本文章已经归档，因此 Apple 将不再对其进行更新。

关于安全性更新 2008-007

本文介绍了安全性更新 2008-007，这一版本可以通过“软件更新”偏好设置或 Apple 下载网站进行下载和安装。

为保护我们的客户，在未进行详尽调查并推出必要的修补程序或发布版本之前，Apple 不会公开、讨论或确认安全性问题。要进一步了解 Apple 产品安全性，请参阅“Apple 产品安全性”网站。

如需了解 Apple 产品安全性 PGP 密钥，请参阅“如何使用 Apple 产品安全性 PGP 密钥”。

在可能的情况下，我们会使用 CVE ID 来引用相应的漏洞以提供更多信息。

要了解其他安全性更新，请参阅“Apple 安全性更新”。

安全性更新 2008-007

  • Apache

    • CVE-ID：CVE-2007-6420、CVE-2008-1678、CVE-2008-2364

    • 适用于：Mac OS X v10.5.5、Mac OS X 服务器 v10.5.5

    • 影响：Apache 2.2.8 中存在多个漏洞

    • 描述：Apache 已更新至 2.2.9 版以解决多个漏洞，其中最严重的漏洞可能会导致跨站点请求伪造。版本 10.5 之前的 Mac OS X 客户端系统未捆绑 Apache 版本 2。Mac OS X 服务器 v10.4.x 系统捆绑了 Apache 版本 2，但默认情况下处于非活跃状态。如需了解更多信息，请访问 Apache 网站：http://httpd.apache.org

  • Certificates

    • 适用于：Mac OS X v10.4.11、Mac OS X 服务器 v10.4.11、Mac OS X v10.5.5、Mac OS X 服务器 v10.5.5

    • 影响：根证书已更新

    • 描述：已在系统根列表中添加了多个受信任的证书。一些现有证书已更新到最新版本。可通过“钥匙串访问”应用程序来查看已识别的系统根的完整列表。

  • ClamAV

    • CVE-ID：CVE-2008-1389、CVE-2008-3912、CVE-2008-3913、CVE-2008-3914

      适用于：Mac OS X 服务器 v10.4.11、Mac OS X 服务器 v10.5.5

    • 影响：ClamAV 0.93.3 中存在多个漏洞

    • 描述：ClamAV 0.93.3 中存在多个漏洞，其中最严重的漏洞可能会导致任意代码执行。这个更新通过更新到 ClamAV 0.94 解决了这些问题。Mac OS X 客户端系统未捆绑 ClamAV。如需了解更多信息，请访问 ClamAV 网站：http://www.clamav.net/

  • ColorSync

    • CVE-ID：CVE-2008-3642

    • 适用于：Mac OS X v10.4.11、Mac OS X 服务器 v10.4.11、Mac OS X v10.5.5、Mac OS X 服务器 v10.5.5

    • 影响：查看恶意制作的图像可能会导致应用程序意外终止或任意代码执行

    • 描述：在处理内嵌 ICC 描述文件的图像时存在缓冲区溢出问题。打开内嵌 ICC 描述文件的恶意制作图像可能会导致应用程序意外终止或任意代码执行。这个更新通过对图像中的 ICC 描述文件进行额外验证，解决了这个问题。报告者：Apple。

  • CUPS

    • CVE-ID：CVE-2008-3641

    • 适用于：Mac OS X v10.4.11、Mac OS X 服务器 v10.4.11、Mac OS X v10.5.5、Mac OS X 服务器 v10.5.5

    • 影响：远程攻击者或许能够使用“lp”用户的权限导致任意代码执行

    • 描述：Hewlett-Packard 图形语言 (HPGL) 筛选器中存在范围检查问题，这可能会导致任意内存被受控数据覆盖。如果启用了“打印机共享”，远程攻击者或许能够使用“lp”用户的权限导致任意代码执行。如果未启用“打印机共享”，本地用户或许能够获得提升的权限。这个更新通过进行额外的边界检查解决了这个问题。感谢 Regenrecht 与 TippingPoint 的 Zero Day Initiative 合作报告这个问题。

  • Finder

    • CVE-ID：CVE-2008-3643

    • 适用于：Mac OS X v10.5.5、Mac OS X 服务器 v10.5.5

      影响：桌面上的文件可能会导致服务遭拒

    • 描述：访达中存在错误恢复问题。桌面上恶意制作的文件会导致访达在生成其图标时意外终止，这将导致访达不断终止并重新启动。在移除文件之前，无法通过访达的用户界面访问用户账户。这个更新通过在单独进程中生成图标解决了这个问题。这个问题不影响 Mac OS X v10.5 之前的系统。感谢 n.runs AG 的 Sergio 'shadown' Alvarez 报告这个问题。

