Güvenlik Güncellemesi 2009-001'in güvenlik içeriği hakkında

Bu belgede Yazılım Güncelleme tercihleri veya Apple İndirilenler aracılığıyla indirilip yüklenebilen Güvenlik Güncellemesi 2009-001 açıklanmaktadır.

Apple, müşterilerini korumak amacıyla, tam denetim gerçekleştirilene ve gerekli yamalar veya sürümler kullanıma sunulana kadar güvenlik sorunlarını açıklamaz, tartışmaz veya onaylamaz. Apple Ürün Güvenliği hakkında daha fazla bilgi için Apple Ürün Güvenliği web sitesine bakın.

Apple Ürün Güvenliği PGP Anahtarı hakkında bilgi için "Apple Ürün Güvenliği PGP Anahtarı'nı kullanma" başlıklı makaleye bakın.

Daha fazla bilgi sağlamak amacıyla güvenlik açıkları mümkün olduğunca CVE Kimliği ile belirtilir.

Diğer Güvenlik Güncellemeleri hakkında bilgi için "Apple Güvenlik Güncellemeleri" başlıklı makaleye bakın.

Güvenlik Güncellemesi 2009-001

• AFP Server

  CVE-ID: CVE-2009-0142

  İlgili sürümler: Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: AFP Sunucusuna bağlanabilen bir kullanıcı, servis reddini tetikleyebilir

  Açıklama: AFP Sunucusundaki bir yarış durumu, sonsuz bir döngüye neden olabilir. AFP sunucusundaki dosyaları numaralandırma, servis reddine neden olabilir. Bu güncelleme, dosya numaralandırma mantığını iyileştirerek sorunu giderir. Bu sorun, yalnızca Mac OS X 10.5.6 yüklü sistemleri etkiler.

• Apple Pixlet Video

  CVE-ID: CVE-2009-0009

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: OKötü amaçlarla oluşturulmuş bir film dosyasını açmak, uygulamanın beklenmedik bir şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

  Açıklama: Pixlet kodlayıcısını kullanarak film dosyalarını işlemede bir bellek bozulması sorunu vardır. Kötü amaçlarla oluşturulmuş bir film dosyasını açmak, uygulamanın beklenmedik bir şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir. Bu güncelleme, sınır denetimini iyileştirerek sorunu giderir. Teşekkür: Apple.

• CarbonCore

  CVE-ID: CVE-2009-0020

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Kötü amaçlarla oluşturulmuş bir kaynak çatalını açmak, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

  Açıklama: Resource Manager'ın kaynak çatallarını işlemesinde bir bellek bozulması sorunu vardır. Kötü amaçlarla oluşturulmuş bir kaynak çatalını açmak, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir. Bu güncelleme, kaynak çatallarının doğrulanmasını iyileştirerek sorunu giderir. Teşekkür: Apple.

• CFNetwork

  İlgili sürümler: Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Geçerlilik tarihi null olan çerezlerin uygun şekilde çalışmasını yeniden sağlar

  Açıklama: Bu güncelleme, Mac OS X 10.5.6'da güvenlikle ilgili olmayan bir regresyonu giderir. Bir web sitesi, "expires" (geçerlilik tarihi) alanını çıkarmak yerine bu alana null değerini vererek oturum çerezini ayarlamaya çalışırsa çerezler doğru şekilde ayarlanmayabilir. Bu güncelleme, "expires" (geçerlilik tarihi) alanı null değerine sahipse bu alanı yok sayarak sorunu giderir.

• CFNetwork

  İlgili sürümler: Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Farklı uygulamalardaki oturum çerezlerinin uygun şekilde çalışmasını yeniden sağlar

  Description: Bu güncelleme, Mac OS X 10.5.6'da güvenlikle ilgili olmayan bir regresyonu giderir. Birden fazla açık uygulama oturum çerezleri ayarlamaya çalışırsa CFNetwork, çerezleri diske kaydedemeyebilir. Bu güncelleme, her bir uygulamanın oturum çerezlerini ayrı ayrı depolamasını sağlayarak sorunu giderir.

