เกี่ยวกับเนื้อหาด้านการรักษาความปลอดภัยของ OS X Yosemite v10.10.3 และการอัปเดตความปลอดภัย 2015-004
เอกสารนี้จะอธิบายเกี่ยวกับเนื้อหาด้านการรักษาความปลอดภัยของ OS X Yosemite v10.10.3 และการอัปเดตความปลอดภัย 2015-004
เพื่อเป็นการปกป้องลูกค้าของเรา Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการตรวจสอบแบบเต็มรูปแบบ และมีแพตช์หรือมีการเปิดตัวที่จำเป็นออกมาแล้ว หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับความปลอดภัยของผลิตภัณฑ์ Apple โปรดดูที่หน้าเว็บไซต์การรักษาความปลอดภัยของผลิตภัณฑ์ Apple
ดูข้อมูลเกี่ยวกับคีย์ PGP สำหรับความปลอดภัยของผลิตภัณฑ์ Apple ได้ที่วิธีใช้คีย์ PGP สำหรับความปลอดภัยของผลิตภัณฑ์ Apple
หากต้องการข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ต่างๆ ให้ใช้ CVE ID ในการอ้างอิง หากทำได้
ดูเกี่ยวกับรายการอัปเดตความปลอดภัยอื่นๆ ได้ที่รายการอัปเดตความปลอดภัยของ Apple
OS X Yosemite v10.10.3 และการอัปเดตความปลอดภัย 2015-004
Admin Framework
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: การดำเนินการอาจได้รับสิทธิ์ผู้ดูแลระบบโดยไม่ได้ตรวจสอบสิทธิ์อย่างถูกต้อง
คำอธิบาย: มีปัญหาเมื่อตรวจสอบการให้สิทธิ์ XPC ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการตรวจสอบสิทธิ์ให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1130 : Emil Kvarnhammar จาก TrueSec
apache
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ช่องโหว่จำนวนมากใน Apache
คำอธิบาย: มีช่องโหว่จำนวนมากใน Apache ก่อนเวอร์ชั่น 2.4.10 และ 2.2.29 ซึ่งรวมถึงช่องโหว่ที่อาจทำให้ผู้โจมตีระยะไกลใช้โค้ดได้โดยอำเภอใจ ปัญหาเหล่านี้ได้รับการแก้ไขแล้วโดยการอัปเดต Apache ให้เป็นเวอร์ชั่น 2.4.10 และ 2.2.29
CVE-ID
CVE-2013-5704
CVE-2013-6438
CVE-2014-0098
CVE-2014-0117
CVE-2014-0118
CVE-2014-0226
CVE-2014-0231
ATS
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจใช้โค้ดได้โดยอำเภอใจด้วยสิทธิ์ของระบบ
คำอธิบาย: มีปัญหาการตรวจสอบอินพุตจำนวนมากใน fontd. ปัญหาเหล่านี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1131 : Ian Beer จาก Google Project Zero
CVE-2015-1132 : Ian Beer จาก Google Project Zero
CVE-2015-1133 : Ian Beer จาก Google Project Zero
CVE-2015-1134 : Ian Beer จาก Google Project Zero
CVE-2015-1135 : Ian Beer จาก Google Project Zero
Certificate Trust Policy
ผลกระทบ: การอัปเดตนโยบายความน่าเชื่อถือของใบรับรอง
คำอธิบาย: นโยบายความน่าเชื่อถือของใบรับรองได้รับการอัปเดต ดูรายการใบรับรองทั้งหมด
CFNetwork HTTPProtocol
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: คุกกี้ที่เป็นของต้นทางหนึ่งอาจถูกส่งไปที่ต้นทางอื่น
คำอธิบาย: มีปัญหาคุกกี้ระหว่างโดเมนในการจัดการเปลี่ยนเส้นทาง คุกกี้ที่ตั้งค่าอยู่ในการตอบกลับการเปลี่ยนเส้นทางอาจได้รับการส่งต่อไปยังเป้าหมายการเปลี่ยนเส้นทางที่เป็นของต้นทางอื่น ปัญหาได้รับการแก้ไขแล้วโดยการปรับปรุงการจัดการเปลี่ยนเส้นทางให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1089 : Niklas Keller (http://kelunik.com)
CFNetwork Session
มีให้สำหรับ: OS X Yosemite v10.10 to v10.10.2
ผลกระทบ: ข้อมูลประจำตัวการตรวจสอบสิทธิ์อาจส่งไปยังเซิร์ฟเวอร์บนต้นทางอื่น
