Про оновлення системи безпеки 2006-003
У цьому документі описано оновлення системи безпеки 2006-003, яке можна можна завантажити й інсталювати за допомогою функції Оновлення ПЗ або на сторінці або на сторінці завантажень Apple.
Щоб захистити клієнтів, Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки повністю не завершено вивчення відповідної проблеми та не опубліковано необхідні виправлення або нові випуски. Щоб дізнатися більше про засоби безпеки продуктів Apple, відвідайте вебсайт, присвячений безпеці продуктів Apple.
Відомості про ключ PGP безпеки продуктів Apple наведено в статті Як використовувати ключ PGP безпеки продуктів Apple.
Там, де це можливо, ідентифікатори CVE використовуються для посилання на вразливості для отримання додаткової інформації.
Відомості про інші оновлення системи безпеки наведено в статті Випуски безпеки Apple.
Про оновлення системи безпеки 2006-003
AppKit
CVE-ID: CVE-2006-1439
Доступно для: Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: символи, введені в захищене текстове поле, можуть бути прочитані іншими програмами в тому самому сеансі вікна
Опис: за певних обставин під час перемикання між текстовими полями може виникнути проблема з повторним увімкненням захищеного введення даних у поле NSSecureTextField. Це може дати змогу іншим програмам у тому самому сеансі роботи з вікном бачити деякі символи введення й події клавіатури. Це оновлення вирішує проблему, забезпечуючи належне ввімкнення безпечного введення. Ця проблема не виникає у версіях Mac OS X до 10.4.
AppKit, ImageIO
CVE-ID: CVE-2006-1982, CVE-2006-1983, CVE-2006-1984
Доступно для: Mac OS X версії 10.3.9, Mac OS X Server версії 10.3.9, Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: перегляд некоректного зображення GIF або TIFF може призводити до виконання довільного коду
Опис: обробка некоректного зображення GIF або TIFF може призводити до виконання довільного коду під час аналізу такого зображення. Це впливає на програми, які використовують фреймворк ImageIO (Mac OS X v10.4 Tiger) або AppKit (Mac OS X v10.3 Panther) для читання зображень. Це оновлення вирішує проблему завдяки додатковим перевіркам зображень GIF і TIFF.
BOM
CVE-ID: CVE-2006-1985
Доступно для: Mac OS X версії 10.3.9, Mac OS X Server версії 10.3.9, Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: розширення архіву може призводити до виконання довільного коду
Опис: створюючи архів (наприклад, .zip) з довгим іменем шляху, зловмисник може спровокувати переповнення буфера купи в BOM. Це може призвести до виконання довільного коду. BOM використовується для обробки архівів у Finder і інших програмах. Це оновлення вирішує проблему завдяки належній обробці граничних умов.
BOM
CVE-ID: CVE-2006-1440
Доступно для: Mac OS X версії 10.3.9, Mac OS X Server версії 10.3.9, Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: розширення шкідливого архіву може призводити до створення або перезаписування довільних файлів
Опис: через проблему в обробці символьних посилань обходу каталогу, виявлених в архівах, BOM може створювати або перезаписувати файли в довільних місцях, доступних для користувача, який розширює архів. BOM обробляє архіви від імені Finder і інших програм. Це оновлення вирішує проблему завдяки тому, що файли, розгорнуті з архіву, не розміщуються за межами цільового каталогу.
CFNetwork
CVE-ID: CVE-2006-1441
Доступно для: Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: відвідування зловмисних вебсайтів може призводити до виконання довільного коду
Опис: цілочисельне переповнення під час обробки кодування передачі фрагментів може призводити до виконання довільного коду. CFNetwork використовується Safari й іншими програмами. Це оновлення вирішує проблему завдяки додатковій перевірці. Ця проблема не виникає у версіях Mac OS X до 10.4.
ClamAV
CVE-ID: CVE-2006-1614, CVE-2006-1615, CVE-2006-1630
Доступно для: Mac OS X Server версії 10.4.6
Вплив: обробка шкідливих повідомлень електронної пошти за допомогою ClamAV може призводити до виконання довільного коду
Опис: програмне забезпечення для сканування вірусів ClamAV було оновлено, щоб включити виправлення безпеки в останній версії. ClamAV було представлено в Mac OS X Server v10.4 для сканування електронної пошти. Найсерйозніша з цих проблем може призводити до виконання довільного коду з привілеями ClamAV. Більше інформації можна знайти на вебсайті проєкту http://www.clamav.net.
