สามารถดาวน์โหลดและติดตั้งการอัพเดทนี้โดยใช้การอัพเดทซอฟต์แวร์หรือจากเว็บไซต์บริการช่วยเหลือของ Apple
เพื่อเป็นการปกป้องลูกค้าของเรา Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการตรวจสอบแบบเต็มรูปแบบ และมีแพตช์หรือมีการเปิดตัวที่จำเป็นออกมาแล้ว หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับความปลอดภัยของผลิตภัณฑ์ Apple โปรดดูที่เว็บไซต์ การรักษาความปลอดภัยของผลิตภัณฑ์ Apple
สำหรับข้อมูลเพิ่มเติมเกี่ยวกับรหัส PGP เพื่อความปลอดภัยของผลิตภัณฑ์ Apple โปรดดู วิธีการใช้รหัส PGP เพื่อความปลอดภัยของผลิตภัณฑ์ Apple
เมื่อเป็นไปได้ จะใช้ CVE ID เพื่ออ้างอิงเกี่ยวกับข้อมูลเพิ่มเติมเกี่ยวกับความเสี่ยงต่างๆ
หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับการอัปเดตความปลอดภัยอื่นๆ โปรดดู รายการอัปเดตความปลอดภัยของ Apple
หมายเหตุ: OS X Mavericks 10.9.4 จะมีเนื้อหาความปลอดภัยของ Safari 7.0.5 รวมอยู่
OS X Mavericks v10.9.4 และการอัปเดตความปลอดภัย 2014-003
นโยบายความน่าเชื่อถือของใบรับรอง
มีให้สำหรับ: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5, OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: มีการอัพเดทนโยบายความน่าเชื่อถือของใบรับรอง
คำอธิบาย: นโยบายความน่าเชื่อถือของใบรับรองได้รับการอัปเดต ดูรายการใบรับรองทั้งหมดได้ที่ https://support.apple.com/th-th/HT6005
copyfile
มีให้สำหรับ: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5, OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: การเปิดไฟล์ Zip ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้แอพพลิเคชั่นหยุดทำงานโดยไม่คาดคิดหรือมีการใช้รหัสโดยอำเภอใจ
คำอธิบาย: มีปัญหาการสลับไบต์ที่อยู่นอกขอบเขตในการจัดการไฟล์ AppleDouble ในการเก็บถาวรแบบ Zip ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2014-1370 : Chaitanya (SegFault) ที่ทำงานร่วมกับ iDefense VCP
curl
มีให้สำหรับ: OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: ผู้โจมตีระยะไกลอาจสามารถเข้าใช้งานเซสชั่นของผู้ใช้อื่นได้
คำอธิบาย: cURL ใช้การเชื่อมต่อ NTLM ใหม่เมื่อเปิดการใช้งานวิธีการรับรองความถูกต้องมากกว่าหนึ่งวิธี ซึ่งทำให้ผู้โจมตีสามารถเข้าใช้งานเซสชั่นของผู้ใช้อื่นได้
CVE-ID
CVE-2014-0015
Dock
มีให้สำหรับ: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5, OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: แอพพลิเคชั่นที่ถูกกักไว้ใน Sandbox อาจสามารถหลีกเลี่ยงการจำกัดของ Sandbox ได้
คำอธิบาย: มีปัญหาดัชนีอาร์เรย์ไม่ได้รับการตรวจสอบในการจัดการข้อความจากแอพพลิเคชั่นของ Dock ข้อความที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการถอนการอ้างอิงตัวชี้ฟังก์ชั่นที่ไม่ถูกต้อง ซึ่งอาจทำให้แอพพลิเคชั่นหยุดทำงานโดยไม่คาดคิดหรือมีการใช้รหัสโดยอำเภอใจ
CVE-ID
CVE-2014-1371 : นักวิจัยนิรนามที่ทำงานร่วมกับ Zero Day Initiative ของ HP
ไดรเวอร์กราฟิก
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: ผู้ใช้เฉพาะเครื่องสามารถอ่านหน่วยความจำเคอร์เนล ซึ่งสามารถใช้เพื่อบายพาสการสุ่มตำแหน่งหน่วยความจำ (ASLR) เคอร์เนลได้