คำอธิบาย: มีปัญหาส่วนหัวคำขอ HTTP แบบข้ามโดเมนในการจัดการเปลี่ยนเส้นทาง ส่วนหัวคำขอ HTTP ที่ส่งในการตอบกลับการเปลี่ยนเส้นทางอาจได้รับการส่งต่อไปยังต้นทางอื่น ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการจัดการเปลี่ยนเส้นทางให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1091 : Diego Torres (http://dtorres.me)
CFURL
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: การเข้าดูเว็บไซต์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: มีปัญหาการตรวจสอบอินพุตภายในการประมวลผล URL ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการตรวจสอบ URL ให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1088 : Luigi Galli
CoreAnimation
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: การเข้าดูเว็บไซต์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: มีปัญหา Use-after-free ใน CoreAnimation ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการจัดการ mutex ให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1136 : Apple
CUPS
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจสามารถใช้โค้ดที่มีสิทธิ์ในระดับรากได้โดยอำเภอใจ
คำอธิบาย: มีปัญหา Use-after-free ในวิธีจัดการการสื่อสารข้อความ IPP ของ CUPS ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการนับแหล่งอ้างอิงให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1158 : Neel Mehta จาก Google
CUPS
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ในการกำหนดค่าบางอย่าง ผู้โจมตีระยะไกลอาจสามารถส่งงานพิมพ์โดยอำเภอใจ
คำอธิบาย: มีปัญหาการใช้สคริปต์ข้ามไซต์ในอินเทอร์เฟซเว็บ CUPS ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการดูแลเอาต์พุตให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1159 : Neel Mehta จาก Google
FontParser
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: การประมวลผลไฟล์แบบอักษรที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: มีปัญหาความเสียหายหลายประการในหน่วยความจำในการประมวลผลไฟล์แบบอักษร ปัญหาเหล่านี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1093 : Marc Schoenefeld
Graphics Driver
มีให้สำหรับ: OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจสามารถใช้โค้ดที่มีสิทธิ์ในระดับระบบได้โดยอำเภอใจ
คำอธิบาย: มีช่องโหว่แบบ Null Pointer Dereference ในการจัดการประเภทไคลเอ็นต์ผู้ใช้ IOService บางประเภทของไดรเวอร์กราฟิก NVIDIA ปัญหานี้ได้รับการแก้ไขแล้วโดยการตรวจสอบเนื้อหาเพิ่มเติม
CVE-ID
CVE-2015-1137 : Frank Graziano และ John Villamil จากทีม Yahoo Pentest
Hypervisor
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: แอปพลิเคชันเฉพาะที่อาจสามารถทำให้เกิดการปฏิเสธการบริการ
คำอธิบาย: มีปัญหาการตรวจสอบอินพุตในเฟมเวิร์ก Hypervisor ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1138 : Izik Eidus และ Alex Fishman
ImageIO
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: การประมวลผลไฟล์ SGI ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้รหัสโดยอำเภอใจ
คำอธิบาย: มีปัญหาหน่วยความจำเสียหายในการจัดการไฟล์ .sgi ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1139 : Apple
IOHIDFamily