CoreFoundation
CVE-ID: CVE-2006-1442
Доступно для: Mac OS X версії 10.3.9, Mac OS X Server версії 10.3.9, Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: реєстрація ненадійного пакета може призводити до виконання довільного коду
Опис: за певних обставин пакети неявно реєструються програмами або системою. Функція API пакета дозволяє завантажувати й запускати динамічні бібліотеки, коли пакет зареєстровано, навіть якщо клієнтська програма не запитує це явно. У результаті довільний код може виконуватися з ненадійного пакету без явної взаємодії з користувачем. Це оновлення вирішує проблему завдяки тому, що бібліотеки завантажуються й запускаються з пакету лише у відповідний час.
CoreFoundation
CVE-ID: CVE-2006-1443
Доступно для: Mac OS X версії 10.3.9, Mac OS X Server версії 10.3.9, Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: перетворення рядків у представлення файлової системи може призводити до виконання довільного коду
Опис: цілочисельне переповнення під час обробки граничної умови в CFStringGetFileSystemRepresentation може призводити до виконання довільного коду. Програми, які використовують цей API або один із пов’язаних API, наприклад getFileSystemRepresentation:maxLength:withPath: NSFileManager, можуть викликати проблему, що може призводити до виконання довільного коду. Це оновлення вирішує проблему завдяки належній обробці граничних умов.
CoreGraphics
CVE-ID: CVE-2006-1444
Доступно для: Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: символи, введені в захищене текстове поле, можуть бути прочитані іншими програмами в тому самому сеансі вікна
Опис: Quartz Event Services надає програмам можливість спостерігати й змінювати низькорівневі події введення даних користувачем. Зазвичай програми не можуть перехоплювати події, якщо ввімкнуто безпечне введення даних подій. Однак якщо ввімкнути налаштування «Enable access for assistive devices» (Увімкнути доступ для допоміжних пристроїв), за допомогою Quartz Event Services можна буде перехоплювати події, навіть якщо ввімкнено безпечне введення даних. Це оновлення вирішує проблему завдяки фільтрації подій, коли ввімкнено безпечне введення даних подій. Ця проблема не виникає у версіях Mac OS X до 10.4. Подяка за повідомлення про цю проблему: Damien Bobillot.
Finder
CVE-ID: CVE-2006-1448
Доступно для: Mac OS X версії 10.3.9, Mac OS X Server версії 10.3.9, Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: запуск елемента «Internet Location» (Розташування в Інтернеті) може призводити до виконання довільного коду
Опис: елементи Internet Location — це прості URL-контейнери, які можуть посилатися на URL-адреси http://, ftp:// і file://, а також кілька інших схем URL-адрес. Ці різні типи елементів Internet Location відрізняються візуально й мають бути безпечними для явного запуску. Однак схема URL-адреси може відрізнятися від типу елемента Internet Location. У результаті зловмисник може переконати користувача запустити нібито безпечний елемент (наприклад, «Web Internet Location», http://), але в результаті буде фактично використовуватися інша схема URL-адреси. За певних обставин це може призвести до виконання довільного коду. Це оновлення вирішує проблеми, обмежуючи схему URL-адреси на основі типу Internet Location.
FTPServer
CVE-ID: CVE-2006-1445
Доступно для: Mac OS X версії 10.3.9, Mac OS X Server версії 10.3.9, Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: операції FTP, здійснені автентифікованими користувачами FTP, можуть призводити до виконання довільного коду
Опис: численні проблеми в обробці імен шляху до FTP-сервера можуть призводити до переповнення буфера. Зловмисний автентифікований користувач може викликати переповнення, яке може призводити до виконання довільного коду з привілеями FTP-сервера. Це оновлення вирішує проблему завдяки належній обробці граничних умов.
Flash Player
CVE-ID: CVE-2005-2628, CVE-2006-0024
Доступно для: Mac OS X версії 10.3.9, Mac OS X Server версії 10.3.9, Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: відтворення Flash-контенту може призводити до виконання довільного коду
Опис: Adobe Flash Player містить критичні вразливості, які можуть призводити до виконання довільного коду під час завантаження спеціально створених файлів. Більше інформації можна знайти на вебсайті Adobe http://www.adobe.com/devnet/security/security_zone/apsb06-03.html. Це оновлення вирішує проблему, додаючи Flash Player версії 8.0.24.0.