คำอธิบาย: มีปัญหาการอ่านนอกขอบเขตในการจัดการคำสั่งเรียกระบบ ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2014-1372 : Ian Beer จาก Google Project Zero
iBooks Commerce
มีให้สำหรับ: OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: ผู้โจมตีที่สามารถเข้าใช้งานระบบอาจกู้คืนข้อมูลประจำตัวของ Apple ID ได้
คำอธิบาย: มีปัญหาในการจัดการบันทึก iBooks กระบวนการของ iBooks อาจบันทึกข้อมูลประจำตัวของ Apple ID ไว้ในบันทึกของ iBooks ซึ่งผู้ใช้อื่นๆ ของระบบสามารถอ่านได้ ปัญหานี้ได้รับการแก้ไขแล้วด้วยการไม่อนุญาตให้มีการบันทึกข้อมูลประจำตัว
CVE-ID
CVE-2014-1317 : Steve Dunham
ไดรเวอร์กราฟิกของ Intel
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: แอพพลิเคชั่นประสงค์ร้ายอาจสามารถใช้รหัสโดยอำเภอใจด้วยสิทธิ์ของระบบ
คำอธิบาย: มีปัญหาการตรวจสอบยืนยันในการจัดการคำสั่งเรียก OpenGL API ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2014-1373 : Ian Beer จาก Google Project Zero
ไดรเวอร์กราฟิกของ Intel
มีให้สำหรับ: OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: ผู้ใช้เฉพาะเครื่องสามารถอ่านตัวชี้เคอร์เนล ซึ่งสามารถใช้เพื่อบายพาสการสุ่มตำแหน่งหน่วยความจำ (ASLR) เคอร์เนล
คำอธิบาย: ตัวชี้เคอร์เนลที่จัดเก็บไว้ในวัตถุ IOKit อาจถูกเรียกได้จาก Userland ปัญหานี้ได้รับการแก้ไขแล้วด้วยการลบตัวชี้ออกจากวัตถุนั้น
CVE-ID
CVE-2014-1375
การประมวลของ Intel
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: แอพพลิเคชั่นประสงค์ร้ายอาจสามารถใช้รหัสโดยอำเภอใจด้วยสิทธิ์ของระบบ
คำอธิบาย: มีปัญหาการตรวจสอบยืนยันในการจัดการคำสั่งเรียก OpenCL API ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2014-1376 : Ian Beer จาก Google Project Zero
IOAcceleratorFamily
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: แอพพลิเคชั่นประสงค์ร้ายอาจสามารถใช้รหัสโดยอำเภอใจด้วยสิทธิ์ของระบบ
คำอธิบาย: มีปัญหาการจัดทำดัชนีอาร์เรย์ใน IOAcceleratorFamily ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2014-1377 : Ian Beer จาก Google Project Zero
IOGraphicsFamily
มีให้สำหรับ: OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: ผู้ใช้เฉพาะเครื่องสามารถอ่านตัวชี้เคอร์เนล ซึ่งสามารถใช้เพื่อบายพาสการสุ่มตำแหน่งหน่วยความจำ (ASLR) เคอร์เนล
คำอธิบาย: ตัวชี้เคอร์เนลที่จัดเก็บไว้ในวัตถุ IOKit อาจถูกเรียกได้จาก Userland ปัญหานี้ได้รับการแก้ไขแล้วโดยใช้ ID ที่ไม่ซ้ำกันแทนตัวชี้
CVE-ID
CVE-2014-1378
IOReporting
มีให้สำหรับ: OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจทำให้ระบบรีสตาร์ทโดยไม่คาดคิด
คำอธิบาย: มีช่องโหว่แบบ Null Pointer Dereference ในการจัดการ อาร์กิวเมนต์ IOKit API ปัญหานี้ได้รับการแก้ไขแล้วโดยการตรวจสอบอาร์กิวเมนต์ IOKit API เพิ่มเติม
CVE-ID
CVE-2014-1355 : cunzhang จาก Adlab แห่ง Venustech
launchd