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: อุปกรณ์ HID ที่ประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: มีปัญหาหน่วยความจำเสียหายใน IOHIDFamily API ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1095 : Andrew Church
IOHIDFamily
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจสามารถใช้โค้ดที่มีสิทธิ์ในระดับระบบได้โดยอำเภอใจ
คำอธิบาย: มีบัฟเฟอร์ล้นภายใน IOHIDFamily ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1140 : lokihardt@ASRT ภายใต้การร่วมงานใน Zero Day Initiative ของ HP, Luca Todesco, Vitaliy Toropov ภายใต้การร่วมงานใน Zero Day Initiative (ZDI) ของ HP
IOHIDFamily
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจสามารถกำหนดเค้าโครงหน่วยความจำเคอร์เนลได้
คำอธิบาย: มีปัญหาใน IOHIDFamily ที่นำไปสู่การเปิดเผยเนื้อหาหน่วยความจำเคอร์เนล ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1096 : Ilja van Sprundel จาก IOActive
IOHIDFamily
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5
ผลกระทบ: แอปพลิเคชันประสงค์ร้ายอาจสามารถใช้รหัสโดยอำเภอใจด้วยสิทธิ์ของระบบ
คำอธิบาย: มีบัฟเฟอร์ล้นแบบพอกพูนในการจัดการคุณสมบัติการเทียบปุ่มของ IOHIDFamily ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2014-4404 : Ian Beer จาก Google Project Zero
IOHIDFamily
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5
ผลกระทบ: แอปพลิเคชันประสงค์ร้ายอาจสามารถใช้โค้ดโดยอำเภอใจด้วยสิทธิ์ของระบบ
คำอธิบาย: มีช่องโหว่แบบ Null Pointer Dereference ในการจัดการคุณสมบัติการเทียบปุ่มของ IOHIDFamily ปัญหานี้ได้รับการแก้ไขแล้วด้วยการตรวจสอบยืนยันการจัดการคุณสมบัติการเทียบผังที่สำคัญของ IOHIDFamily ที่ปรับปรุงให้ดียิ่งขึ้น
CVE-ID
CVE-2014-4405 : Ian Beer จาก Google Project Zero
IOHIDFamily
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5
ผลกระทบ: ผู้ใช้อาจสามารถใช้โค้ดที่มีสิทธิ์ในระดับระบบได้โดยอำเภอใจ
คำอธิบาย: มีปัญหาการเขียนนอกขอบเขตในไดร์เวอร์ IOHIDFamily ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-ID
CVE-2014-4380 : cunzhang จาก Adlab of Venustech
Kernel
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจสามารถทำให้ระบบปิดตัวลงโดยไม่คาดคิด
คำอธิบาย: มีปัญหาในการจัดการการทำงานของหน่วยความจำเสมือนภายในเคอร์เนล ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการจัดการ mach_vm_read operation ให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1141 : Ole Andre Vadla Ravnas จาก www.frida.re
Kernel
Available for: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจสามารถทำให้ระบบปฏิเสธบริการได้
คำอธิบาย: มีปัญหาสภาวะการแข่งขันในคำสั่งเรียกใช้ระบบ setreuid ของเคอร์เนล ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1099 : Mark Mentovai จาก Google Inc.
Kernel
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: แอปพลิเคชันเฉพาะเครื่องอาจยกระดับสิทธิ์โดยใช้บริการที่ตกอยู่ในความเสี่ยงที่มีไว้ให้ทำงานด้วยสิทธิ์ที่ลดระดับ
คำอธิบาย: คำสั่งเรียกใช้ระบบ setreuid และ setregid ลดระดับสิทธิ์โดยถาวรไม่สำเร็จ ปัญหานี้ได้รับการแก้ไขแล้วโดยการลดระดับสิทธิ์อย่างถูกต้อง
CVE-ID
CVE-2015-1117 : Mark Mentovai จาก Google Inc.