• Certificate Assistant

  CVE-ID: CVE-2009-0011

  İlgili sürümler: Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Yerel kullanıcı, Sertifika Yardımcısı'nı çalıştıran başka bir kullanıcının ayrıcalıklarıyla dosyaları değiştirebilir

  Açıklama: Sertifika Yardımcısı'nın geçici dosyaları işlemesinde güvenli olmayan bir dosya işlemi vardır. Bu sorun, yerel bir kullanıcının Sertifika Yardımcısı'nı çalıştıran başka bir kullanıcının ayrıcalıklarıyla dosyaların üzerine yazmasına olanak tanır. Bu güncelleme, geçici dosyaların daha iyi işlenmesi yoluyla sorunu giderir. Bu sorun Mac OS X 10.5'ten önceki sürümlerin yüklü olduğu sistemleri etkilemez. Teşekkür: Apple.

• ClamAV

  CVE-ID: CVE-2008-5050, CVE-2008-5314

  İlgili sürümler: Mac OS X Server 10.4.11, Mac OS X Server 10.5.6

  Etki: ClamAV 0.94'te birden fazla güvenlik açığı

  Açıklama: ClamAV 0.94'te birden fazla güvenlik açığı vardır. Güvenlik açıklarının en ciddi düzeyde olanı rastgele kod yürütülmesine neden olabilir. Bu güncelleme, ClamAV'yi 0.94.2 sürümüne güncelleyerek sorunları giderir. ClamAV, yalnızca Mac OS X Server sistemleriyle dağıtılır. ClamAV web sitesinde daha ayrıntılı bilgi bulunabilir: http://www.clamav.net/

• CoreText

  CVE-ID: CVE-2009-0012

  İlgili sürümler: Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Kötü amaçlarla oluşturulmuş bir Unicode içeriğini görüntülemek, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

  Açıklama: CoreText'te Unicode dizgileri işlendiğinde bir yığın arabellek taşması olabilir. Kötü amaçlarla oluşturulmuş bir web sitesini görüntüleme gibi işlemlerde kötü amaçlarla oluşturulmuş Unicode dizgilerini işlemek için CoreText kullanmak, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir. Bu güncelleme, sınır denetimini iyileştirerek sorunu giderir. Bu sorun Mac OS X 10.5'ten önceki sürümlerin yüklü olduğu sistemleri etkilemez. Unsanity'den Rosyna'ya bu sorunu bildirdiği için teşekkür ederiz.

• CUPS

  CVE-ID: CVE-2008-5183

  İlgili sürümler: Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Kötü amaçlarla oluşturulmuş bir web sitesini ziyaret etmek, uygulamanın beklenmedik şekilde sonlandırılmasına neden olabilir

  Açıklama: Maksimum RSS aboneliği sayısının aşılması, CUPS web arayüzünde null işaretçi dereferansına neden olabilir. Bu durum, kötü amaçlarla oluşturulmuş bir web sitesi ziyaret edildiğinde uygulamanın beklenmedik şekilde sonlandırılmasına neden olabilir. Bu sorunun tetiklenmesi için geçerli kullanıcı kimlik bilgilerinin, saldırgan tarafından bilinmesi veya kullanıcının web tarayıcısında önbelleğe alınmış olması gerekir. Bu sorun tetiklendikten sonra CUPS otomatik olarak yeniden başlatılır. Bu güncelleme, RSS abonelik sayısını doğru şekilde işleyerek sorunu giderdi. Mac OS X v10.5 öncesindeki sistemler bu sorundan etkilenmez.

• DS Tools

  CVE-ID: CVE-2009-0013

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Dscl'ye sağlanan parolalar, diğer yerel kullanıcılara gösterildi

  Açıklama: Dscl komut satırı aracı, bağımsız değişkenlerinde parolaların araca aktarılması gerektiğini belirtti. Bu durum, parolaları diğer yerel kullanıcılara açık hale getirebilir. Açığa çıkarılan parolalar arasında kullanıcı ve yöneticilerin parolaları yer alıyor. Bu güncellemeyle birlikte parola parametresi isteğe bağlı hale getirildi; dscl yalnızca gerekli olduğunda parola isteyecek. Teşekkür: Apple.