มีให้สำหรับ: OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: แอพพลิเคชั่นประสงค์ร้ายอาจสามารถใช้รหัสโดยอำเภอใจด้วยสิทธิ์ของระบบ
คำอธิบาย: มีการล้นของจำนวนเต็มใน launchd ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2014-1359 : Ian Beer แห่ง Google Project Zero
launchd
มีให้สำหรับ: OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: แอพพลิเคชั่นประสงค์ร้ายอาจสามารถใช้รหัสโดยอำเภอใจด้วยสิทธิ์ของระบบ
คำอธิบาย: มีบัฟเฟอร์ล้นแบบพอกพูนในการจัดการข้อความ IPC ของ launchd ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2014-1356 : Ian Beer แห่ง Google Project Zero
launchd
มีให้สำหรับ: OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: แอพพลิเคชั่นประสงค์ร้ายอาจสามารถใช้รหัสโดยอำเภอใจด้วยสิทธิ์ของระบบ
คำอธิบาย: มีบัฟเฟอร์ล้นแบบพอกพูนในการจัดการข้อความบันทึกของ launchd ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2014-1357: Ian Beer แห่ง Google Project Zero
launchd
มีให้สำหรับ: OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: แอพพลิเคชั่นประสงค์ร้ายอาจสามารถใช้รหัสโดยอำเภอใจด้วยสิทธิ์ของระบบ
คำอธิบาย: มีการล้นของจำนวนเต็มใน launchd ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2014-1358 : Ian Beer แห่ง Google Project Zero
ไดรเวอร์กราฟิก
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: แอพพลิเคชั่นประสงค์ร้ายอาจสามารถใช้รหัสโดยอำเภอใจด้วยสิทธิ์ของระบบ
คำอธิบาย: มีปัญหา Null Dereference จำนวนมากในไดรเวอร์กราฟิกเคอร์เนล โปรแกรมปฏิบัติงานแบบ 32 บิตที่ออกแบบมาเพื่อประสงค์ร้ายอาจสามารถรับสิทธิ์ในระดับที่สูงขึ้นได้
CVE-ID
CVE-2014-1379 : Ian Beer จาก Google Project Zero
ความปลอดภัย - พวงกุญแจ
มีให้สำหรับ: OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: ผู้โจมตีอาจสามารถพิมพ์ในหน้าต่างที่มีการล็อคหน้าจอได้
คำอธิบาย: ในสถานการณ์ที่เกิดได้ยาก การล็อคหน้าจอจะไม่สกัดกั้นการกดคีย์บอร์ด ซึ่งอาจทำให้ผู้โจมตีสามารถพิมพ์ในหน้าต่างที่มีการล็อคหน้าจอได้ ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการตัวสังเกตการกดคีย์บอร์ดให้ดียิ่งขึ้น
CVE-ID
CVE-2014-1380 : Ben Langfeld จาก Mojo Lingo LLC
ความปลอดภัย - Secure Transport
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: อาจมีการเปิดเผยหน่วยความจำแบบสองไบต์ให้กับผู้โจมตีระยะไกล
คำอธิบาย: มีปัญหาการเข้าถึงหน่วยความจำที่ยังไม่ได้กำหนดค่าในการจัดการข้อความ DTLS ในการเชื่อมต่อ TLS ปัญหานี้ได้รับการแก้ไขแล้วโดยการยอมรับเฉพาะข้อความ DTLS ในการเชื่อมต่อ DTLS เท่านั้น
CVE-ID
CVE-2014-1361 : Thijs Alkemade แห่ง The Adium Project
Thunderbolt
มีให้สำหรับ: OS X Mavericks 10.9 ถึง 10.9.3
ผลกระทบ: แอพพลิเคชั่นประสงค์ร้ายอาจสามารถใช้รหัสโดยอำเภอใจด้วยสิทธิ์ของระบบ
คำอธิบาย: มีปัญหาหน่วยความจำนอกระบบในการจัดการคำสั่งเรียก IOThunderBoltController API ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2014-1381 : Sarah aka winocm
อัพเดทรายการเมื่อวันที่ 3 กุมภาพันธ์ 2020