Kernel
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้โจมตีในตำแหน่งเครือข่ายที่มีสิทธิ์อาจสามารถเปลี่ยนเส้นทางการรับส่งข้อมูลของผู้ใช้ไปยังโฮสต์อื่นโดยอำเภอใจ
คำอธิบาย: มีการเปิดใช้การเปลี่ยนเส้นทาง ICMP โดยค่าเริ่มต้นบน OS X ปัญหานี้ได้รับการแก้ไขแล้วโดยการปิดใช้งานการเปลี่ยนเส้นทาง ICMP
CVE-ID
CVE-2015-1103 : Zimperium Mobile Security Labs
Kernel
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้โจมตีในตำแหน่งเครือข่ายที่มีสิทธิ์อาจสามารถทำให้เกิดการปฏิเสธบริการได้
คำอธิบาย: มีปัญหาความไม่สอดคล้องของสถานะในการประมวลผลส่วนตัวของ TCP ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1102 : Andrey Khudyakov และ Maxim Zhuravlev จาก Kaspersky Lab
Kernel
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจสามารถทำให้ระบบหยุดทำงานโดยไม่คาดคิดหรืออ่านหน่วยความจำเคอร์เนลได้
คำอธิบาย: มีปัญหาการเข้าถึงหน่วยความจำนอกระบบในเคอร์เนล ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1100 : Maxime Villard จาก m00nbsd
Kernel
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้โจมตีระยะไกลอาจสามารถบายพาสตัวกรองเครือข่ายได้
คำอธิบาย: ระบบอาจใช้ดำเนินการสำหรับแพ็คเก็ตเฉพาะเครื่องกับแพ็คเก็ต IPv6 จากอินเทอร์เฟซเครือข่ายระยะไกล ปัญหานี้ได้รับการแก้ไขแล้วโดยการปฏิเสธแพ็คเก็ตเหล่านี้
CVE-ID
CVE-2015-1104 : Stephen Roettger จาก the Google Security Team
Kernel
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจสามารถใช้โค้ดที่มีสิทธิ์เคอร์เนลได้โดยอำเภอใจ
คำอธิบาย: มีปัญหาหน่วยความจำเสียหายในเคอร์เนล ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1101 : lokihardt@ASRT ภายใต้การร่วมงานใน Zero Day Initiative ของ HP
Kernel
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้โจมตีระยะไกลอาจสามารถทำให้เกิดการปฏิเสธบริการได้
คำอธิบาย: มีปัญหาสถานะที่ไม่สอดคล้องในการจัดการข้อมูลนอกแถบของ TCP ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1105 : Kenton Varda จาก Sandstorm.io
LaunchServices
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจทำให้แอป Finder หยุดทำงาน
Description: มีปัญหาการตรวจสอบอินพุตในการจัดการข้อมูลการแปลภาษาแอปพลิเคชันของ LaunchServices ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการตรวจสอบข้อมูลการแปลภาษาให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1142
LaunchServices
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจสามารถใช้โค้ดที่มีสิทธิ์ในระดับระบบได้โดยอำเภอใจ
คำอธิบาย: มีปัญหาความสับสนประเภทในการจัดการสตริงที่มีการแปลภาษาของ LaunchServices ปัญหานี้ได้รับการแก้ไขแล้วโดยการตรวจสอบขอบเขตเพิ่มเติม
CVE-ID
CVE-2015-1143 : Apple
libnetcore
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: การประมวลผลไฟล์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้แอปพลิเคชันหยุดทำงานโดยไม่คาดคิด
คำอธิบาย: มีปัญหาความเสียหายของหน่วยความจำในการจัดการโปรไฟล์การกำหนดค่า ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1118 : Zhaofeng Chen, Hui Xue, Yulong Zhang, และ Tao Wei จาก FireEye, Inc.