• fetchmail

  CVE-ID: CVE-2007-4565, CVE-2008-2711

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Fetchmail 6.3.8'de birden fazla güvenlik açığı

  Açıklama: Fetchmail 6.3.8'de birden fazla güvenlik açığı var. Bu güvenlik açıklarının en ciddi düzeyde olanı, servis reddine neden olabilir. Bu güncelleme, 6.3.9 sürümüne güncelleme yaparak sorunları giderir. Fetchmail web sitesinde daha fazla bilgi bulunabilir: http://fetchmail.berlios.de/

• Folder Manager

  CVE-ID: CVE-2009-0014

  İlgili sürümler: Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Diğer yerel kullanıcılar, İndirilenler klasörüne erişebilir

  Açıklama: Folder Manager'da saptanmış izinler sorunu var. Kullanıcı, İndirilenler klasörünü sildiğinde ve klasör Folder Manager tarafından tekrar oluşturulduğunda klasör, herkese okuma izni verilerek oluşturulur. Bu güncelleme, Folder Manager'ın klasöre yalnızca kullanıcının erişebileceği şekilde izinleri sınırlandırmasını sağlayarak bu sorunu giderdi. Bu sorun, yalnızca Folder Manager kullanan uygulamaları etkiler. Bu sorun Mac OS X 10.5'ten önceki sürümlerin yüklü olduğu sistemleri etkilemez. Brighton Üniversitesi CENTRIM'den Perrin'e bu sorunu bildirdiği için teşekkür ederiz.

• FSEvents

  CVE-ID: CVE-2009-0015

  İlgili sürümler: Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Yerel bir kullanıcı, FSEvents çerçevesini kullanarak normalde kullanılabilir olmayan dosya sistemi etkinliğini görebilir

  Açıklama: fseventsd'de kimlik bilgisi yönetimi sorunu vardır. Yerel bir kullanıcı, FSEvents çerçevesini kullanarak normalde kullanılabilir olmayan dosya sistemi etkinliğini görebilir. Buna, normalde kullanıcının göremeyeceği dizin adı ve belirli bir zamanda dizindeki etkinliğin tespiti dahildir. Bu güncelleme, fseventsd'de kimlik bilgisi doğrulanmasını iyileştirerek sorunu giderir. Mac OS X 10.5'ten önceki sürümlerin yüklü olduğu sistemler bu sorundan etkilenmez. Bu sorunu bildirdiği için Mark Dalrymple'a teşekkür ederiz.

• Network Time

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Ağ Saati hizmeti konfigürasyonu güncellendi

  Açıklama: Proaktif bir güvenlik önlemi olarak bu güncelleme, Network Time hizmetinin saptanmış konfigürasyonunu değiştirir. Sistem saati ve sürüm bilgileri, artık saptanmış ntpd konfigürasyonunda sunulmayacaktır. Mac OS X 10.4.11 sistemlerinde yeni konfigürasyon, Ağ Saati hizmeti etkinleştirildiğinde sistem yeniden başlatıldıktan sonra geçerli olacaktır.

• perl

  CVE-ID: CVE-2008-1927

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: UTF-8 karakterleri içeren kurallı ifadeler kullanmak, uygulamanın beklenmedik bir şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

  Açıklama: Kurallı ifadelerde belirli UTF-8 karakterlerinin işlenmesinde bir bellek bozulması sorunu vardır. Kötü amaçlarla oluşturulmuş kurallı ifadelerin ayrıştırılması, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir. Bu güncelleme, kurallı ifadelerde ek doğrulama gerçekleştirerek sorunu giderir.

• Printing

  CVE-ID: CVE-2009-0017

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: A Yerel kullanıcı sistem ayrıcalıkları elde edebilir

  Açıklama: csregprinter'da bir hata işleme sorunu vardır. Bu sorun, yığın arabellek taşması ile sonuçlanabilir. Bu durum, yerel kullanıcının sistem ayrıcalıkları elde etmesine izin verebilir. Bu güncelleme, hata işlemeyi iyileştirerek sorunu giderir. Lars Haulin'e bu sorunu bildirdiği için teşekkür ederiz.

