关于 OS X Yosemite v10.10.5 和安全性更新 2015-006 的安全性内容

本文介绍了 OS X Yosemite v10.10.5 和安全性更新 2015-006 的安全性内容。

为保护我们的客户，在未进行详尽调查并推出必要的修补程序或发行版之前，Apple 不会公开、讨论或确认安全性问题。要了解有关 Apple 产品安全性的更多信息，请参阅“Apple 产品安全性”网站。

有关 Apple 产品安全性 PGP 密钥的信息，请参阅“如何使用 Apple 产品安全性 PGP 密钥”。

如果可能，请使用 CVE ID 来查阅漏洞的详细信息。

要了解有关其他安全性更新的信息，请参阅“Apple 安全性更新”。

OS X Yosemite v10.10.5 和安全性更新 2015-006

  • apache

    适用于：OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    影响：Apache 2.4.16 中存在多个漏洞，其中最严重的漏洞可能允许远程攻击者导致服务遭拒。

    说明：版本 2.4.16 之前的 Apache 版本中存在多个漏洞。它们已通过将 Apache 更新至版本 2.4.16 得到解决。

    CVE-ID

    CVE-2014-3581

    CVE-2014-3583

    CVE-2014-8109

    CVE-2015-0228

    CVE-2015-0253

    CVE-2015-3183

    CVE-2015-3185

  • apache_mod_php

    适用于：OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    影响：PHP 5.5.20 中存在多个漏洞，其中最严重的漏洞可能会导致任意代码执行。

    说明：版本 5.5.20 之前的 PHP 版本中存在多个漏洞。它们已通过将 Apache 更新至版本 5.5.27 得到解决。

    CVE-ID

    CVE-2015-2783

    CVE-2015-2787

    CVE-2015-3307

    CVE-2015-3329

    CVE-2015-3330

    CVE-2015-4021

    CVE-2015-4022

    CVE-2015-4024

    CVE-2015-4025

    CVE-2015-4026

    CVE-2015-4147

    CVE-2015-4148

  • Apple ID OD 插件

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：恶意应用软件或许能够更改本地用户的密码

    说明：在某些情况下，密码鉴定中存在状态管理问题。此问题已通过改进状态管理得到解决。

    CVE-ID

    CVE-2015-3799：与 HP 的 Zero Day Initiative 合作的一位匿名研究人员

  • AppleGraphicsControl

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：恶意应用软件或许能够确定内核内存布局

    说明：AppleGraphicsControl 中存在可能已导致内核内存布局泄漏的问题。此问题已通过改进边界检查得到解决。

    CVE-ID

    CVE-2015-5768：KeenTeam 的 JieTao Yang

  • 蓝牙

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：本地用户或许能够以系统权限执行任意代码

    说明：IOBluetoothHCIController 中存在内存损坏问题。此问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-3779：Facebook Security 的 Teddy Reed

  • 蓝牙

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：恶意应用软件或许能够确定内核内存布局

    说明：内存管理问题可能已导致内核内存布局泄漏。此问题已通过改进内存管理得到解决。

    CVE-ID

    CVE-2015-3780：Emaze Networks 的 Roberto Paleari 和 Aristide Fattori

  • 蓝牙

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：恶意 app 或许能够从其他 iCloud 设备访问通知

    说明：存在问题，恶意 app 可以通过 Apple Notification Center Service 访问蓝牙配对的 Mac 或 iOS 设备的“通知中心”通知。此问题影响使用 Handoff 并登录到同一 iCloud 帐户的设备。此问题已通过撤销对 Apple Notification Center Service 的访问得到解决。

    CVE-ID

    CVE-2015-3786：Xiaolong Bai（清华大学）、System Security Lab（印第安纳大学）、Tongxin Li（北京大学）、XiaoFeng Wang（印第安纳大学）

  • 蓝牙

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：拥有特权网络地位的攻击者或许能够使用错误的蓝牙数据包发动拒绝服务攻击

    说明：解析蓝牙 ACL 数据包时存在输入验证问题。此问题已通过改进输入验证得到解决。

    CVE-ID

    CVE-2015-3787：Trend Micro

  • 蓝牙

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：本地攻击者或许能够导致应用软件意外终止或任意代码执行

    说明：blued 在处理 XPC 消息时存在多个缓冲区溢出问题。这些问题已通过改进边界检查得到解决。

    CVE-ID

    CVE-2015-3777：[PDX] 的 mitp0sh

  • bootp

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：恶意 Wi-Fi 网络也许能确定设备之前访问的网络

    说明：连接到 Wi-Fi 网络时，iOS 可能会通过 DNAv4 协议广播之前所访问的网络的 MAC 地址。此问题已通过在未加密的 Wi-Fi 网络上停用 DNAv4 得到解决。

    CVE-ID

    CVE-2015-3778：牛津大学牛津互联网学院的 Piers O'Hanlon（关于 EPSRC Being There 项目）

  • CloudKit

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：恶意应用软件或许能够访问之前登录的用户的 iCloud 用户记录

    说明：注销用户时 CloudKit 中存在状态不一致问题。此问题已通过改进状态处理得到解决。

    CVE-ID

    CVE-2015-3782：多伦多大学的 Deepkanwal Plaha

  • CoreMedia 回放

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：查看恶意制作的影片文件可能会导致应用软件意外终止或任意代码执行

    说明：CoreMedia 回放中存在内存损坏问题。这些问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-5777：Apple

    CVE-2015-5778：Apple

  • CoreText

    适用于：OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    影响：处理恶意制作的字体文件可能会导致应用软件意外终止或任意代码执行

    说明：在处理字体文件时存在内存损坏问题。此问题已通过改进输入验证得到解决。

    CVE-ID

    CVE-2015-5761：John Villamil (@day6reak)，Yahoo Pentest Team

  • CoreText

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：处理恶意制作的字体文件可能会导致应用软件意外终止或任意代码执行

    说明：在处理字体文件时存在内存损坏问题。此问题已通过改进输入验证得到解决。

    CVE-ID

    CVE-2015-5755：John Villamil (@day6reak)，Yahoo Pentest Team

  • curl

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：版本 7.38.0 之前的 cURL 和 libcurl 中存在多个漏洞，其中一个漏洞可能允许远程攻击者绕过同源策略。

    说明：版本 7.38.0 之前的 cURL 和 libtiff 版本中存在多个漏洞。这些问题已通过将 cURL 更新至版本 7.43.0 得到解决。

    CVE-ID

    CVE-2014-3613

    CVE-2014-3620

    CVE-2014-3707

    CVE-2014-8150

    CVE-2014-8151

    CVE-2015-3143

    CVE-2015-3144

    CVE-2015-3145

    CVE-2015-3148

    CVE-2015-3153

  • 数据探测器引擎

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：处理一系列 Unicode 字符可能会导致应用软件意外终止或任意代码执行

    说明：处理 Unicode 字符时存在内存损坏问题。这些问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-5750：Safeye Team (www.safeye.org) 的 M1x7e1

  • “日期与时间”偏好设置面板

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：依赖于系统时间的应用软件可能出现意外行为

    说明：修改系统日期和时间偏好设置时存在授权问题。此问题已通过额外的授权检查得到解决。

    CVE-ID

    CVE-2015-3757：Mark S C Smith

  • “词典”应用软件

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：拥有特权网络地位的攻击者或许能够拦截用户的“词典”app 查询

    说明：“词典”app 中存在问题，没有正确保护用户通信安全。此问题已通过将“词典”查询移至 HTTPS 得到解决。

    CVE-ID

    CVE-2015-3774：EEQJ 的 Jeffrey Paul、Google 安全团队的 Jan Bee

  • DiskImages

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：处理恶意制作的 DMG 文件可能会导致应用软件意外终止或以系统权限执行任意代码

    说明：解析错误的 DMG 图像时存在内存损坏问题。此问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-3800：Yahoo Pentest Team 的 Frank Graziano