ntp
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้โจมตีระยะไกลอาจโจมตีแบบ Brute-Force กับรหัสตรวจสอบสิทธิ์ ntpd
คำอธิบาย: ฟังก์ชั่น config_auth ใน ntpd สร้างรหัสความปลอดภัยต่ำเมื่อไม่ได้กำหนดค่ารหัสการตรวจสอบสิทธิ์ ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการสร้างรหัสให้ดียิ่งขึ้น
CVE-ID
CVE-2014-9298
OpenLDAP
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ไคลเอ็นต์ระยะไกลที่ไม่ได้ตรวจสอบสิทธิ์อาจสามารถทำให้เกิดการปฏิเสธบริการได้
คำอธิบาย: มีปัญหาจำนวนมากในการตรวจสอบอินพุตใน OpenLDAP ปัญหาเหล่านี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1545 : Ryan Tandy
CVE-2015-1546 : Ryan Tandy
OpenSSL
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: มีช่องโหว่จำนวนมากใน OpenSSL
คำอธิบาย: มีช่องโหว่จำนวนมากใน OpenSSL 0.9.8zc รวมถึงช่องโหว่ที่อาจทำให้ผู้โจมตีดักจับการเชื่อมต่อเซิร์ฟเวอร์ที่รองรับการเข้ารหัสแบบ export grade ปัญหาเหล่านี้ได้รับการแก้ไขแล้วโดยการอัปเดต OpenSSL ให้เป็นเวอร์ชั่น 0.9.8zd
CVE-ID
CVE-2014-3569
CVE-2014-3570
CVE-2014-3571
CVE-2014-3572
CVE-2014-8275
CVE-2015-0204
Open Directory Client
มีให้สำหรับ: OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: อาจมีการส่งรหัสผ่านโดยไม่ได้เข้ารหัสบนเครือข่ายเมื่อใช้ Open Directory จาก OS X Server
คำอธิบาย: หากไคลเอ็นต์ Open Directory ผูกอยู่กับ OS X Server แต่ไม่ได้ติดตั้งใบรับรองของ OS X Server และผู้ใช้บนไคลเอ็นต์ดังกล่าวเปลี่ยนรหัสผ่านของตน คำขอเปลี่ยนรหัสผ่านจะส่งผ่านเครือข่ายโดยไม่มีการเข้ารหัส ปัญหานี้ได้รับการแก้ไขแล้วโดยให้ไคลเอ็นต์ต้องมีการเข้ารหัสในกรณีนี้
CVE-ID
CVE-2015-1147 : Apple
PHP
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ช่องโหว่จำนวนมากใน PHP
คำอธิบาย: มีช่องโหว่จำนวนมากใน PHP ก่อนเวอร์ชั่น 5.3.29, 5.4.38 และ 5.5.20 รวมถึงช่องโหว่ที่อาจทำให้มีการใช้โค้ดโดยอำเภอใจ ปัญหานี้ได้รับการแก้ไขแล้วโดยการอัปเดต PHP ให้เป็นเวอร์ชั่น 5.3.29, 5.4.38 และ 5.5.20.
CVE-ID
CVE-2013-6712
CVE-2014-0207
CVE-2014-0237
CVE-2014-0238
CVE-2014-2497
CVE-2014-3478
CVE-2014-3479
CVE-2014-3480
CVE-2014-3487
CVE-2014-3538
CVE-2014-3587
CVE-2014-3597
CVE-2014-3668
CVE-2014-3669
CVE-2014-3670
CVE-2014-3710
CVE-2014-3981
CVE-2014-4049
CVE-2014-4670
CVE-2014-4698
CVE-2014-5120
QuickLook
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: การเปิดไฟล์ iWork ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: มีปัญหาหน่วยความจำเสียหายในการจัดการไฟล์ iWork ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1098 : Christopher Hickstein
SceneKit
มีให้สำหรับ: OS X Mountain Lion v10.8.5
ผลกระทบ: การดูไฟล์ Collada ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: มีบัฟเฟอร์ล้นแบบพอกพูนในการจัดการไฟล์ Collada ของ SceneKit การดูไฟล์ Collada ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการตรวจสอบองค์ประกอบตัวเข้าถึงให้ดียิ่งขึ้น