• python

  CVE-ID: CVE-2008-1679, CVE-2008-1721, CVE-2008-1887, CVE-2008-2315, CVE-2008-2316, CVE-2008-3142, CVE-2008-3144, CVE-2008-4864, CVE-2007-4965, CVE-2008-5031

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: python'da birden fazla güvenlik açığı

  Açıklama: python'da birden fazla güvenlik açığı vardır. Güvenlik açıklarının en ciddi düzeyde olanı rastgele kod yürütülmesine neden olabilir. Bu güncelleme, python projesinden yamalar uygulayarak sorunu giderir.

• Remote Apple Events

  CVE-ID: CVE-2009-0018

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Uzaktan Apple olayları göndermek hassas bilgilerin açığa çıkmasına neden olabilir

  Açıklama: Uzaktan Apple Olayları sunucusunda ilklendirilmemiş arabellek sorunu vardır. Bu sorun, bellek içeriklerinin ağ istemcilerine gösterilmesine neden olabilir. Bu güncelleme, doğru bellek ilklendirmesiyle sorunu giderir. Teşekkür: Apple.

• Remote Apple Events

  CVE-ID: CVE-2009-0019

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Uzaktan Apple Olayları'nı etkinleştirmek, uygulamanın beklenmedik bir şekilde sonlandırılmasına veya hassas bilgilerin açığa çıkmasına neden olabilir

  Açıklama: Uzaktan Apple Olayları'nda bir sınırların dışında bellek erişimi sorunu vardır. Apple Olayları'nı etkinleştirmek, uygulamanın beklenmedik bir şekilde sonlandırılmasına veya hassas bilgilerin ağ istemcilerine gösterilmesine neden olabilir. Bu güncelleme, sınır denetimini iyileştirerek sorunu giderir. Teşekkür: Apple.

• Safari RSS

  CVE-ID: CVE-2009-0137

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Kötü amaçlarla oluşturulmuş bir feed: URL'sine erişmek, rastgele kod yürütülmesine neden olabilir

  Açıklama: Safari'nin feed: URL'lerini işlemesinde birden fazla giriş doğrulama sorunu vardır. Bu sorunlar, yerel güvenlik bölgesinde rastgele JavaScript çalıştırılmasına izin verir. Bu güncelleme, feed: URL'lerinde gömülü JavaScript'i işlemeyi iyileştirerek bu sorunları giderir. Laconic Security'den Clint Ruoho'ya, Microsoft'tan Billy Rios'a ve Brian Mastenbrook'a bu sorunları bildirdikleri için teşekkür ederiz.

• servermgrd

  CVE-ID: CVE-2009-0138

  İlgili sürümler: Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Uzaktaki saldırganlar, geçerli kimlik bilgileri olmadan Server Manager'a erişebilir

  Açıklama: Server Manager'ın kimlik bilgileri doğrulama işlemindeki bir sorun, uzaktaki bir saldırganın sistem konfigürasyonunu değiştirmesine izin verebilir. Bu güncelleme, kimlik bilgileri için ek doğrulama aracılığıyla sorunu giderir. Bu sorun Mac OS X 10.5'ten önceki sürümlerin yüklü olduğu sistemleri etkilemez. Teşekkür: Apple.

• SMB

  CVE-ID: CVE-2009-0139

  İlgili sürümler: Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Kötü amaçlarla oluşturulmuş bir SMB dosya sistemine bağlanmak, sistemin beklenmedik şekilde kapanmasına veya sistem ayrıcalıklarıyla rastgele kod yürütülmesine neden olabilir

  Açıklama: SMB Dosya Sistemindeki bir tamsayı taşması sorunu, yığın arabellek taşmasına neden olabilir. Kötü amaçlarla oluşturulmuş bir SMB dosya sistemine bağlanmak, sistemin beklenmedik şekilde kapanmasına veya sistem ayrıcalıklarıyla rastgele kod yürütülmesine neden olabilir. Bu güncelleme, sınır denetimini iyileştirerek sorunu giderir. Bu sorun Mac OS X 10.5'ten önceki sürümlerin yüklü olduğu sistemleri etkilemez. Teşekkür: Apple.

• SMB

  CVE-ID: CVE-2009-0140

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Kötü amaçlarla oluşturulmuş bir SMB dosya sunucusuna bağlanmak, sistemin beklenmedik şekilde kapanmasına neden olabilir

  Açıklama: SMB dosya sisteminin dosya sistemi adlarını işlemesinde bellek tükenmesi sorunu vardır. Kötü amaçlarla oluşturulmuş bir SMB dosya sunucusuna bağlanmak, sistemin beklenmedik şekilde kapanmasına neden olabilir. Bu güncelleme, istemci tarafından dosya sistemi adları için ayrılan bellek miktarını sınırlayarak bu sorunu giderir. Teşekkür: Apple.

• SquirrelMail

  adresindeki SquirrelMail web sitesinden ulaşılabilir.

  Available for: Mac OS X Server v10.4.11, Mac OS X Server v10.5.6

  Impact: Multiple vulnerabilities in SquirrelMail

  Description: SquirrelMail is updated to version 1.4.17 to address several vulnerabilities, the most serious of which is a cross-site scripting issue. Further information is available via the SquirrelMail web site at http://www.SquirrelMail.org/

• X11

  CVE-ID: CVE-2008-1377, CVE-2008-1379, CVE-2008-2360, CVE-2008-2361, CVE-2008-2362

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: X11 sunucusunda birden fazla güvenlik açığı

  Açıklama: X11 sunucusunda birden fazla güvenlik açığı vardır. Bu sorunların en ciddi düzeyde olanı, saldırganın X11 sunucusunda kimliğini doğrulayabilmesi durumunda X11 sunucusunu çalıştıran kullanıcının ayrıcalıklarıyla rastgele kod yürütülmesine neden olabilir. Bu güncelleme, güncellenmiş X.Org yamaları uygulanarak sorunları giderir. X.Org web sitesinde daha ayrıntılı bilgi bulunabilir: http://www.x.org/wiki/Development/Security

• X11

  CVE-ID: CVE-2006-1861, CVE-2006-3467, CVE-2007-1351, CVE-2008-1806, CVE-2008-1807, CVE-2008-1808

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11

  Etki: FreeType 2.1.4'te birden fazla güvenlik açığı

  Açıklama: FreeType 2.1.4'te birden fazla güvenlik açığı vardır. Bu güvenlik açıklarının en ciddi düzeyde olanı, kötü amaçlarla oluşturulmuş bir font işlenirken rastgele kod yürütülmesine neden olabilir. Bu güncelleme, FreeType'ın 2.3.6 sürümündeki güvenlik düzeltmelerini entegre ederek bu sorunları giderir. FreeType sitesinde daha ayrıntılı bilgi bulunabilir: http://www.freetype.org/ Mac OS X 10.5.6 yüklü sistemlerde bu sorunlar zaten giderilmiştir.

• X11

  CVE-ID: CVE-2007-1351, CVE-2007-1352, CVE-2007-1667

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11

  Etki: LibX11'de birden fazla güvenlik açığı

  Açıklama: LibX11'de birden fazla güvenlik açığı vardır. Bu güvenlik açıklarının en ciddi düzeyde olanı, kötü amaçlarla oluşturulmuş bir font işlenirken rastgele kod yürütülmesine neden olabilir. Bu güncelleme, güncellenmiş X.Org yamaları uygulanarak sorunları giderir. X.Org web sitesinde daha ayrıntılı bilgi bulunabilir: http://www.x.org/wiki/Development/Security Mac OS X 10.5 veya sonraki sürümleri yüklü sistemler bu sorunlardan etkilenmez.

• XTerm

  CVE-ID: CVE-2009-0141

  İlgili sürümler: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.6, Mac OS X Server 10.5.6

  Etki: Yerel kullanıcı, başka bir kullanıcının Xterm'ine doğrudan bilgi gönderebilir

  Açıklama: Xterm'de bir izin sorunu vardır. Xterm, luit ile kullanıldığında herkes tarafından erişilebilen tty aygıtları oluşturur. Bu güncelleme, tty aygıtlarına yalnızca kullanıcının erişebilmesi için Xterm'in izinleri sınırlamasını sağlayarak sorunu giderir.