关于安全性更新 2014-005

本文介绍了安全性更新 2014-005 的安全性内容。

这一更新可以通过“软件更新”或从 Apple 支持网站进行下载和安装。

为了保护我们的客户，在进行详尽调查并推出任何必要的修补程序或发行版之前，Apple 不会透露、讨论或确认安全性问题。要进一步了解 Apple 产品安全性，请参阅“Apple 产品安全性”网站。

如需了解 Apple 产品安全性 PGP 密钥，请参阅“如何使用 Apple 产品安全性 PGP 密钥”。

在可能的情况下，我们会使用 CVE ID 来引用相应的漏洞以提供更多信息。

要了解其他安全性更新，请参阅“Apple 安全性更新”。

安全性更新 2014-005

• Secure Transport

  适用于：OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5

  影响：攻击者或许能够解密受 SSL 保护的数据

  描述：当密码组在 CBC 模式下使用分组密码时，存在与 SSL 3.0 机密性有关的已知攻击。即使服务器可以支持更好的 TLS 版本，攻击者也可以通过阻止 TLS 1.0 及更高版本的连接尝试，强制使用 SSL 3.0。已通过在 TLS 连接尝试失败时停用 CBC 密码组解决这个问题。

  CVE-ID

  CVE-2014-3566：Google Security Team 的 Bodo Moeller、Thai Duong 和 Krzysztof Kotowicz

注：安全性更新 2014-005 包含 OS X bash 更新 1.0 中的安全性内容