CVE-ID
CVE-2014-8830 : Jose Duart จาก Google Security Team
Screen Sharing
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: รหัสผ่านของผู้ใช้อาจได้รับการบันทึกในไฟล์เฉพาะเครื่อง
คำอธิบาย: ในบางสถานการณ์ Screen Sharing อาจบันทึกรหัสผ่านของผู้ใช้ที่ไม่สามารถอ่านได้โดยผู้อื่นไว้ในระบบ ปัญหานี้ได้รับการแก้ไขแล้วโดยการนำการบันทึกข้อมูลประจำตัวออก
CVE-ID
CVE-2015-1148 : Apple
Secure Transport
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: การประมวลผลใบรับรอง X.509 ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้แอปพลิเคชันหยุดทำงานโดยไม่คาดคิด
คำอธิบาย: มีปัญหาช่องโหว่แบบ Null Pointer Dereference ในการจัดการใบรับรอง X.509 ปัญหานี้ได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1160 : Elisha Eshed, Roy Iarchy และ Yair Amit จาก Skycure Security Research
Security - Code Signing
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ระบบอาจไม่สามารถป้องกันการเรียกใช้แอปที่ผ่านการดัดแปลง
คำอธิบาย: แอปพลิเคชันที่ประกอบด้วยชุดโค้ดที่ออกแบบมาเป็นพิเศษอาจถูกเรียกใช้ได้แม้ไม่มีลายเซ็นที่ถูกต้องโดยสมบูรณ์ ปัญหานี้ได้รับการแก้ไขแล้วโดยการเพิ่มการตรวจสอบเพิ่มเติม
CVE-ID
CVE-2015-1145
CVE-2015-1146
UniformTypeIdentifiers
มีให้สำหรับ: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 ถึง v10.10.2
ผลกระทบ: ผู้ใช้เฉพาะเครื่องอาจสามารถใช้โค้ดที่มีสิทธิ์ในระดับระบบได้โดยอำเภอใจ
คำอธิบาย: มีบัฟเฟอร์ล้นในรูปแบบการจัดการ Uniform Type Identifiers ปัญหานี้ได้รับการแก้ไขแล้วโดยการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น
CVE-ID
CVE-2015-1144 : Apple
WebKit
มีให้สำหรับ: OS X Yosemite v10.10 ถึง v10.10.2
: การเข้าดูเว็บไซต์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: มีปัญหาหน่วยความจำเสียหายใน WebKit ปัญหานี้ได้รับการแก้ไขผ่านการจัดการหน่วยความจำที่ดีขึ้น
CVE-ID
CVE-2015-1069 : lokihardt@ASRT ภายใต้การร่วมงานใน Zero Day Initiative ของ HP
การอัปเดตความปลอดภัย 2015-004 (มีให้สำหรับ OS X Mountain Lion v10.8.5 และ OS X Mavericks v10.9.5) ยังได้แก้ไขปัญหาที่เกิดจากการแก้ไข CVE-2015-1067 ในการอัปเดตความปลอดภัย 2015-002 ปัญหานี้ป้องกันไม่ให้ไคลเอ็นต์ Remote Apple Events ทุกเวอร์ชั่นเชื่อมต่อกับเซิร์ฟเวอร์ Remote Apple Events Remote Apple Events จะไม่ได้เปิดใช้งานในการกำหนดค่าเริ่มต้น
OS X Yosemite v10.10.3 มีเนื้อหาด้านความปลอดภัยของ Safari 8.0.5
การให้ข้อมูลเกี่ยวกับผลิตภัณฑ์ที่ไม่ได้ผลิตโดย Apple หรือเว็บไซต์อิสระที่ Apple ไม่ได้ควบคุมหรือทดสอบไม่ถือเป็นการแนะนำหรือการรับรองใดๆ Apple จะไม่รับผิดชอบในส่วนที่เกี่ยวข้องกับการเลือก ประสิทธิภาพการทำงาน หรือการใช้งานเว็บไซต์หรือผลิตภัณฑ์ของบริษัทอื่น Apple ไม่รับรองความถูกต้องหรือความน่าเชื่อถือของเว็บไซต์ของบริษัทอื่น โปรดติดต่อผู้จำหน่ายหากต้องการข้อมูลเพิ่มเติม