  • launchd

    • 影响：应用程序可能无法按照请求进入沙盒

    • 适用于：Mac OS X v10.5.5、Mac OS X 服务器 v10.5.5

    • 描述：这个更新解决了 Mac OS X v10.5.5 引入的一个问题。launchd 中的实现问题可能会导致应用程序进入沙盒的请求失败。这个问题不会影响使用已记录的 sandbox_init API 的程序。这个更新通过提供更新版本的 launchd 解决了这个问题。这个问题不影响 Mac OS X v10.5.5 之前的系统。

  • libxslt

    • CVE-ID：CVE-2008-1767

    • 适用于：Mac OS X v10.4.11、Mac OS X 服务器 v10.4.11、Mac OS X v10.5.5、Mac OS X 服务器 v10.5.5

    • 影响：处理 XML 文稿可能会导致应用程序意外终止或任意代码执行

      描述：libxslt 资料库中存在堆缓冲区溢出问题。查看恶意制作的 HTML 页面可能会导致应用程序意外终止或任意代码执行。有关所应用修补程序的更多信息，请访问：http://xmlsoft.org/XSLT/ 感谢 Outpost24 AB 的 Anthony de Almeida Lopes 和 Google 安全团队的 Chris Evans 报告这个问题。

  • MySQL Server

    • CVE-ID：CVE-2007-2691、CVE-2007-5969、CVE-2008-0226、CVE-2008-0227、CVE-2008-2079

    • 适用于：Mac OS X 服务器 v10.5.5

      影响：MySQL 5.0.45 中存在多个漏洞

    • 描述：MySQL 已更新至 5.0.67 版以解决多个漏洞，其中最严重的漏洞可能会导致任意代码执行。这些问题仅影响 Mac OS X 服务器系统。如需了解更多信息，请访问 MySQL 网站：http://dev.mysql.com/doc/refman/5.0/en/news-5-0-67.html

  • Networking

    • CVE-ID：CVE-2008-3645

    • 适用于：Mac OS X v10.4.11、Mac OS X 服务器 v10.4.11、Mac OS X v10.5.5、Mac OS X 服务器 v10.5.5

    • 影响：本地用户可能会获得系统权限

    • 描述：configd 的 EAPOLController 插件的本地 IPC 组件中存在堆缓冲区溢出问题，这可能会让本地用户获得系统权限。这个更新通过改进边界检查解决了这个问题。报告者：Apple。

  • PHP

    • CVE-ID：CVE-2007-4850、CVE-2008-0674、CVE-2008-2371

    • 适用于：Mac OS X v10.4.11、Mac OS X 服务器 v10.4.11、Mac OS X 服务器 v10.5.5

    • 影响：PHP 4.4.8 中存在多个漏洞

    • 描述：PHP 已更新至 4.4.9 版以解决多个漏洞，其中最严重的漏洞可能会导致任意代码执行。如需了解更多信息，请访问 PHP 网站：http://www.php.net/ 这些问题仅影响运行 Mac OS X v10.4.x、Mac OS X 服务器 v10.4.x 或 Mac OS X 服务器 v10.5.x 的系统。

  • Postfix

    • CVE-ID：CVE-2008-3646

    • 适用于：Mac OS X v10.5.5

      影响：远程攻击者或许能够直接向本地用户发送邮件

    • 描述：Postfix 配置文件中存在问题。在本地命令行工具发送邮件后一分钟内，可以从网络中访问 postfix。在这段时间内，可以连接到 SMTP 端口的远程实体或许能够向本地用户发送邮件和以其他方式使用 SMTP 协议。这个问题不会导致系统成为开放式邮件中继。通过修改 Postfix 配置以阻止来自远程计算机的 SMTP 连接，这个问题已得到解决。这个问题不影响 Mac OS X v10.5 之前的系统，也不影响 Mac OS X 服务器。感谢 Pelle Johansson 报告这个问题。

  • PSNormalizer

    • CVE-ID：CVE-2008-3647

    • 适用于：Mac OS X v10.4.11、Mac OS X 服务器 v10.4.11、Mac OS X v10.5.5、Mac OS X 服务器 v10.5.5

    • 影响：查看恶意制作的 PostScript 文件可能会导致应用程序意外终止或任意代码执行

    • 描述：PSNormalizer 在处理 PostScript 文件中的边界框注释时存在缓冲区溢出问题。查看恶意制作的 PostScript 文件可能会导致应用程序意外终止或任意代码执行。这个更新通过对 PostScript 文件进行额外验证解决了这个问题。