ImageIO
CVE-ID: CVE-2006-1552
Доступно для: Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: перегляд шкідливого зображення JPEG може призводити до виконання довільного коду
Опис: цілочисельне переповнення цілого під час обробки метаданих JPEG може призводити до переповнення буфера купи. Створивши спеціальне зображення з некоректними метаданими JPEG, зловмисник може спровокувати виконання довільного коду під час перегляду зображення. Це оновлення вирішує проблему завдяки додатковій перевірці зображень. Ця проблема не виникає у версіях Mac OS X до 10.4. Подяка за повідомлення про цю проблему: Brent Simmons із NewsGator Technologies, Inc.
Keychain
CVE-ID: CVE-2006-1446
Доступно для: Mac OS X версії 10.3.9, Mac OS X Server версії 10.3.9, Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: програма може використовувати елементи Keychain, коли Keychain заблоковано
Опис: коли Keychain заблоковано, програми не можуть отримати доступ до елементів Keychain, що в ньому містяться, без попереднього запиту на розблокування Keychain. Однак програма, яка отримала посилання на елемент Keychain до того, як Keychain було заблоковано, за певних обставин може мати можливість продовжувати використовувати цей елемент Keychain незалежно від того, заблоковано Keychain чи розблоковано. Це оновлення вирішує проблему завдяки тому, що запити на використання елементів Keychain відхиляються, коли Keychain заблоковано. Подяка за повідомлення про цю проблему: Tobias Hahn із HU Berlin.
LaunchServices
CVE-ID: CVE-2006-1447
Доступно для: Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: перегляд шкідливого вебсайту може призводити до виконання довільного коду
Опис: довгі розширення назв файлів можуть перешкоджати функції «Перевірка завантажень» правильно визначити програму, за допомогою якої можна відкрити файл. У результаті зловмисник може обійти перевірку завантажень і змусити Safari автоматично відкривати небезпечний контент, якщо параметр «Відкривати «безпечні» файли після викачування» ввімкнено, а потрібні програми не інстальовано. Це оновлення вирішує проблему завдяки покращеній перевірці розширення назви файлу. Ця проблема не виникає у версіях Mac OS X до 10.4.
libcurl
CVE-ID: CVE-2005-4077
Доступно для: Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: обробка URL-адрес у libcurl може призводити до виконання довільного коду
Опис: бібліотека HTTP з відкритим кодом libcurl містить переповнення буфера під час обробки URL-адрес. Програми, які використовують curl для обробки URL-адрес, можуть спричиняти проблему, що призводить до виконання довільного коду. Це оновлення вирішує проблему, оновлюючи libcurl до версії 7.15.1. Ця проблема не виникає у версіях Mac OS X до 10.4.
Mail
CVE-ID: CVE-2006-1449
Доступно для: Mac OS X версії 10.3.9, Mac OS X Server версії 10.3.9, Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: перегляд шкідливого повідомлення електронної пошти може призводити до виконання довільного коду
Опис: підготувавши спеціальні електронні повідомлення з інкапсульованими вкладеннями MacMIME, зловмисник може спричинити цілочисельне переповнення. Це може призвести до виконання довільного коду з привілеями користувача, який використовує Mail. Це оновлення вирішує проблему завдяки додатковій перевірці повідомлень.
Mail
CVE-ID: CVE-2006-1450
Доступно для: Mac OS X версії 10.3.9, Mac OS X Server версії 10.3.9, Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: перегляд шкідливого повідомлення електронної пошти може призводити до виконання довільного коду
Опис: обробка недійсної інформації про колір у розширеному текстовому електронному листі може спричинити виділення й ініціалізацію довільних класів. Це може призвести до виконання довільного коду з привілеями користувача, який використовує Mail. Це оновлення вирішує проблему завдяки належній обробці некоректного сформованих розширених текстових даних.
