แก้ไขได้ด้วยการอัปเดต FreeType ให้เป็นเวอร์ชั่น 2.4.6 ปัญหานี้ไม่ได้มีผลต่อระบบก่อนหน้า OS X Lion สามารถดูข้อมูลเพิ่มเติมผ่านทางเว็บไซต์ของ FreeType ที่ http://www.freetype.org/

    CVE-ID

    CVE-2011-0226

  • PHP

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: มีช่องโหว่จำนวนมากใน libpng 1.4.3

    คำอธิบาย: libpng ได้รับการอัปเดตเป็นเวอร์ชั่น 1.5.4 เพื่อแก้ปัญหาช่องโหว่จำนวนมาก ซึ่งช่องโหว่ที่ร้ายแรงที่สุดอาจทำให้สามารถใช้รหัสได้โดยอำเภอใจ สามารถดูข้อมูลเพิ่มเติมได้ผ่านเว็บไซต์ libpng ที่ http://www.libpng.org/pub/png/libpng.html

    CVE-ID

    CVE-2011-2690

    CVE-2011-2691

    CVE-2011-2692

  • PHP

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: มีช่องโหว่จำนวนมากใน PHP 5.3.4

    คำอธิบาย: PHP ได้รับการอัปเดตเป็นเวอร์ชั่น 5.3.6 เพื่อแก้ปัญหาช่องโหว่จำนวนมาก ซึ่งช่องโหว่ที่ร้ายแรงที่สุดอาจทำให้สามารถใช้รหัสได้โดยอำเภอใจ ปัญหานี้ไม่มีผลกระทบต่อระบบ OS X Lion สามารถดูข้อมูลเพิ่มเติมผ่านทางเว็บไซต์ของ PHP ที่ http://www.php.net/

    CVE-ID

    CVE-2010-3436

    CVE-2010-4645

    CVE-2011-0420

    CVE-2011-0421

    CVE-2011-0708

    CVE-2011-1092

    CVE-2011-1153

    CVE-2011-1466

    CVE-2011-1467

    CVE-2011-1468

    CVE-2011-1469

    CVE-2011-1470

    CVE-2011-1471

  • postfix

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: มีช่องโหว่จำนวนมากใน Postfix

    คำอธิบาย: Postfix ได้รับการอัปเดตให้เป็นเวอร์ชั่น 2.5.14 เพื่อแก้ปัญหาช่องโหว่จำนวนมาก ซึ่งช่องโหว่ที่ร้ายแรงที่สุดอาจทำให้ผู้โจมตีที่มีสิทธิ์ในระดับเครือข่ายสามารถที่จะเข้าจัดการกับเซสชันเมลเพื่อรับข้อมูลสำคัญได้จากการรับส่งข้อมูลที่มีการเข้ารหัส ปัญหาเหล่านี้ไม่น่าจะมีผลกระทบต่อระบบ OS X Lion ดูข้อมูลเพิ่มเติมได้ที่ไซต์ Postfix ที่ http://www.postfix.org/announcements/postfix-2.7.3.html

    CVE-ID

    CVE-2011-0411

    CVE-2011-1720

  • Python

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: มีช่องโหว่จำนวนมากใน Python

    คำอธิบาย: มีช่องโหว่จำนวนมากใน Python ซึ่งช่องโหว่ที่ร้ายแรงที่สุดอาจทำให้สามารถใช้รหัสได้โดยอำเภอใจ การอัปเดตนี้จะแก้ปัญหาดังกล่าวโดยการปรับใช้แพตช์ต่างๆ จากโปรเจ็กต์ Python มีข้อมูลเพิ่มเติมให้ผ่านไซต์ Python ที่ http://www.python.org/download/releases/

    CVE-ID

    CVE-2010-1634

    CVE-2010-2089

    CVE-2011-1521

  • QuickTime

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: การดูไฟล์ภาพยนตร์ที่ออกมาแบบมาเพื่อประสงค์ร้าย อาจทำให้แอปพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ

    คำอธิบาย: มีปัญหาหน่วยความจำเสียหายจำนวนมากในการจัดการไฟล์ภาพยนตร์ของ QuickTime

    CVE-ID

    CVE-2011-3228 : Apple

  • QuickTime

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: การดูไฟล์ภาพยนตร์ที่ออกมาแบบมาเพื่อประสงค์ร้าย อาจทำให้แอปพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ

    คำอธิบาย: มีบัฟเฟอร์ล้นแบบพอกพูนอยู่ในการจัดการอะตอม STSC ในไฟล์ภาพยนตร์ QuickTime ปัญหานี้ไม่มีผลกระทบต่อระบบ OS X Lion

    CVE-ID

    CVE-2011-0249 : Matt 'j00ru' Jurczy ที่ทำงานร่วมกับ TippingPoint's Zero Day Initiative

  • QuickTime

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: การดูไฟล์ภาพยนตร์ที่ออกมาแบบมาเพื่อประสงค์ร้าย อาจทำให้แอปพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ

    คำอธิบาย: มีบัฟเฟอร์ล้นแบบพอกพูนอยู่ในการจัดการอะตอม STSS ในไฟล์ภาพยนตร์ QuickTime ปัญหานี้ไม่มีผลกระทบต่อระบบ OS X Lion

    CVE-ID

    CVE-2011-0250 : Matt 'j00ru' Jurczyk ที่ทำงานร่วมกับ TippingPoint's Zero Day Initiative

  • QuickTime

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: การดูไฟล์ภาพยนตร์ที่ออกมาแบบมาเพื่อประสงค์ร้าย อาจทำให้แอปพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ

    คำอธิบาย: มีบัฟเฟอร์ล้นแบบพอกพูนอยู่ในการจัดการอะตอม STSZ ในไฟล์ภาพยนตร์ QuickTime ปัญหานี้ไม่มีผลกระทบต่อระบบ OS X Lion

    CVE-ID

    CVE-2011-0251 : Matt 'j00ru' Jurczyk ที่ทำงานร่วมกับ TippingPoint's Zero Day Initiative

  • QuickTime

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: การดูไฟล์ภาพยนตร์ที่ออกมาแบบมาเพื่อประสงค์ร้าย อาจทำให้แอปพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ

    คำอธิบาย: มีบัฟเฟอร์ล้นแบบพอกพูนอยู่ในการจัดการอะตอม STTS ในไฟล์ภาพยนตร์ QuickTime ปัญหานี้ไม่มีผลกระทบต่อระบบ OS X Lion

    CVE-ID

    CVE-2011-0252 : Matt 'j00ru' Jurczyk ที่ทำงานร่วมกับ TippingPoint's Zero Day Initiative

  • QuickTime

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: ผู้โจมตีที่มีสิทธิ์ในระดับเครือข่ายอาจแทรกสคริปต์ไว้ในโดเมนเฉพาะในพื้นที่ ขณะที่ดู HTML เทมเพลต

    คำอธิบาย: มีปัญหาการส่งลิงก์ฝังสคริปต์ให้ไปยังไซต์อื่น (Cross-site Scripting) ในการส่งออก "บันทึกสำหรับเว็บ" ของ QuickTime Player ไฟล์ HTML เทมเพลตที่สร้างโดยคุณสมบัตินี้อ้างอิงไฟล์สคริปต์จากที่มาที่ไม่ได้เข้ารหัส ผลกระทบ: ผู้โจมตีที่มีสิทธิ์ในระดับเครือข่ายอาจสามารถแทรกสคริปต์ที่เป็นอันตรายไว้ในโดเมนเฉพาะในพื้นที่หากผู้ใช้เข้าดูไฟล์เทมเพลตในเครื่อง ปัญหานี้แก้ได้ด้วยการลบการอ้างอิงไปยังสคริปต์ออนไลน์ ปัญหานี้ไม่มีผลกระทบต่อระบบ OS X Lion

    CVE-ID

    CVE-2011-3218 : Aaron Sigel แห่ง vtty.com

  • QuickTime

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: การดูไฟล์ภาพยนตร์ที่ออกมาแบบมาเพื่อประสงค์ร้าย อาจทำให้แอปพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ

    คำอธิบาย: มีบัฟเฟอร์ล้นอยู่ในการจัดการไฟล์ภาพยนตร์ที่เข้ารหัส H.264 ของ QuickTime

    CVE-ID

    CVE-2011-3219 : Damian Put ที่ทำงานร่วมกับ TippingPoint's Zero Day Initiative

  • QuickTime

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: การดูไฟล์ภาพยนตร์ที่ออกแบบมาเพื่อประสงค์ร้าย อาจทำให้มีการเปิดเผยเนื้อหาในหน่วยความจำ

    คำอธิบาย: มีปัญหาหน่วยความจำที่ยังไม่ได้กำหนดค่าในการจัดการตัวจัดการข้อมูล URL ภายในไฟล์ภาพยนตร์ของ QuickTime

    CVE-ID

    CVE-2011-3220 : Luigi Auriemma ที่ทำงานร่วมกับ TippingPoint's Zero Day Initiative

  • QuickTime

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: การดูไฟล์ภาพยนตร์ที่ออกมาแบบมาเพื่อประสงค์ร้าย อาจทำให้แอปพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ

    คำอธิบาย: มีปัญหาเกี่ยวกับการปรับใช้ในการจัดการลำดับอะตอมภายในไฟล์ภาพยนตร์ของ QuickTime

    CVE-ID

    CVE-2011-3221 : ผู้วิจัยนิรนามที่ทำงานร่วมกับ TippingPoint's Zero Day Initiative

  • QuickTime

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: การดูไฟล์ FlashPix ที่ออกแบบมาเพื่อประสงค์ร้าย อาจทำให้แอปพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ

    คำอธิบาย: มีบัฟเฟอร์ล้นอยู่ในการจัดการไฟล์ FlashPix ของ QuickTime

    CVE-ID

    CVE-2011-3222 : Damian Put ที่ทำงานร่วมกับ TippingPoint's Zero Day Initiative

  • QuickTime

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: การดูไฟล์ภาพยนตร์ที่ออกมาแบบมาเพื่อประสงค์ร้าย อาจทำให้แอปพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ

    คำอธิบาย: มีบัฟเฟอร์ล้นอยู่ในการจัดการไฟล์ FLIC ของ QuickTime

    CVE-ID

    CVE-2011-3223 : Matt 'j00ru' Jurczyk ที่ทำงานร่วมกับ TippingPoint's Zero Day Initiative

  • ไฟล์เซิร์ฟเวอร์ SMB

    มีให้สำหรับ: OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: ผู้ใช้ทั่วไปอาจเรียกดูโฟลเดอร์ที่แชร์ได้

    คำอธิบาย: มีปัญหาในการควบคุมสิทธิ์การเข้าใช้งานไฟล์เซิร์ฟเวอร์ SMB การไม่อนุญาตให้ผู้ใช้ทั่วไปเข้าถึงเรคคอร์ดใน sharepoint สำหรับโฟลเดอร์ที่มีการป้องกันไม่ให้ผู้ใช้ '_unknown' เรียกดู sharepoint ยกเว้นผู้ใช้ทั่วไป (ผู้ใช้ 'nobody') ปัญหานี้แก้ไขได้โดยการใช้การควบคุมสิทธิ์การเข้าใช้งานกับผู้ใช้ทั่วไป ปัญหานี้ไม่มีผลกระทบต่อระบบก่อนหน้า OS X Lion

    CVE-ID

    CVE-2011-3225

  • Tomcat

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: มีช่องโหว่จำนวนมากใน Tomcat 6.0.24

    คำอธิบาย: Tomcat ได้รับการอัปเดตเป็นเวอร์ชั่น 6.0.32 เพื่อแก้ปัญหาช่องโหว่จำนวนมาก ซึ่งช่องโหว่ที่ร้ายแรงที่สุดอาจทำให้มีการโจมตีแบบส่งลิงก์ฝังสคริปต์ให้ไปยังไซต์อื่น (Cross-site Scripting) ได้ Tomcat จะมีให้พร้อมกับระบบ Mac OS X Server เท่านั้น ปัญหานี้ไม่มีผลกระทบต่อระบบ OS X Lion สามารถดูข้อมูลเพิ่มเติมผ่านทางเว็บไซต์ของ Tomcat ที่ http://tomcat.apache.org/

    CVE-ID

    CVE-2010-1157

    CVE-2010-2227

    CVE-2010-3718

    CVE-2010-4172

    CVE-2011-0013

    CVE-2011-0534

  • เอกสารผู้ใช้

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8

    ผลกระทบ: ผู้โจมตีที่มีสิทธิ์ในระดับเครือข่ายอาจเข้าจัดการเนื้อหาวิธีใช้ของ App Store ซึ่งอาจทำให้สามารถใช้รหัสได้โดยอำเภอใจ

    คำอธิบาย: เนื้อหาวิธีใช้ของ App Store ได้รับการอัปเดตผ่าน HTTP การอัปเดตนี้จะแก้ปัญหาดังกล่าวโดยการอัปเดตเนื้อหาวิธีใช้ของ App Store ผ่าน HTTPS ปัญหานี้ไม่มีผลกระทบต่อระบบ OS X Lion

    CVE-ID

    CVE-2011-3224 : Aaron Sigel จาก vtty.com และ Brian Mastenbrook

  • เว็บเซิร์ฟเวอร์

    มีให้สำหรับ: Mac OS X Server v10.6.8

    ผลกระทบ: ลูกค้าอาจไม่สามารถเข้าถึงบริการทางเว็บที่ต้องมีการตรวจสอบความถูกต้องแบบละเอียด

    คำอธิบาย: มีการแก้ไขปัญหาในการจัดการการตรวจสอบความถูกต้องแบบละเอียดของ HTTP ซึ่งผู้ใช้อาจถูกปฏิเสธการเข้าถึงทรัพยากรของเซิร์ฟเวอร์ แม้ว่าจะกำหนดค่าเซิร์ฟเวอร์ให้อนุญาตให้เข้าถึงไว้แล้ว ปัญหานี้ไม่มีความเสี่ยงในด้านความปลอดภัย และได้รับการแก้ไขแล้วเพื่ออำนวยความสะดวกในการใช้กลไกการตรวจสอบความถูกต้องที่มีประสิทธิภาพมากยิ่งขึ้น ระบบที่ใช้ OS X Lion Server จะไม่ได้รับผลกระทบจากปัญหานี้

  • X11

    มีให้สำหรับ: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7 และ v10.7.1, OS X Lion Server v10.7 และ v10.7.1

    ผลกระทบ: มีช่องโหว่จำนวนมาก libpng

    คำอธิบาย: มีช่องโหว่จำนวนมาก libpng ซึ่งช่องโหว่ที่ร้ายแรงที่สุดอาจทำให้สามารถใช้รหัสได้โดยอำเภอใจ ปัญหาเหล่านี้ได้รับการแก้ไขโดยการอัปเดต libpng เป็นเวอร์ชั่น 1.5.4 ในระบบ OS Lion และเป็นเวอร์ชั่น 1.2.46 ในระบบ Mac OS X v10.6 สามารถดูข้อมูลเพิ่มเติมได้ผ่านเว็บไซต์ libpng ที่ http://www.libpng.org/pub/png/libpng.html

    CVE-ID

    CVE-2011-2690

    CVE-2011-2691

    CVE-2011-2692

ข้อมูลเกี่ยวกับผลิตภัณฑ์ที่ไม่ได้ผลิตโดย Apple หรือเว็บไซต์อิสระที่ไม่ได้ควบคุมหรือทดสอบโดย Apple มีให้โดยไม่มีคำแนะนำหรือการรับรองใดๆ Apple ไม่ขอรับผิดชอบในส่วนที่เกี่ยวกับการเลือก ประสิทธิภาพ หรือการใช้งานเว็บไซต์หรือผลิตภัณฑ์ของบริษัทอื่น Apple ไม่รับรองความถูกต้องหรือความน่าเชื่อถือของเว็บไซต์ของบริษัทอื่น ความเสี่ยงต่างๆ ในการใช้งานอินเทอร์เน็ตถือเป็นเรื่องปกติที่เกิดขึ้นได้ ติดต่อผู้จำหน่ายสำหรับข้อมูลเพิ่มเติม ชื่อบริษัทและชื่อผลิตภัณฑ์อื่นอาจเป็นเครื่องหมายการค้าของเจ้าของแต่ละราย

วันที่เผยแพร่: