关于 OS X Mountain Lion v10.8.3 和安全性更新 2013-001 的安全性内容
本文介绍了 OS X Mountain Lion v10.8.3 和安全性更新 2013-001 的安全性内容。
您可以通过“软件更新”偏好设置或从“Apple 下载”页面下载并安装 OS X Mountain Lion v10.8.3 和安全性更新 2013-001。
为保护我们的客户，在未进行详尽调查并推出任何必要的修补程序或发行版本之前，Apple 不会公开、讨论或确认安全性问题。要了解有关 Apple 产品安全性的更多信息，请参阅“Apple 产品安全性”网站。
有关 Apple 产品安全性 PGP 密钥的信息，请参阅“如何使用 Apple 产品安全性 PGP 密钥”。
如果可能，请使用 CVE ID 来查阅漏洞的详细信息。
要了解有关其他安全性更新的信息，请参阅“Apple 安全性更新”。
注：OS X Mountain Lion v10.8.3 包含 Safari 6.0.3 的内容。有关更多详细信息，请参阅“关于 Safari 6.0.3 的安全性内容”。
OS X Mountain Lion v10.8.3 和安全性更新 2013-001
Apache
适用于：Mac OS X 10.6.8、Mac OS X Server 10.6.8、OS X Lion v10.7 到 v10.7.5、OS X Lion Server v10.7 到 v10.7.5、OS X Mountain Lion v10.8 到 v10.8.2
影响：攻击者或许能够在不知道正确凭证的情况下访问受 HTTP 鉴定保护的目录
说明：处理包含可忽略的 Unicode 字符序列的 URI 时存在规范化问题。已通过更新 mod_hfs_apple 来禁止访问包含可忽略的 Unicode 字符序列的 URI 解决这个问题。
CVE-ID
CVE-2013-0966：Laconic Security 的 Clint Ruoho
CoreTypes
适用于：OS X Lion v10.7 到 v10.7.5、OS X Lion Server v10.7 到 v10.7.5、OS X Mountain Lion v10.8 到 v10.8.2
影响：访问恶意制作的网站可允许 Java Web Start 应用程序自动启动，即使停用了 Java 插件也是如此
说明：即使停用了 Java 插件，Java Web Start 应用程序仍会运行。已通过从 CoreTypes 安全文件类型列表中移除 JNLP 文件解决这个问题，这样仅当用户在“下载”目录中打开 Web Start 应用程序时它才会运行。
CVE-ID
CVE-2013-0967
Unicode 国际组件
适用于：Mac OS X 10.6.8、Mac OS X Server 10.6.8、OS X Lion v10.7 到 v10.7.5、OS X Lion Server v10.7 到 v10.7.5、OS X Mountain Lion v10.8 到 v10.8.2
影响：访问恶意制作的网站可能会导致跨站点脚本攻击
说明：处理 EUC-JP 编码时存在规范化问题，这可能会导致对 EUC-JP 编码的网站进行跨站点脚本攻击。已通过更新 EUC-JP 映射表解决这个问题。
CVE-ID
CVE-2011-3058：Masato Kinugawa
身份服务
适用于：OS X Lion v10.7 到 v10.7.5、OS X Lion Server v10.7 到 v10.7.5、OS X Mountain Lion v10.8 到 v10.8.2
影响：可能会绕过依靠基于证书的 Apple ID 鉴定的鉴定
说明：身份服务中存在错误处理问题。如果用户的 Apple ID 证书验证失败，用户的 Apple ID 会被视为空字符串。如果不同用户所属的多个系统进入这个状态，则依靠这个身份确认的应用程序可能会错误地扩展信任。已通过确保返回 NULL 而不是空字符串解决这个问题。
CVE-ID
CVE-2013-0963
ImageIO
适用于：Mac OS X 10.6.8、Mac OS X Server 10.6.8、OS X Lion v10.7 到 v10.7.5、OS X Lion Server v10.7 到 v10.7.5、OS X Mountain Lion v10.8 到 v10.8.2
影响：查看恶意制作的 TIFF 文件可能会导致应用程序意外终止或任意代码执行
说明：libtiff 在处理 TIFF 图像时存在缓冲区溢出。已通过新增 TIFF 图像的验证解决这个问题。
CVE-ID
CVE-2012-2088
IOAcceleratorFamily
适用于：OS X Mountain Lion v10.8 到 v10.8.2
影响：查看恶意制作的图像可能会导致系统意外终止或任意代码执行
说明：处理图形数据时存在内存损坏问题。此问题已通过改进边界检查得到解决。
CVE-ID
CVE-2013-0976：一位匿名研究人员
内核
适用于：OS X Mountain Lion v10.8 到 v10.8.2
影响：恶意制作的或遭入侵的应用程序或许能够确定内核地址
说明：处理内核扩展相关的 API 时存在信息泄露问题。含 OSBundleMachOHeaders 密钥的响应可能包含内核地址，这可能有助于绕过地址空间布局随机化保护。已通过返回地址之前取消滑动地址解决这个问题。
CVE-ID
CVE-2012-3749：Azimuth Security 的 Mark Dowd、Square 的 Eric Monti 以及其他匿名研究人员
登录窗口
适用于：OS X Mountain Lion v10.8 到 v10.8.2
影响：可访问键盘的攻击者可以修改系统配置
说明：VoiceOver 在处理“登录窗口”时存在逻辑错误，可访问键盘的攻击者可凭此启动“系统偏好设置”并修改系统配置。已通过阻止 VoiceOver 在“登录窗口”启动应用程序解决这个问题。
CVE-ID
CVE-2013-0969：Purpletree Labs 的 Eric A. Schulman
信息
适用于：OS X Mountain Lion v10.8 到 v10.8.2
影响：点按“信息”中的链接可能会在没有提示的情况下发起 FaceTime 通话
说明：在“信息”中点按特定格式的 FaceTime:// URL 可能会绕过标准的确认提示。已通过新增 FaceTime:// URL 验证解决这个问题。
CVE-ID
CVE-2013-0970：vtty.com 的 Aaron Sigel
Messages Server
适用于：Mac OS X Server 10.6.8、OS X Lion Server v10.7 到 v10.7.5
影响：远程攻击者可以将联合的 Jabber 信息发给其他人
说明：Jabber 服务器在处理回拨结果信息时存在问题。攻击者可能会导致 Jabber 服务器泄露专用于联合服务器用户的信息。已通过改进对回拨结果信息的处理解决这个问题。
CVE-ID
CVE-2012-3525
PDFKit
适用于：Mac OS X 10.6.8、Mac OS X Server 10.6.8、OS X Lion v10.7 到 v10.7.5、OS X Lion Server v10.7 到 v10.7.5、OS X Mountain Lion v10.8 到 v10.8.2
影响：查看恶意制作的 PDF 文件可能会导致应用软件意外终止或任意代码执行
说明：处理 PDF 文件中的墨迹注释时存在“释放后使用”问题。此问题已通过改进内存管理得到解决。
CVE-ID
CVE-2013-0971：与 HP TippingPoint 的 Zero Day Initiative 合作的 Tobias Klein
Podcast Producer Server
适用于：Mac OS X Server 10.6.8、OS X Lion Server v10.7 到 v10.7.5
影响：远程攻击者或许能够导致任意代码执行
说明：Ruby on Rails 在处理 XML 参数时存在类型转换问题。已通过在 Podcast Producer Server 所使用的 Rails 执行方案中停用 XML 参数解决这个问题。
CVE-ID
CVE-2013-0156
Podcast Producer Server
适用于：OS X Lion Server v10.7 到 v10.7.5
影响：远程攻击者或许能够导致任意代码执行
说明：Ruby on Rails 在处理 JSON 数据时存在类型转换问题。已通过在 Podcast Producer Server 所使用的 Rails 执行方案中切换为将 JSONGem 后端用于 JSON 解析解决这个问题。
CVE-ID
CVE-2013-0333
PostgreSQL
适用于：Mac OS X Server 10.6.8、OS X Lion Server v10.7 到 v10.7.5
影响：PostgreSQL 中存在多个漏洞
说明：PostgreSQL 已更新至 9.1.5 版以解决多个漏洞，其中最严重的漏洞可能会允许数据库用户读取设有数据库服务器角色帐户权限的文件系统中的文件。有关更多信息，请访问 PostgreSQL 网站 http://www.postgresql.org/docs/9.1/static/release-9-1-5.html。
CVE-ID
CVE-2012-3488
CVE-2012-3489
描述文件管理器
适用于：OS X Lion Server v10.7 到 v10.7.5
影响：远程攻击者或许能够导致任意代码执行
说明：Ruby on Rails 在处理 XML 参数时存在类型转换问题。已通过在描述文件管理器所使用的 Rails 执行方案中停用 XML 参数解决这个问题。
CVE-ID
CVE-2013-0156
QuickTime
适用于：Mac OS X 10.6.8、Mac OS X Server 10.6.8、OS X Lion v10.7 到 v10.7.5、OS X Lion Server v10.7 到 v10.7.5、OS X Mountain Lion v10.8 到 v10.8.2
影响：查看恶意制作的影片文件可能会导致应用程序意外终止或任意代码执行
说明：处理 MP4 文件中的 'rnet' 消息框时存在缓冲区溢出。此问题已通过改进边界检查得到解决。
CVE-ID
CVE-2012-3756：QuarksLab 的 Kevin Szkudlapski
Ruby
适用于：Mac OS X Server 10.6.8
影响：如果 Rails 应用程序处于运行状态，远程攻击者或许能够导致任意代码执行
说明：Ruby on Rails 在处理 XML 参数时存在类型转换问题。已通过停用 Rails 的 XML 参数中的 YAML 和符号解决这个问题。
CVE-ID
CVE-2013-0156
安全性
适用于：Mac OS X 10.6.8、Mac OS X Server 10.6.8、OS X Lion v10.7 到 v10.7.5、OS X Lion Server v10.7 到 v10.7.5、OS X Mountain Lion v10.8 到 v10.8.2
影响：拥有特权网络地位的攻击者可拦截用户凭证或其他敏感信息
说明：TURKTRUST 错误地发布了多个中间 CA 证书。这可能允许中间人攻击者重定向连接并拦截用户凭证或其他敏感信息。已通过不允许错误的 SSL 证书解决这个问题。
软件更新
适用于：Mac OS X 10.6.8、Mac OS X Server 10.6.8、OS X Lion v10.7 到 v10.7.5、OS X Lion Server v10.7 到 v10.7.5
影响：拥有特权网络地位的攻击者或许能够导致任意代码执行
说明：“软件更新”允许中间人攻击者在显示更新的营销文本中插入插件内容。这可能允许利用漏洞插件，或促进插件相关的社交工程攻击。这个问题不会影响 OS X Mountain Lion 系统。已通过阻止在“软件更新”的营销文本 WebView 中载入插件解决这个问题。
CVE-ID
CVE-2013-0973：Emilio Escobar
Wiki Server
适用于：OS X Lion Server v10.7 到 v10.7.5
影响：远程攻击者或许能够导致任意代码执行
说明：Ruby on Rails 在处理 XML 参数时存在类型转换问题。已通过在 Wiki Server 所使用的 Rails 执行方案中停用 XML 参数解决这个问题。
CVE-ID
CVE-2013-0156
Wiki Server
适用于：OS X Lion Server v10.7 到 v10.7.5
影响：远程攻击者或许能够导致任意代码执行
说明：Ruby on Rails 在处理 JSON 数据时存在类型转换问题。已通过在 Wiki Server 所使用的 Rails 执行方案中切换为将 JSONGem 后端用于 JSON 解析解决这个问题。
CVE-ID
CVE-2013-0333
移除恶意软件
适用于：Mac OS X 10.6.8、Mac OS X Server 10.6.8、OS X Lion v10.7 到 v10.7.5、OS X Lion Server v10.7 到 v10.7.5、OS X Mountain Lion v10.8 到 v10.8.2
说明：这个更新会运行恶意软件移除工具，这个工具会移除最常见的恶意软件变体。如果发现恶意软件，这个工具会显示一个对话框，通知用户恶意软件已移除。如果没有发现恶意软件，就不会出现提示。
并非所有国家或地区都能使用 FaceTime。
有关非 Apple 制造的产品或非 Apple 控制或测试的独立网站的信息仅供参考，不代表 Apple 的任何建议或保证。Apple 对于第三方网站或产品的选择、性能或使用不承担任何责任。Apple 对于第三方网站的准确性和可靠性不作任何担保。联系供应商以了解其他信息。