這篇文章已封存，而且 Apple 也不會再更新。

關於保安更新 2009-001 的保安內容

本文件說明保安更新 2009-001 的內容，這項更新可透過「軟件更新」偏好設定或從「Apple 下載項目」網頁下載和安裝。

為保障客戶的安全，在進行完整調查並提供所有必要的修補程式或版本之前，Apple 不會揭露、討論或確認安全性問題。如要進一步了解 Apple 產品的保安，請參閱 Apple 產品保安網站。

如需 Apple 產品保安 PGP 金鑰的相關資料，請參閱「如何使用 Apple 產品保安 PGP 金鑰」一文。

在可能的情況下，CVE ID 會用於參照保安漏洞，以提供進一步資料。

如要了解其他保安更新，請參閱「Apple 保安更新」一文。

保安更新 2009-001

  • AFP Server

    CVE-ID：CVE-2009-0142

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：能連接 AFP Server 的用戶可能得以觸發阻斷服務

    說明：AFP Server 的競爭條件可能導致無限循環問題，在 AFP 伺服器上列舉檔案可能導致阻斷服務。這項更新透過改善檔案列舉邏輯，以處理有關問題。此問題只影響運行 Mac OS X v10.5.6 的系統。

  • Apple Pixlet Video

    CVE-ID：CVE-2009-0009

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：開啟惡意製作的影片檔案可能導致應用程式意外終止或執行任意程式碼

    說明：使用 Pixlet 編解碼器處理影片檔案的機制存在記憶體損毀問題。開啟惡意製作的影片檔案可能導致應用程式意外終止或執行任意程式碼。這項更新透過改善界限檢查機制，以處理有關問題。報告者：Apple。

  • CarbonCore

    CVE-ID：CVE-2009-0020

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：開啟內含惡意製作 Resource Fork 的檔案，可能導致應用程式意外終止或執行任意程式碼

    說明：Resource Manager 的 Resource Fork 處理機制存在記憶體損毀問題。開啟內含惡意製作 Resource Fork 的檔案，可能導致應用程式意外終止或執行任意程式碼。這項更新透過改善 Resource Fork 的驗證機制，處理有關問題。報告者：Apple。

  • CFNetwork

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：讓失效時間為 null 的 Cookie 恢復正常運作

    說明：這項更新處理了 Mac OS X 10.5.6 的非保安回歸問題。如果網站嘗試設定工作階段 Cookie 時，於「expires」(失效時間) 欄位輸入 null 值而非略過該欄位，便可能無法正確設定 Cookie。這項更新透過在「expires」欄位為 null 值時略過該欄位，以處理有關問題。

  • CFNetwork

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：讓多個應用程式的工作階段 Cookie 恢復正常運作

    說明：這項更新處理了 Mac OS X 10.5.6 的非保安回歸問題。當多個已開啟的應用程式嘗試設定工作階段 Cookie 時，CFNetwork 可能不會儲存 Cookie。這項更新透過確保每個應用程式分開儲存工作階段 Cookie ，以處理有關問題。

  • Certificate Assistant

    CVE-ID：CVE-2009-0011

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：本機用戶或可以正在執行 Certificate Assistant 的其他用戶之權限操控檔案

    說明：Certificate Assistant 對暫存檔案的處理機制存在不安全的檔案操作，這可能允許本機用戶以正在執行 Certificate Assistant 的其他用戶之權限覆寫檔案。這項更新改進了暫存檔案的處理機制，已解決此問題。此問題不影響 Mac OS X v10.5 之前的系統。報告者：Apple。

  • ClamAV

    CVE-ID：CVE-2008-5050、CVE-2008-5314

    適用於：Mac OS X Server v10.4.11、Mac OS X Server v10.5.6

    影響：ClamAV 0.94 存在多個漏洞

    說明：ClamAV 0.94 存在多個漏洞，其中最嚴重的漏洞可能導致執行任意程式碼。這項更新透過將 ClamAV 更新至版本 0.94.2，以處理這些問題。ClamAV 僅隨 Mac OS X Server 系統發佈。詳情請瀏覽 ClamAV 網站：http://www.clamav.net/

  • CoreText

    CVE-ID：CVE-2009-0012

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：檢視惡意製作的 Unicode 內容可能導致應用程式意外終止或執行任意程式碼

    說明：CoreText 處理 Unicode 字串時可能出現堆疊緩衝區溢位問題。使用 CoreText 處理惡意製作的 Unicode 字串 (例如檢視惡意製作的網頁時) 可能導致應用程式意外終止或執行任意程式碼。這項更新透過改善界限檢查機制，以處理有關問題。此問題不影響 Mac OS X v10.5 之前的系統。感謝 Unsanity 的 Rosyna 報告此問題。