    • 报告者：Apple。

  • QuickLook

    • CVE-ID：CVE-2008-4211

    • 适用于：Mac OS X v10.5.5、Mac OS X 服务器 v10.5.5

    • 影响：下载或查看恶意制作的 Microsoft Excel 文件可能会导致应用程序意外终止或任意代码执行

    • 描述：QuickLook 在处理 Microsoft Excel 文件中的列时存在符号问题，这可能会导致内存访问越界。下载或查看恶意制作的 Microsoft Excel 文件可能会导致应用程序意外终止或任意代码执行。这个更新通过对 Microsoft Excel 文件进行额外验证解决了这个问题。这个问题不影响 Mac OS X v10.5 之前的系统。报告者：Apple。

  • rlogin

    • CVE-ID：CVE-2008-4212

    • 适用于：Mac OS X v10.4.11、Mac OS X 服务器 v10.4.11、Mac OS X v10.5.5、Mac OS X 服务器 v10.5.5

    • 影响：手动配置为使用 rlogin 和 host.equiv 的系统可能会意外允许 root 登录

    • 描述：配置文件 hosts.equiv 的手册页指出条目不适用于 root。但是，rlogind 中的一个实现问题会导致这些条目也适用于 root。如果远程系统位于 hosts.equiv 中，这个更新可通过正确禁止 rlogin 使用 root 用户解决这个问题。Mac OS X 中默认不启用 rlogin 服务，而且必须手动配置才能启用。感谢 Ralf Meyer 报告这个问题。

  • Script Editor

    • CVE-ID：CVE-2008-4214

    • 适用于：Mac OS X v10.4.11、Mac OS X 服务器 v10.4.11、Mac OS X v10.5.5、Mac OS X 服务器 v10.5.5

    • 影响：本地用户可能会获得正在使用脚本编辑器的另一个用户的权限

    • 描述：打开应用程序脚本编写词典时，脚本编辑器应用程序中存在文件操作不安全的问题。本地用户可将脚本编写词典写入运行应用程序的用户可访问的任意路径。这个更新通过在安全位置创建临时文件解决了这个问题。报告者：Apple。

  • Single Sign-On

    • 适用于：Mac OS X v10.5.5、Mac OS X 服务器 v10.5.5

    • 影响：sso_util 命令现在接受文件中的密码

    • 描述：sso_util 命令现在接受 SSO_PASSWD_PATH 环境变量所指定文件中的密码。这使自动化脚本能够更安全地使用 sso_util。

  • Tomcat

    • CVE-ID：CVE-2007-6286、CVE-2008-0002、CVE-2008-1232、CVE-2008-1947、CVE-2008-2370、CVE-2008-2938、CVE-2007-5333、CVE-2007-5342、CVE-2007-5461

    • 适用于：Mac OS X 服务器 v10.5.5

    • 影响：Tomcat 6.0.14 中存在多个漏洞

    • 描述：Mac OS X v10.5 系统上的 Tomcat 已更新至 6.0.18 版以解决多个漏洞，其中最严重的漏洞可能会导致跨站点脚本攻击。这些问题仅影响 Mac OS X 服务器系统。如需了解更多信息，请访问 Tomcat 网站：http://tomcat.apache.org/

  • vim

    • CVE-ID：CVE-2008-2712、CVE-2008-4101、CVE-2008-2712、CVE-2008-3432、CVE-2008-3294

    • 适用于：Mac OS X v10.5.5、Mac OS X 服务器 v10.5.5

    • 影响：vim 7.0 中存在多个漏洞

    • 描述：vim 7.0 中存在多个漏洞，其中最严重的漏洞可能会导致在处理恶意制作的文件时发生任意代码执行。这个更新通过更新到 vim 7.2.0.22 解决了这些问题。如需了解更多信息，请访问 vim 网站：http://www.vim.org/

  • Weblog

    • CVE-ID：CVE-2008-4215

    • 适用于：Mac OS X 服务器 v10.4.11

    • 影响：可能不会对 weblog 发布实施访问控制

    • 描述：weblog 服务器中存在未勾选错误情况。将具有多个短名称的用户添加到 weblog 发布的访问控制列表可能会导致 Weblog 服务器无法实施访问控制。这个问题已通过改进访问控制列表的保存方式得到解决。这个问题仅影响运行 Mac OS X 服务器 v10.4 的系统。报告者：Apple。

发布日期：