关于 OS X Mountain Lion v10.8.2、OS X Lion v10.7.5 和安全性更新 2012-004 的安全性内容

了解有关 OS X Mountain Lion v10.8.2、OS X Lion v10.7.5 和安全性更新 2012-004 的安全性内容。

本文介绍 OS X Mountain Lion v10.8.2、OS X Lion v10.7.5 和安全性更新 2012-004 的安全性内容。

为保护我们的客户，在未进行详尽调查并推出必要的修补程序或发行版之前，Apple 不会公开、讨论或确认安全性问题。要了解有关 Apple 产品安全性的更多信息，请参阅 Apple 产品安全性网站。

有关 Apple 产品安全性 PGP 密钥的信息，请参阅“如何使用 Apple 产品安全性 PGP 密钥”。

如果可能，请使用 CVE ID 来查阅漏洞的详细信息。

要了解有关其他安全性更新的信息，请参阅“Apple 安全性更新”。

OS X Mountain Lion v10.8.2、OS X Lion v10.7.5 和安全性更新 2012-004

注：OS X Mountain Lion v10.8.2 包含 Safari 6.0.1 的内容。有关更多详细信息，请参阅“关于 Safari 6.0.1 的安全性内容”。

  • Apache

    适用于：Mac OS X v10.6.8、Mac OS X Server v10.6.8、OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：Apache 中存在多个漏洞

    说明：Apache 已更新到 2.2.22 版以解决多个漏洞，其中最严重的漏洞可能会导致拒绝服务。有关进一步信息，可访问 Apache 网站 http://httpd.apache.org/。此问题不会影响 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2011-3368

    CVE-2011-3607

    CVE-2011-4317

    CVE-2012-0021

    CVE-2012-0031

    CVE-2012-0053

  • BIND

    适用于：OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：远程攻击者可能会导致在配置为运行 BIND 作为 DNS 域名服务器的系统中拒绝服务

    说明：处理 DNS 记录时存在可获得的论断问题。此问题已通过更新到 BIND 9.7.6-P1 得到解决。此问题不会影响 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2011-4313

  • BIND

    适用于：OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4、OS X Mountain Lion v10.8 和 v10.8.1

    影响：远程攻击者可能会导致在配置为运行 BIND 作为 DNS 域名服务器的系统中拒绝服务、数据损坏或从进程内存获取敏感信息。

    说明：处理 DNS 记录时存在内存管理问题。此问题已通过在 OS X Lion 系统上升级到 BIND 9.7.6-P1、在 OS X Mountain Lion 系统上升级到 BIND 9.8.3-P1 得到解决。

    CVE-ID

    CVE-2012-1667

  • CoreText

    适用于：OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：使用 CoreText 的应用软件可能容易发生应用软件意外终止或任意代码执行

    说明：处理文本字形时存在边界检查问题，可能会导致越界内存读取或写入。此问题已通过改进边界检查得到解决。此问题不会影响 Mac OS X v10.6 或 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2012-3716：Mozilla Corporation 的 Jesse Ruderman

  • 数据安全

    适用于：Mac OS X v10.6.8、Mac OS X Server v10.6.8、OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4、OS X Mountain Lion v10.8 和 v10.8.1

    影响：拥有特权网络地位的攻击者可拦截用户凭证或其他敏感信息

    说明：TrustWave（信任的根 CA）已从其信任的某个锚点签发并继而撤销子 CA 证书。该子 CA 协助了传输层安全 (TLS) 加密通信的拦截。此更新向 OS X 不受信任的证书列表添加了涉及的子 CA 证书。

  • DirectoryService

    适用于：Mac OS X v10.6.8、Mac OS X Server v10.6.8

    影响：如果使用了 DirectoryService 代理，则远程攻击者可能会导致拒绝服务或任意代码执行

    说明：DirectoryService 代理中存在缓冲区溢出。此问题已通过改进边界检查得到解决。此问题不会影响 OS X Lion 和 Mountain Lion 系统。