  • CUPS

    CVE-ID：CVE-2008-5183

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：瀏覽惡意製作的網站可能導致應用程式意外終止

    說明：超過 RSS 訂閱結果數目上限會使 CUPS 網絡介面出現 null 指標解除參照問題，導致瀏覽惡意製作的網站時應用程式意外終止。攻擊者必須知道有效的用戶憑證，或這些憑證以快取形式存在用戶的網頁瀏覽器，才會觸發此問題。觸發此問題後，CUPS 會自動重新啟動。這項更新透過妥為處理 RSS 訂閱數目，以處理有關問題。此問題不影響 Mac OS X v10.5 之前的系統。

  • DS Tools

    CVE-ID：CVE-2009-0013

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：提供予 dscl 的密碼會外洩給其他本機用戶

    說明：dscl 指令列工具需要在其引數中傳遞密碼，有機會令密碼外洩給其他本機用戶。外洩密碼包括用戶和管理者的密碼。這項更新將密碼參數設為選用項目，dscl 會視乎需要提示輸入密碼。 報告者：Apple。

  • fetchmail

    CVE-ID：CVE-2007-4565、CVE-2008-2711

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：Fetchmail 6.3.8 存在多個漏洞

    說明：Fetchmail 6.3.8 存在多個漏洞，其中最嚴重的漏洞可能導致阻斷服務。這項更新透過更新至版本 6.3.9 以處理有關問題，詳情請瀏覽 fetchmail 網站：http://fetchmail.berlios.de/

  • Folder Manager

    CVE-ID：CVE-2009-0014

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：其他本機用戶或可存取「下載項目」資料夾

    說明：Folder Manager 存在預設權限問題。當用戶刪除「下載項目」資料夾而 Folder Manager 重新建立時，所建立的資料夾會設定為供所有人讀取。這項更新讓 Folder Manager 限制資料夾僅限該用戶存取，以處理有關問題。此問題只影響使用 Folder Manager 的應用程式，不影響 Mac OS X v10.5 之前的系統。感謝 CENTRIM, University of Brighton 的 Graham Perrin 報告此問題。

  • FSEvents

    CVE-ID：CVE-2009-0015

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：使用 FSEvents 架構時，本機用戶或可查看本來無法查看的 filesystem 活動

    說明：fseventsd 存在憑證管理問題。使用 FSEvents 架構時，本機用戶或可查看本來無法查看的 filesystem 活動，這包括用戶本來無法查看的目錄名稱，以及指定時間內的目錄活動偵測。這項更新透過改善 fseventsd 的憑證驗證機制，以處理有關問題。此問題不影響 Mac OS X v10.5 之前的系統。感謝 Mark Dalrymple 報告此問題。

  • Network Time

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：已更新 Network Time 服務配置

    說明：這項更新屬主動式保安措施，改變了 Network Time 服務的預設配置。預設的 ntpd 配置不再提供系統時間和版本資料。Mac OS X v10.4.11 系統如有啟用 Network Time 服務，新配置就會在系統重新啟動後生效。

  • perl

    CVE-ID：CVE-2008-1927

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：使用內含 UTF-8 字元的正規表達式，可能導致應用程式意外終止或執行任意程式碼

    說明：正規表達式的特定 UTF-8 字元處理機制存在記憶體損毀問題，剖析惡意製作的正規表達式可能會導致應用程式意外終止或執行任意程式碼。這項更新透過對正規表達式執行額外驗證，以處理有關問題。

  • Printing

    CVE-ID：CVE-2009-0017

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：本機用戶或可取得系統權限

    說明：csregprinter 存在的錯誤處理問題可能導致堆疊緩衝區溢位，繼而導致本機用戶取得系統權限。這項更新透過改善錯誤處理機制，以處理有關問題。感謝 Lars Haulin 報告此問題。

  • python

    CVE-ID：CVE-2008-1679、CVE-2008-1721、CVE-2008-1887、CVE-2008-2315、CVE-2008-2316、CVE-2008-3142、CVE-2008-3144、CVE-2008-4864、CVE-2007-4965、CVE-2008-5031

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：python 存在多個漏洞

    說明：python 存在多個漏洞，其中最嚴重的漏洞可能導致執行任意程式碼。這項更新透過套用 python 專案的修補程式，處理有關問題。

  • Remote Apple Events

    CVE-ID：CVE-2009-0018

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：傳送 Remote Apple Event 可能導致敏感資料外洩

    說明：Remote Apple Event 伺服器存在未初始化的緩衝區問題，可能導致記憶體內容外洩予網絡用戶端。這項更新透過妥為初始化記憶體，以處理有關問題。報告者：Apple。

  • Remote Apple Events

    CVE-ID：CVE-2009-0019

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：啟用 Remote Apple Events 可能導致應用程式意外終止或敏感資料外洩

    說明：Remote Apple Events 存在超出界限的記憶體存取問題。啟用 Remote Apple Events 可能導致應用程式意外終止或敏感資訊外洩予網絡用戶端。這項更新透過改善界限檢查機制，以處理有關問題。報告者：Apple。

  • Safari RSS

    CVE-ID：CVE-2009-0137

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：存取惡意製作的「feed:」URL 可能導致執行任意程式碼

    說明：Safari 對「feed:」URL 的處理機制存在多個輸入驗證問題。這些問題可導致本機安全區執行任意 JavaScript。這項更新透過改善「feed:」URL 內嵌 JavaScript 的處理機制，以處理有關問題。感謝 Brian Mastenbrook、Laconic Security 的 Clint Ruoho、Microsoft 的 Billy Rios 報告這些問題。

  • servermgrd

    CVE-ID：CVE-2009-0138

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：遙距攻擊者或可在沒有有效憑證的情況下存取 Server Manager

    說明：Server Manager 認證憑證的驗證機制存在問題，可能允許遙距攻擊者改變系統配置。這項更新透過對認證憑證執行額外驗證，以處理有關問題。此問題不影響 Mac OS X v10.5 之前的系統。報告者：Apple。

  • SMB

    CVE-ID：CVE-2009-0139

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：連接惡意製作的 SMB 檔案系統可能導致系統意外關機或以系統權限執行任意程式碼

    說明：SMB 檔案系統中的整數溢位問題可能導致堆疊緩衝區溢位。連接惡意製作的 SMB 檔案系統可能導致系統意外關機或以系統權限執行任意程式碼，這項更新透過改善界限檢查機制，以處理有關問題。此問題不影響 Mac OS X v10.5 之前的系統。報告者：Apple。

  • SMB

    CVE-ID：CVE-2009-0140

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：連接惡意製作的 SMB 檔案伺服器可能導致系統意外關機

    說明：SMB 檔案系統對檔案系統名稱的處理機制存在記憶體耗盡問題，連接惡意製作的 SMB 檔案伺服器可能導致系統意外關機。這項更新透過限制用戶端為檔案系統名稱分配的記憶體量，以處理有關問題。報告者：Apple。

  • SquirrelMail

    CVE-ID：CVE-2008-2379、CVE-2008-3663

    適用於：Mac OS X Server v10.4.11、Mac OS X Server v10.5.6

    影響：SquirrelMail 存在多個漏洞

    說明：SquirrelMail 已更新至版本 1.4.17 以處理多個漏洞，其中最嚴重的漏洞是跨網站指令碼問題。詳情請瀏覽 SquirrelMail 網站：http://www.SquirrelMail.org/

  • X11

    CVE-ID：CVE-2008-1377、CVE-2008-1379、CVE-2008-2360、CVE-2008-2361、CVE-2008-2362

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：X11 伺服器存在多個漏洞

    說明：X11 伺服器存在多個漏洞，其中最嚴重的漏洞可能導致攻擊者在能認證至 X11 伺服器時，以運行 X11 伺服器的用戶之權限執行任意程式碼。這項更新透過套用更新版 X.Org 修補程式，以處理有關問題。詳情請瀏覽 X.Org 網站：http://www.x.org/wiki/Development/Security

  • X11

    CVE-ID：CVE-2006-1861、CVE-2006-3467、CVE-2007-1351、CVE-2008-1806、CVE-2008-1807、CVE-2008-1808

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11

    影響：FreeType v2.1.4 存在多個漏洞

    說明：FreeType v2.1.4 存在多個漏洞，其中最嚴重的漏洞可能導致在處理惡意製作的字體時執行任意程式碼。這項更新透過整合 FreeType 版本 2.3.6 的保安修正項目，以處理有關問題。詳情請瀏覽 FreeType 網站：http://www.freetype.org/。運行 Mac OS X v10.5.6 的系統已處理有關問題。

  • X11

    CVE-ID：CVE-2007-1351、CVE-2007-1352、CVE-2007-1667

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11

    影響：LibX11 存在多個漏洞

    LibX11 存在多個漏洞，其中最嚴重的漏洞可能導致在處理惡意製作的字體時執行任意程式碼。這項更新透過套用更新版 X.Org 修補程式，以處理有關問題。詳情請瀏覽 X.Org 網站：http://www.x.org/wiki/Development/Security。這些問題不影響運行 Mac OS X v10.5 或之後版本的系統。

  • XTerm

    CVE-ID：CVE-2009-0141

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：本機用戶或可直接傳送資料到另一用戶的 Xterm

    說明：Xterm 存在權限問題。配合 luit 使用時，Xterm 會建立所有人都可存取的 tty 裝置。這項更新透過讓 Xterm 限制權限為僅限該用戶存取 tty 裝置，以處理有關問題。

重要事項：提及的第三方網站和產品僅供參考，並不構成建議或推薦。Apple 對於第三方網站的資料或產品之選擇、效能或使用概不負責。Apple 僅為方便旗下產品的使用者而提供有關資料。Apple 並未測試此等網站上的資料，對其準確或可靠程度概不作任何聲明。使用互聯網上的任何資料或產品均存在固有風險，Apple 概不就此承擔任何責任。請明白第三方網站乃獨立於 Apple，而 Apple 對有關網站的內容並無控制權。詳情請聯絡供應商查詢。

發佈日期：