MySQL Manager
CVE-ID: CVE-2006-1451
Доступно для: Mac OS X Server версії 10.4.6
Вплив: доступ до бази даних MySQL можна отримати за допомогою порожнього пароля
Опис: під час початкового налаштування сервера бази даних MySQL за допомогою MySQL Manager може бути надано новий пароль MySQL користувача root. Однак цей пароль фактично не використовується. У результаті пароль MySQL користувача root залишиться порожнім. Після цього локальний користувач може отримати доступ до бази даних MySQL із повними привілеями. Це оновлення усуває проблему, забезпечуючи збереження введеного пароля. Ця проблема не виникає у версіях Mac OS X Server до 10.4. Подяка за повідомлення про цю проблему: Don Rainwater з Університет Нового Південного Уельсу.
Preview
CVE-ID: CVE-2006-1452
Доступно для: Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: навігація шкідливою ієрархією каталогів може призвести до виконання довільного коду
Опис: під час навігації дуже глибокими ієрархіями каталогів у Preview може відбутися переповнення буфера стека. Створивши спеціальну ієрархію каталогів, зловмисник може спричинити виконання довільного коду, якщо каталоги відкриті в Preview. Ця проблема не виникає у версіях Mac OS X до 10.4.
QuickDraw
CVE-ID: CVE-2006-1453, CVE-2006-1454
Доступно для: Mac OS X версії 10.3.9, Mac OS X Server версії 10.3.9, Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: перегляд шкідливого зображення PICT може призводити до виконання довільного коду
Опис: дві проблеми впливають на QuickDraw під час обробки зображень PICT. Неправильна інформація про шрифт може спричинити переповнення буфера стека, а некоректного дані зображення можуть спричинити переповнення буфера купи. Створивши спеціальне шкідливе зображення PICT, зловмисник може спровокувати виконання довільного коду під час перегляду зображення. Це оновлення вирішує проблему завдяки додатковій перевірці зображень PICT. Подяка за повідомлення про цю проблему: Mike Price із компанії McAfee AVERT Labs.
QuickTime Streaming Server
CVE-ID: CVE-2006-1455
Доступно для: Mac OS X Server версії 10.3.9, Mac OS X Server версії 10.4.6
Вплив: некоректний файл фільму QuickTime може спричинити збій потокового сервера QuickTime
Опис: фільм QuickTime, у якому відсутня доріжка, може спричинити розіменування нульового вказівника, що спричинить збій процесу сервера. Така проблема призводить до переривання активних підключень клієнта. Однак сервер перезапускається автоматично. Це оновлення вирішує проблему завдяки тому, що під час виявлення некоректного файлу фільму стається помилка.
QuickTime Streaming Server
CVE-ID: CVE-2006-1456
Доступно для: Mac OS X Server версії 10.3.9, Mac OS X Server версії 10.4.6
Вплив: шкідливі запити RTSP можуть призводити до збоїв або виконання довільного коду
Опис: створивши спеціальний запит RTSP, зловмисник може спричинити переповнення буфера під час реєстрації повідомлень у журналі. Це може призвести до виконання довільного коду з привілеями користувача, який використовує QuickTime Streaming Server. Це оновлення вирішує проблему завдяки належній обробці граничних умов. Подяка дослідницькій групі Mu Security за повідомлення про цю проблему.
Ruby
CVE-ID: CVE-2005-2337
Доступно для: Mac OS X версії 10.3.9, Mac OS X Server версії 10.3.9, Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: обмеження безпечного рівня Ruby можна обійти
Опис: мова скриптів Ruby містить механізм під назвою «безпечні рівні», який використовується для обмеження певних операцій. Цей механізм найчастіше використовується під час запуску привілейованих програм Ruby або мережевих програм Ruby. За певних обставин зловмисник може обійти обмеження в таких програмах. Це не впливає на програми, які не покладаються на безпечні рівні. Це оновлення вирішує проблему, гарантуючи, що безпечні рівні неможливо обійти.
Safari
CVE-ID: CVE-2006-1457
Доступно для: Mac OS X версії 10.4.6, Mac OS X Server версії 10.4.6
Вплив: відвідування шкідливих вебсайтів може призвести до маніпулювання файлами або довільного виконання коду
Опис: якщо в Safari ввімкнено параметр «Відкривати «безпечні» файли після викачування», архіви автоматично розгортатимуться. Якщо архів містить символьне посилання, цільове символьне посилання можна перемістити на робочий стіл користувача й запустити. Це оновлення вирішує проблему завдяки тому, що завантажені символьні посилання не розв’язуються. Ця проблема не виникає у версіях Mac OS X до 10.4.