    CVE-ID

    CVE-2012-0650：与 HP 的 Zero Day Initiative 合作的 aazubel

  • ImageIO

    适用于：Mac OS X v10.6.8、Mac OS X Server v10.6.8、OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：查看恶意制作的 PNG 图像可能会导致应用软件意外终止或任意代码执行

    说明：libpng 在处理 PNG 图像时存在多个内存损坏问题。此问题已通过改进对 PNG 图像的验证得到解决。这些问题不会影响 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2011-3026：Jüri Aedla

    CVE-2011-3048

  • ImageIO

    适用于：Mac OS X v10.6.8、Mac OS X Server v10.6.8、OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：查看恶意制作的 TIFF 图像可能会导致应用软件意外终止或任意代码执行

    说明：libTIFF 在处理 TIFF 图像时存在整数溢出问题。此问题已通过改进对 TIFF 图像的验证得到解决。此问题不会影响 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2012-1173：与 HP 的 Zero Day Initiative 合作的 Alexander Gavrun

  • 安装器

    适用于：OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：远程管理员以及可直接访问系统的人员可能会获取帐户信息

    说明：对 OS X Lion 10.7.4 中 CVE-2012-0652 的修复阻止了在系统日志中记录用户密码，但未删除旧日志条目。此问题已通过删除包含密码的日志文件得到解决。此问题不会影响 Mac OS X 10.6 或 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2012-0652

  • Unicode 国际组件

    适用于：Mac OS X v10.6.8、Mac OS X Server v10.6.8、OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：使用 ICU 的应用软件可能容易发生应用软件意外终止或任意代码执行

    说明：处理 ICU 地区设置 ID 时存在堆栈缓冲区溢出。此问题已通过改进边界检查得到解决。此问题不会影响 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2011-4599

  • 内核

    适用于：OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：恶意程序可能会绕过沙盒限制

    说明：处理调试系统调用时存在逻辑问题。这可能使恶意程序获得具有相同用户权限的其他程序中的代码执行。此问题已通过停用对 PT_STEP 和 PT_CONTINUE 中地址的处理得到解决。此问题不会影响 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2012-0643：iOS Jailbreak Dream Team

  • 登录窗口

    适用于：OS X Mountain Lion v10.8 和 v10.8.1

    影响：本地用户也许能够获取其他用户的登录密码

    说明：用户安装的输入法可能从“登录窗口”或“屏幕保护程序解锁”拦截密码按键。此问题已通过在系统处理登录信息时阻止使用用户安装的输入法得到解决。

    CVE-ID

    CVE-2012-3718：Lukhnos Liu

  • 邮件

    适用于：Mac OS X v10.6.8、Mac OS X Server v10.6.8、OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：查看电子邮件可能会导致网页插件执行

    说明：“邮件”在处理嵌入式网页插件时存在输入验证错误。此问题已通过停用“邮件”中的第三方插件得到解决。此问题不会影响 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2012-3719：CERT/CC 的 Will Dormann

  • Mobile 帐户

    适用于：OS X Mountain Lion v10.8 和 v10.8.1

    影响：具有移动帐户内容访问权限的用户可能会获取帐户密码

    说明：创建移动帐户在该帐户中存储了密码的哈希值，用于在该移动帐户用作外部帐户时进行登录。密码哈希值可用于确定用户的密码。此问题已通过仅当创建移动帐户的系统上已启用外部帐户时创建密码哈希值得到解决。

    CVE-ID

    CVE-2012-3720：Google, Inc. 的 Harald Wagener

  • PHP

    适用于：Mac OS X v10.6.8、Mac OS X Server v10.6.8、OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4、OS X Mountain Lion v10.8 和 v10.8.1

    影响：PHP 中存在多个漏洞

    说明：>PHP 已更新至 5.3.15 版以解决多个漏洞，其中最严重的漏洞可能会导致任意代码执行。有关进一步信息，可访问 PHP 网站 http://www.php.net

