关于安全性更新 2010-001

这篇文稿介绍了安全性更新 2010-001,这个版本可通过“软件更新”偏好设置或“Apple 下载”进行下载和安装。

为保护我们的客户,在未进行详尽调查并推出必要的修补程序或发布版本之前,Apple 不会公开、讨论或确认安全性问题。要进一步了解 Apple 产品安全性,请参阅“Apple 产品安全性”网站。

如需了解 Apple 产品安全性 PGP 密钥,请参阅“如何使用 Apple 产品安全性 PGP 密钥”。

在可能的情况下,我们会使用 CVE ID 来引用相应的漏洞以提供更多信息。

要了解其他安全性更新,请参阅“Apple 安全性更新”。

安全性更新 2010-001

  • CoreAudio

    CVE-ID:CVE-2010-0036

    适用于:Mac OS X v10.5.8、Mac OS X Server v10.5.8、Mac OS X v10.6.2、Mac OS X Server v10.6.2

    影响:播放恶意制作的 mp4 音频文件可能会导致应用程序意外终止或任意代码执行

    描述:处理 mp4 音频文件时存在缓冲区溢出。播放恶意制作的 mp4 音频文件可能会导致应用程序意外终止或任意代码执行已通过改进边界检查解决这个问题。感谢 trapkit.de 的 Tobias Klein 报告这个问题。

  • CUPS

    CVE-ID:CVE-2009-3553

    适用于:Mac OS X v10.5.8、Mac OS X Server v10.5.8、Mac OS X v10.6.2、Mac OS X Server v10.6.2

    影响:远程攻击者可能会导致 cupsd 应用程序意外终止

    描述:cupsd 中存在“释放后使用”问题。攻击者可能会通过提出恶意制作的 get-printer-jobs 请求,导致远程拒绝服务。已通过在 cupsd 终止后自动重新启动它缓解这个问题。已通过改进连接使用跟踪解决这个问题。

  • Flash Player Plug-in

    CVE-ID:CVE-2009-3794、CVE-2009-3796、CVE-2009-3797、CVE-2009-3798、CVE-2009-3799、CVE-2009-3800、CVE-2009-3951

    适用于:Mac OS X v10.5.8、Mac OS X Server v10.5.8、Mac OS X v10.6.2、Mac OS X Server v10.6.2

    影响:Adobe Flash Player 插件中存在多个漏洞

    描述:Adobe Flash Player 插件中存在多个问题,其中最严重的问题可能会导致在查看恶意制作的网站时出现任意代码执行的情况。已通过将 Flash Player 插件更新到版本 10.0.42 解决这个问题。如需了解更多信息,请访问 Adobe 网站:http://www.adobe.com/support/security/bulletins/apsb09-19.html 感谢一位匿名研究人员和 Damian Put 与 TippingPoints Zero Day Initiative、Fortinet 旗下 FortiGuard 全球安全研究团队的 Bing Liu、CERT 的 Will Dormann、Manuel Caballero 和 Microsoft Vulnerability Research (MSVR) 合作报告这个问题。

  • ImageIO

    CVE-ID:CVE-2009-2285

    适用于:Mac OS X v10.5.8、Mac OS X Server v10.5.8

    影响:查看恶意制作的 TIFF 图像可能会导致应用软件意外终止或任意代码执行

    描述:ImageIO 在处理 TIFF 图像时存在缓冲区溢出。查看恶意制作的 TIFF 图像可能会导致应用软件意外终止或任意代码执行。已通过改进边界检查解决这个问题。对于 Mac OS X v10.6 系统,已在 Mac OS X v10.6.2 中解决这个问题。

  • Image RAW

    CVE-ID:CVE-2010-0037

    适用于:Mac OS X v10.5.8、Mac OS X Server v10.5.8、Mac OS X v10.6.2、Mac OS X Server v10.6.2

    影响:查看恶意制作的 DNG 图像文件可能会导致应用程序意外终止或任意代码执行

    描述:Image RAW 在处理 DNG 图像时存在缓冲区溢出。查看恶意制作的 DNG 图像文件可能会导致应用程序意外终止或任意代码执行。已通过改进边界检查解决这个问题。感谢卡内基梅隆大学计算服务部的 Jason Carr 报告这个问题。

  • OpenSSL

    CVE-ID:CVE-2009-3555

    适用于:Mac OS X v10.5.8、Mac OS X Server v10.5.8、Mac OS X v10.6.2、Mac OS X Server v10.6.2

    影响:拥有特权网络地位的攻击者可能会采集数据或更改受 SSL 保护的会话中执行的操作

    描述:SSL 和 TLS 协议中存在中间人漏洞。如需了解更多信息,请访问:http://www.phonefactor.com/sslgap IETF 内部正在对重协商协议进行更改。这一更新禁止将 OpenSSL 中的重协商用作预防性安全措施。这个问题不会影响使用安全传输的服务,因为安全传输不支持重协商。感谢 PhoneFactor, Inc. 的 Steve Dispensa 和 Marsh Ray 报告这个问题。

重要信息:提及的第三方网站和产品仅作参考,并不代表 Apple 的认可或推荐。Apple 对于第三方网站上所提供信息或产品的选择、性能或使用概不负责。Apple 提供这些网站只是为了方便用户。Apple 尚未测试这些网站上的信息,对信息的准确性或可靠性不作任何声明。使用互联网上的任何信息或产品均有一定风险,Apple 对于这些风险不承担任何责任。敬请理解:第三方网站与 Apple 互相独立,Apple 无法控制第三方网站上的内容。如需了解更多信息,请联系供应商

发布日期: