Güvenlik Güncellemesi 2010-005 Hakkında

Bu belgede Güvenlik Güncellemesi 2010-005 açıklanmaktadır.

Apple, müşterilerini korumak amacıyla, tam denetim gerçekleştirilene ve gerekli yamalar veya sürümler kullanıma sunulana kadar güvenlik sorunlarını açıklamaz, tartışmaz veya onaylamaz. Apple Ürün Güvenliği hakkında daha fazla bilgi için Apple Ürün Güvenliği web sitesine bakın.

Apple Ürün Güvenliği PGP Anahtarı hakkında bilgi için "Apple Ürün Güvenliği PGP Anahtarı'nı kullanma" başlıklı makaleye bakın.

Daha fazla bilgi sağlamak amacıyla güvenlik açıkları mümkün olduğunca CVE Kimliği ile belirtilir.

Diğer Güvenlik Güncellemeleri hakkında bilgi için "Apple Güvenlik Güncellemeleri" başlıklı makaleye bakın.

Güvenlik Güncellemesi 2010-005

• ATS

  CVE-ID: CVE-2010-1808

  İlgili sürümler: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6.4, Mac OS X Server 10.6.4

  Etki: Kötü amaçlarla oluşturulmuş gömülü font içeren bir belgeyi görüntülemek veya indirmek rastgele kod yürütülmesine neden olabilir

  Açıklama: Apple Type Services'ın fontları işlemesinde bir yığın arabellek taşması sorunu vardır. Kötü amaçlarla oluşturulmuş gömülü font içeren bir belgeyi görüntülemek veya indirmek rastgele kod yürütülmesine neden olabilir. Sınır denetimi iyileştirilerek bu sorun giderildi.

• CFNetwork

  CVE-ID: CVE-2010-1800

  İlgili sürümler: Mac OS X 10.6.4, Mac OS X Server 10.6.4

  Etki: Ayrıcalıklı ağ konumundaki bir saldırgan, kullanıcı kimlik bilgilerini veya diğer hassas bilgileri ele geçirebilir

  Açıklama: CFNetwork, anonim TLS/SSL bağlantılarına izin verir. Bu durum, ortadaki adam saldırısı yapan bir saldırganın bağlantıları yönlendirip kullanıcı kimlik bilgilerini veya diğer hassas bilgileri ele geçirmesine olanak tanıyabilir. Bu sorun Mail uygulamasını etkilemez. Bu sorun, anonim TLS/SSL bağlantıları etkisizleştirilerek giderildi. Bu sorun Mac OS X 10.6.3'ten önceki sürümlerin yüklü olduğu sistemleri etkilemez. Bu sorunu bildirdikleri için vtty.com'dan Aaron Sigel'e, Citrix'ten Jean-Luc Giraud'a, Sirius IT'den Tomas Bjurman'a ve Google, Inc. şirketinden Wan-Teh Chang'e teşekkür ederiz.

• ClamAV

  CVE-ID: CVE-2010-0098, CVE-2010-1311

  İlgili sürümler: Mac OS X Server 10.5.8, Mac OS X Server 10.6.4

  Etki: ClamAV'de birden fazla güvenlik açığı

  Etki: ClamAV'de birden fazla güvenlik açığı vardır. Güvenlik açıklarının en ciddi düzeyde olanı rastgele kod yürütülmesine neden olabilir. Bu güncelleme, ClamAV'yi 0.96.1 sürümüne güncelleyerek sorunları giderir. ClamAV yalnızca Mac OS X Server sistemleriyle dağıtılır. ClamAV web sitesinde daha ayrıntılı bilgi bulunabilir: http://www.clamav.net/

• CoreGraphics

  CVE-ID: CVE-2010-1801

  İlgili sürümler: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6.4, Mac OS X Server 10.6.4

  Etki: Kötü amaçlarla oluşturulmuş bir PDF dosyasını açmak, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

  Açıklama: CoreGraphics'in PDF dosyalarını işlemesinde bir yığın taşması sorunu vardır. Kötü amaçlarla oluşturulmuş bir PDF dosyasını açmak, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir. Sınır denetimi iyileştirilerek bu sorun giderildi. Bu sorunu bildirdiği için Check Point Vulnerability Discovery Team'den (VDT) Rodrigo Rubira Branco'ya teşekkür ederiz.

• libsecurity

  CVE-ID: CVE-2010-1802

  İlgili sürümler: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6.4, Mac OS X Server 10.6.4

  Etki: Meşru bir etki alanı adına göre yalnızca son karakterleri farklı olan bir etki alanı adı edinebilen, ayrıcalıklı ağ konumundaki bir saldırgan o etki alanındaki ana makinelerin kimliğine bürünebilir

  Açıklama: Sertifika ana makine adlarının işlenmesinde bir sorun vardır. Üç veya daha fazla bileşen içeren ana makine adlarında son karakterler düzgün şekilde karşılaştırılmaz. Tam olarak üç bileşen içeren bir ad söz konusu olduğunda ise yalnızca son karakter kontrol edilmez. Örneğin, ayrıcalıklı ağ konumundaki bir saldırgan www.example.con adresi için sertifika edinebilirse www.example.com adresinin kimliğine bürünebilir. Bu sorun, sertifika ana makine adlarının işlenmesi iyileştirilerek giderildi. Bu sorunu bildirdiği için Peter Speck'e teşekkür ederiz.

• PHP

  CVE-ID: CVE-2010-1205

  İlgili sürümler: Mac OS X 10.6.4, Mac OS X Server 10.6.4

  Etki: Kötü amaçlarla oluşturulmuş bir PNG görüntüsünü yüklemek, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

  Açıklama: PHP'nin libpng kitaplığında bir arabellek taşması sorunu vardır. Kötü amaçlarla oluşturulmuş bir PNG görüntüsünü yüklemek, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir. Bu sorun, PHP'deki libpng 1.4.3 sürümüne güncellenerek giderildi. Bu sorun Mac OS X 10.6'dan önceki sürümlerin yüklü olduğu sistemleri etkilemez.

• PHP

  CVE-ID: CVE-2010-1129, CVE-2010-0397, CVE-2010-2225, CVE-2010-2484

  İlgili sürümler: Mac OS X 10.6.4, Mac OS X Server 10.6.4

  Etki: PHP 5.3.1'de birden fazla güvenlik açığı

  Açıklama: PHP, birden fazla güvenlik açığını gidermek için 5.3.2 sürümüne güncellenmiştir. Güvenlik açıklarının en ciddi düzeyde olanı rastgele kod yürütülmesine neden olabilir. Daha fazla bilgiye http://www.php.net/ adresindeki PHP web sitesinden ulaşılabilir

• Samba

  CVE-ID: CVE-2010-2063

  İlgili sürümler: Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6.4, Mac OS X Server 10.6.4

  Etki: Kimliği doğrulanmamış uzaktaki bir saldırgan, hizmet reddine veya rastgele kod yürütülmesine neden olabilir

  Açıklama: Samba'da bir yığın taşması sorunu vardır. Kimliği doğrulanmamış uzaktaki bir saldırgan, kötü amaçlarla oluşturulmuş bir paket göndererek hizmet reddine veya rastgele kod yürütülmesine neden olabilir. Bu sorun, Samba'da paketler için ek doğrulama gerçekleştirilerek giderildi.