    CVE-ID

    CVE-2012-0831

    CVE-2012-1172

    CVE-2012-1823

    CVE-2012-2143

    CVE-2012-2311

    CVE-2012-2386

    CVE-2012-2688

  • PHP

    适用于：Mac OS X v10.6.8、Mac OS X Server v10.6.8、OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：使用 libpng 的 PHP 脚本可能容易发生应用软件意外终止或任意代码执行

    说明：在处理 PNG 文件时存在内存损坏问题。此问题已通过将 PHP 的 libpng 副本更新到 1.5.10 版得到解决。此问题不会影响 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2011-3048

  • 描述文件管理器

    适用于：OS X Lion Server v10.7 到 v10.7.4

    影响：未经鉴定的用户可枚举被管理设备

    说明：“设备管理”专用接口中存在鉴定问题。此问题已通过删除接口得到解决。

    此问题不会影响 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2012-3721：XEquals Corporation 的 Derick Cassidy

  • QuickLook

    适用于：Mac OS X v10.6.8、Mac OS X Server v10.6.8、OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：查看恶意制作的 pict 文件可能会导致应用软件意外终止或任意代码执行

    说明：在处理 .pict 文件时存在内存损坏问题。此问题已通过改进对 .pict 文件的验证得到解决。此问题不会影响 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2012-0671：Qualys Vulnerability & Malware Research Labs (VMRL) 的 Rodrigo Rubira Branco (twitter.com/bsdaemon)

  • QuickTime

    适用于：Mac OS X v10.6.8、Mac OS X Server v10.6.8、OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：查看恶意制作的影片文件可能会导致应用软件意外终止或任意代码执行

    说明：QuickTime 在处理 sean 原子时存在整数溢出。此问题已通过改进边界检查得到解决。此问题不会影响 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2012-0670：与 HP 的 Zero Day Initiative 合作的 Tom Gallagher (Microsoft) 和 Paul Bates (Microsoft)

  • QuickTime

    适用于：Mac OS X v10.6.8、Mac OS X Server v10.6.8、OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：查看恶意制作的影片文件可能会导致应用软件意外终止或任意代码执行

    说明：处理 Sorenson 编码的影片文件时存在未初始化的内存访问问题。此问题已通过改进内存初始化得到解决。此问题不会影响 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2012-3722：CERT/CC 的 Will Dormann

  • QuickTime

    适用于：Mac OS X v10.6.8、Mac OS X Server v10.6.8、OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：查看恶意制作的影片文件可能会导致应用软件意外终止或任意代码执行

    说明：处理 RLE 编码的影片文件时存在缓冲区溢出问题。此问题已通过改进边界检查得到解决。此问题不会影响 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2012-0668：与 HP 的 Zero Day Initiative 合作的 Luigi Auriemma

  • Ruby

    适用于：Mac OS X v10.6.8、Mac OS X Server v10.6.8、OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：攻击者或许能够解密受 SSL 保护的数据

    说明：密码组在 CBC 模式中使用分组密码时存在对 SSL 3.0 和 TLS 1.0 保密性的已知攻击。Ruby OpenSSL 模块已停用阻止这些攻击的“空白碎片”对策。此问题已通过启用空白碎片得到解决。此问题不会影响 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2011-3389

  • USB

    适用于：OS X Lion v10.7 到 v10.7.4、OS X Lion Server v10.7 到 v10.7.4

    影响：附加 USB 设备可能会导致系统意外终止或任意代码执行

    说明：处理 USB 集线器描述符时存在内存损坏问题。此问题已通过改进对 bNbrPorts 描述符字段的处理得到解决。此问题不会影响 OS X Mountain Lion 系统。

    CVE-ID

    CVE-2012-3723：NGS Secure 的 Andy Davis

有关非 Apple 制造的产品或非 Apple 控制或测试的独立网站的信息仅供参考，不代表 Apple 的任何建议或保证。Apple 对于第三方网站或产品的选择、性能或使用不承担任何责任。Apple 对于第三方网站的准确性和可靠性不作任何担保。联系供应商以了解其他信息。

发布日期：