  • dyld

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：本地用户或许能够以系统权限执行任意代码

    说明：dyld 中存在路径验证问题。此问题已通过改进环境清理得到解决。

    CVE-ID

    CVE-2015-3760：grayhash 的 beist、Stefan Esser

  • FontParser

    适用于：OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    影响：处理恶意制作的字体文件可能会导致应用软件意外终止或任意代码执行

    说明：在处理字体文件时存在内存损坏问题。此问题已通过改进输入验证得到解决。

    CVE-ID

    CVE-2015-3804：Apple

    CVE-2015-5775：Apple

  • FontParser

    适用于：OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    影响：处理恶意制作的字体文件可能会导致应用软件意外终止或任意代码执行

    说明：在处理字体文件时存在内存损坏问题。此问题已通过改进输入验证得到解决。

    CVE-ID

    CVE-2015-5756：John Villamil (@day6reak)，Yahoo Pentest Team

  • groff

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：pdfroff 中存在多个问题

    说明：pdfroff 中存在多个问题，其中最严重的问题可能允许任意文件系统修改。这些问题已通过移除 pdfroff 得到解决。

    CVE-ID

    CVE-2009-5044

    CVE-2009-5078

  • ImageIO

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：处理恶意制作的 TIFF 图像可能会导致应用软件意外终止或任意代码执行

    说明：处理 TIFF 图像时存在内存损坏问题。此问题已通过改进边界检查得到解决。

    CVE-ID

    CVE-2015-5758：Apple

  • ImageIO

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：访问恶意制作的网站可能会导致进程内存的泄露

    说明：ImageIO 在处理 PNG 和 TIFF 图像时存在未初始化内存访问问题。访问恶意网站可能会导致数据从进程内存发送到该网站。此问题已通过改进内存初始化和对 PNG 和 TIFF 图像执行额外验证而得到解决。

    CVE-ID

    CVE-2015-5781：Michal Zalewski

    CVE-2015-5782：Michal Zalewski

  • 传统安装框架

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：恶意应用软件或许能够以根权限执行任意代码

    说明：Install.framework 的“运行程序”二进制文件降权方式存在问题。此问题已通过改进权限管理得到解决。

    CVE-ID

    CVE-2015-5784：Google Project Zero 的 Ian Beer

  • 传统安装框架

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：恶意应用软件或许能够以系统权限执行任意代码

    说明：Install.framework 的“运行程序”二进制文件中存在紊乱情况，这会导致降权方式不正确。此问题已通过改进对象锁定得到解决。

    CVE-ID

    CVE-2015-5754：Google Project Zero 的 Ian Beer

  • IOFireWireFamily

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：本地用户或许能够以系统权限执行任意代码

    说明：IOFireWireFamily 中存在内存损坏问题。这些问题已通过额外的类型输入验证得到解决。

    CVE-ID

    CVE-2015-3769：Ilja van Sprundel

    CVE-2015-3771：Ilja van Sprundel

    CVE-2015-3772：Ilja van Sprundel

  • IOGraphics

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：恶意应用软件或许能够以系统权限执行任意代码

    说明：IOGraphics 中存在内存损坏问题。此问题已通过额外的类型输入验证得到解决。

    CVE-ID

    CVE-2015-3770：Ilja van Sprundel

    CVE-2015-5783：Ilja van Sprundel

  • IOHIDFamily

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：本地用户或许能够以系统权限执行任意代码

    说明：IOHIDFamily 中存在缓冲区溢出问题。此问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-5774：TaiG Jailbreak Team

  • 内核

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：恶意应用软件或许能够确定内核内存布局

    说明：mach_port_space_info 接口中存在可能已导致内核内存布局泄漏的问题。此问题已通过停用 mach_port_space_info 接口得到解决。

    CVE-ID

    CVE-2015-3766：Alibaba Mobile 安全团队的 Cererdlong，@PanguTeam

  • 内核

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：恶意应用软件或许能够以系统权限执行任意代码

    说明：处理 IOKit 函数时存在整数溢出。此问题已通过改进对 IOKit API 参数的验证得到解决。

    CVE-ID

    CVE-2015-3768：Ilja van Sprundel

  • 内核

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：本地用户可能会导致系统服务遭到拒绝

    描述：fasttrap 驱动程序中存在资源耗尽问题。此问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-5747：m00nbsd 的 Maxime VILLARD

  • 内核

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：本地用户可能会导致系统服务遭到拒绝

    说明：装载 HFS 宗卷时存在验证问题。此问题已通过添加额外的检查得到解决。

    CVE-ID

    CVE-2015-5748：m00nbsd 的 Maxime VILLARD

  • 内核

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：恶意应用软件或许能够执行未签名的代码

    说明：存在问题，允许未签名的代码在专门制作的可执行文件中附加到签名的代码。此问题已通过改进代码签名验证得到解决。

    CVE-ID

    CVE-2015-3806：TaiG Jailbreak Team

  • 内核

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：专门制作的可执行文件可能允许执行未签名的恶意代码

    说明：评估多架构可执行文件的方式存在问题，可能已允许执行未签名的代码。此问题已通过改进对可执行文件的验证得到解决。

    CVE-ID

    CVE-2015-3803：TaiG Jailbreak Team

  • 内核

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：本地用户或许能够执行未签名的代码

    说明：处理 Mach-O 文件时存在验证问题。此问题已通过添加额外的检查得到解决。

    CVE-ID

    CVE-2015-3802：TaiG Jailbreak Team

    CVE-2015-3805：TaiG Jailbreak Team

  • 内核

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：解析恶意制作的 plist 可能会导致应用软件意外终止或以系统权限执行任意代码

    说明：在处理错误的 plist 时存在内存损坏问题。此问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-3776：Facebook Security 的 Teddy Reed、Jinx Germany 的 Patrick Stein (@jollyjinx)

  • 内核

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：本地用户或许能够以系统权限执行任意代码

    说明：存在路径验证问题。此问题已通过改进环境清理得到解决。

    CVE-ID

    CVE-2015-3761：Apple

  • Libc

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：处理恶意制作的常规表达式可能会导致应用软件意外终止或任意代码执行

    说明：TRE 资源库存在内存损坏问题。这些问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-3796：Google Project Zero 的 Ian Beer

    CVE-2015-3797：Google Project Zero 的 Ian Beer

    CVE-2015-3798：Google Project Zero 的 Ian Beer

  • Libinfo

    适用于：OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    影响：远程攻击者可能会引发应用软件意外终止或任意代码执行

    说明：处理 AF_INET6 套接字时存在内存损坏问题。这些问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-5776：Apple

  • libpthread

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：恶意应用软件或许能够以系统权限执行任意代码

    说明：处理系统调用时存在内存损坏问题。此问题已通过改进锁定状态检查得到解决。

    CVE-ID

    CVE-2015-5757：Qihoo 360 的 Lufeng Li

  • libxml2

    适用于：OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    影响：版本 2.9.2 之前的 libxml2 版本中存在多个漏洞，其中最严重的漏洞可能允许远程攻击者导致服务遭拒

    说明：版本 2.9.2 之前的 libxml2 版本中存在多个漏洞。它们已通过将 libxml2 更新至版本 2.9.2 得到解决。

    CVE-ID

    CVE-2012-6685：Google 的 Felix Groebert

    CVE-2014-0191：Google 的 Felix Groebert

  • libxml2

    适用于：OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    影响：解析恶意制作的 XML 文稿可能会导致用户信息泄露

    说明：libxml2 中存在内存访问问题。此问题已通过改进内存处理得到解决

    CVE-ID

    CVE-2014-3660：Google 的 Felix Groebert

  • libxml2

    适用于：OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    影响：解析恶意制作的 XML 文稿可能会导致用户信息泄露

    说明：解析 XML 文件时存在内存损坏问题。此问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-3807：Apple

  • libxpc

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：恶意应用软件或许能够以系统权限执行任意代码

    说明：处理错误的 XPC 信息时存在内存损坏问题。此问题已通过改进边界检查得到改进。

    CVE-ID

    CVE-2015-3795：Mathew Rowley

  • mail_cmds

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：本地用户也许能够执行任意 shell 命令

    说明：mailx 在解析电子邮件地址时存在验证问题。此问题已通过改进清理得到解决。

    CVE-ID

    CVE-2014-7844

  • 通知中心 OSX

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：恶意应用软件或许能够访问之前向用户显示的所有通知

    说明：通知中心中存在问题，导致没有正确删除用户通知。此问题已通过正确删除用户忽略的通知得到解决。

    CVE-ID

    CVE-2015-3764：Jonathan Zdziarski

  • ntfs

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：本地用户或许能够以系统权限执行任意代码

    说明：NTFS 中存在内存损坏问题。此问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-3718：Emaze Networks 的 Roberto Paleari 和 Aristide Fattori

  • OpenSSH

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：远程攻击者也许能够绕过登录尝试失败的时间延迟并进行暴力攻击

    说明：在处理键盘交互式设备时存在问题。此问题已通过改进鉴定请求验证得到解决。

    CVE-ID

    CVE-2015-5600

  • OpenSSL

    适用于：OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    说明：版本 0.9.8zg 之前的 OpenSSL 版本中存在多个漏洞，其中最严重的漏洞可能允许远程攻击者导致服务遭拒。

    说明：版本 0.9.8zg 之前的 OpenSSL 版本中存在多个漏洞。这些问题已通过将 OpenSSL 更新至 0.9.8zg 版得到解决。

    CVE-ID

    CVE-2015-1788

    CVE-2015-1789

    CVE-2015-1790

    CVE-2015-1791

    CVE-2015-1792

  • perl

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：解析恶意制作的常规表达式可能会导致应用软件意外终止或任意代码执行

    说明：Perl 解析常规表达式时存在整数下溢问题。此问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2013-7422

  • PostgreSQL

    适用于：OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    影响：攻击者或许能够导致应用软件意外终止或在未经正确鉴定的情况下获取数据访问权限

    说明：PostgreSQL 9.2.4 中存在多个问题，这些问题已通过将 PostgreSQL 更新至 9.2.13 得到解决。

    CVE-ID

    CVE-2014-0067

    CVE-2014-8161

    CVE-2015-0241

    CVE-2015-0242

    CVE-2015-0243

    CVE-2015-0244

  • python

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：Python 2.7.6 中存在多个漏洞，其中最严重的漏洞可能会导致任意代码执行

    说明：版本 2.7.6 之前的 Python 版本中存在多个漏洞。它们已通过将 Python 更新至版本 2.7.10 得到解决。

    CVE-ID

    CVE-2013-7040

    CVE-2013-7338

    CVE-2014-1912

    CVE-2014-7185

    CVE-2014-9365

  • QL Office

    适用于：OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    影响：解析恶意制作的 Office 文稿可能会导致应用软件意外终止或任意代码执行

    说明：在解析 Office 文稿时存在内存损坏问题。此问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-5773：Apple

  • QL Office

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：解析恶意制作的 XML 文件可能会导致用户信息泄露

    说明：XML 文件解析中存在外部实体参考问题。此问题已通过改进解析得到解决。

    CVE-ID

    CVE-2015-3784：INTEGRITY S.A. 的 Bruno Morisson

  • Quartz Composer Framework

    适用于：OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    影响：解析恶意制作的 QuickTime 文件可能会导致应用软件意外终止或任意代码执行

    说明：在解析 QuickTime 文件时存在内存损坏问题。此问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-5771：Apple

  • 快速查看

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：搜索之前查看的网站可能会启动 Web 浏览器并渲染该网站

    说明：存在问题，QuickLook 可以执行 JavaScript。此问题已通过禁止执行 JavaScript 得到解决。

    CVE-ID

    CVE-2015-3781：Facebook 的 Andrew Pouliot、Qubole 的 Anto Loyola

  • QuickTime 7

    适用于：OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    影响：处理恶意制作的文件可能会导致应用软件意外终止或任意代码执行

    说明：QuickTime 中存在多个内存损坏问题。这些问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-3772

    CVE-2015-3779

    CVE-2015-5753：Apple

    CVE-2015-5779：Apple

  • QuickTime 7

    适用于：OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    影响：处理恶意制作的文件可能会导致应用软件意外终止或任意代码执行

    说明：QuickTime 中存在多个内存损坏问题。这些问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-3765：Audio Poison 的 Joe Burnett

    CVE-2015-3788：Cisco Talos 的 Ryan Pentney 和 Richard Johnson

    CVE-2015-3789：Cisco Talos 的 Ryan Pentney 和 Richard Johnson

    CVE-2015-3790：Cisco Talos 的 Ryan Pentney 和 Richard Johnson

    CVE-2015-3791：Cisco Talos 的 Ryan Pentney 和 Richard Johnson

    CVE-2015-3792：Cisco Talos 的 Ryan Pentney 和 Richard Johnson

    CVE-2015-5751：WalkerFuz

  • SceneKit

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：查看恶意制作的 Collada 文件可能会导致任意代码执行

    说明：SceneKit 在处理 Collada 文件时存在堆缓冲区溢出。此问题已通过改进输入验证得到解决。

    CVE-ID

    CVE-2015-5772：Apple

  • SceneKit

    适用于：OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5、OS X Yosemite v10.10 到 v10.10.4

    影响：远程攻击者可能会引发应用软件意外终止或任意代码执行

    说明：SceneKit 中存在内存损坏问题。此问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-3783：Google 安全团队的 Haris Andrianakis

  • 安全性

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：标准用户或许能够在未经正确鉴定的情况下获取管理员权限

    说明：在处理用户鉴定时存在问题。此问题已通过改进鉴定检查得到解决。

    CVE-ID

    CVE-2015-3775：[Eldon Ahrold]

  • SMBClient

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：远程攻击者可能会引发应用软件意外终止或任意代码执行

    说明：SMB 客户端中存在内存损坏问题。此问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-3773：Ilja van Sprundel

  • 语音 UI

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：解析已启用语音警告的恶意制作的 Unicode 字符串可能会导致应用软件意外终止或任意代码执行

    说明：处理 Unicode 字符串时存在内存损坏问题。此问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-3794：Refinitive 的 Adam Greenbaum

  • sudo

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：版本 1.7.10p9 之前的 sudo 版本中存在多个漏洞，其中最严重的漏洞可能允许攻击者访问任意文件

    说明：版本 1.7.10p9 之前的 sudo 版本中存在多个漏洞。这些问题已通过将 sudo 更新到 1.7.10p9 版得到解决。

    CVE-ID

    CVE-2013-1775

    CVE-2013-1776

    CVE-2013-2776

    CVE-2013-2777

    CVE-2014-0106

    CVE-2014-9680

  • tcpdump

    适用于：OS X Yosemite v10.10 到 v10.10.4

    说明：tcpdump 4.7.3 中存在多个漏洞，其中最严重的漏洞可能允许远程攻击者导致服务遭拒。

    说明：版本 4.7.3 之前的 tcpdump 版本中存在多个漏洞。它们已通过将 tcpdump 更新至版本 4.7.3 得到解决。

    CVE-ID

    CVE-2014-8767

    CVE-2014-8769

    CVE-2014-9140

  • 文本格式

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：解析恶意制作的文本文件可能会导致用户信息泄露

    说明：TextEdit 解析中存在 XML 外部实体参考问题。此问题已通过改进解析得到解决。

    CVE-ID

    CVE-2015-3762：Evernote 安全团队的 Xiaoyong Wu

  • udf

    适用于：OS X Yosemite v10.10 到 v10.10.4

    影响：处理恶意制作的 DMG 文件可能会导致应用软件意外终止或以系统权限执行任意代码

    说明：解析错误的 DMG 图像时存在内存损坏问题。此问题已通过改进内存处理得到解决。

    CVE-ID

    CVE-2015-3767：grayhash 的 beist

OS X Yosemite v10.10.5 包含 Safari 8.0.8 的安全性内容。

有关非 Apple 制造的产品或非 Apple 控制或测试的独立网站的信息仅供参考，不代表 Apple 的任何建议或保证。Apple 对于第三方网站或产品的选择、性能或使用不承担任何责任。Apple 对于第三方网站的准确性和可靠性不作任何担保。联系供应商以了解其他信息。

发布日期：