關於安全性更新 2009-001 的安全性內容

本文說明安全性更新 2009-001，你可以透過「軟體更新」偏好設定，或是從「Apple 下載項目」下載並安裝。

為保障客戶的安全，在進行完整調查並提供所有必要的修補程式或版本之前，Apple 不會揭露、討論或確認安全性問題。若要進一步了解 Apple 產品安全性，請參閱 Apple 產品安全性網站。

如需 Apple 產品安全性 PGP 金鑰的相關資訊，請參閱「如何使用 Apple 產品安全性 PGP 金鑰」。

如有可能，CVE ID 會用來參考安全漏洞，以取得進一步資訊。

若要了解其他安全性更新，請參閱「Apple 安全性更新」。

安全性更新 2009-001

  • AFP Server

    CVE-ID：CVE-2009-0142

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：有能力連接 AFP 伺服器的使用者可能得以觸發阻斷服務

    說明：AFP 伺服器出現競爭條件時可能導致無限迴圈。在 AFP 伺服器上列舉檔案可能導致阻斷服務。此更新改進檔案列舉邏輯，以解決此問題。此問題只會影響執行 Mac OS X v10.5.6 的系統。

  • Apple Pixlet Video

    CVE-ID：CVE-2009-0009

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6, Mac OS X Server v10.5.6

    影響：打開惡意製作的影片檔案可能導致應用程式意外終止或執行任意程式碼

    說明：使用 Pixlet 編解碼器處理影片檔案時，出現記憶體損毀問題。開啟惡意製作的影片檔案可能導致應用程式意外終止或執行任意程式碼。此更新透過改進界限檢查機制來解決此問題。貢獻者：Apple。

  • CarbonCore

    CVE-ID：CVE-2009-0020

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：打開含有惡意製作的 Resource Fork 的檔案可能導致應用程式意外終止或執行任意程式碼。

    說明：Resource Manager 處理 Resource Fork 時出現記憶體損毀問題。使用惡意製作 Resource Fork 開啟檔案可能導致應用程式意外終止或執行任意程式碼。此更新透過改進 Resource Fork 的驗證方式，藉此解決問題。貢獻者：Apple。

  • CFNetwork

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：讓效期為空值的 Cookie 回復正常運作

    說明：此更新解決了在 Mac OS X 10.5.6 中引進的非安全性回歸。如果網站設定連線階段的 Cookie 時在「效期」欄位中提供空值而不是省略該欄位，則可能無法正確設定 Cookie。此更新透過在「效期」欄位為空值時忽略該欄位來解決此問題。

  • CFNetwork

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：讓多個應用程式的連線階段 Cookie 回復正常運作

    說明：此更新解決了在 Mac OS X 10.5.6 中引進的非安全性回歸。當多個開啟中的應用程式嘗試設定連線階段 Cookie 時，CFNetwork 可能不會儲存 Cookie。此更新透過確定每個應用程式分開儲存其連線階段 Cookie 來解決此問題。

  • Certificate Assistant

    CVE-ID：CVE-2009-0011

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：本機使用者可能得以透過正在執行 Certificate Assistant 的其他使用者的權限來操控檔案

    說明：Certificate Assistant 在處理暫存檔案時出現不安全的檔案操作。這可能會允許本機使用者透過正在執行 Certificate Assistant 的其他使用者的權限來覆寫檔案。此更新改進暫存檔案的處理方式，以解決此問題。此問題不影響 Mac OS X v10.5 之前的系統。回報者：Apple。

  • ClamAV

    CVE-ID：CVE-2008-5050, CVE-2008-5314

    適用於：Mac OS X Server v10.4.11、Mac OS X Server v10.5.6

    影響：ClamAV 0.94 有多個漏洞

    說明：ClamAV 0.94 有多個漏洞，最嚴重者可能導致執行任意程式碼。此更新透過將 ClamAV 更新至 0.94.2 版，解決此問題。ClamAV 只隨 Mac OS X Server 系統一同發布。如需詳細資訊，請參閱 ClamAV 網站：http://www.clamav.net/

  • CoreText

    CVE-ID：CVE-2009-0012

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：檢視惡意製作的 Unicode 內容可能導致應用程式意外終止或執行任意程式碼

    說明：在 CoreText 處理 Unicode 字串時可能發生堆積緩衝區溢位。使用 CoreText 處理惡意製作的 Unicode 字串，例如檢視惡意製作的網頁時，可能導致應用程式意外終止或執行任意程式碼。此更新透過改進界限檢查機制來解決此問題。此問題不影響 Mac OS X v10.5 之前的系統。感謝 Unsanity 的 Rosyna 回報此問題。

  • CUPS

    CVE-ID：CVE-2008-5183

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：參訪惡意製作的網站可能導致應用程式意外終止

    說明：超過 RSS 訂閱數上限導致在 CUPS 網站介面中的 null 指標取值問題。參訪惡意製作的網站時，這可能導致應用程式意外終止。攻擊者必須知道有效的使用者憑證，或者這些憑據必須快取在使用者的瀏覽器中，才可觸發此問題。觸發此問題後，CUPS 將自動重新啟動。此更新通過正確處理 RSS 訂閱數，以解決此問題。此問題不影響 Mac OS X v10.5 之前的系統。

  • DS Tools

    CVE-ID：CVE-2009-0013

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：提供給 dscl 的密碼會洩漏給其他本機使用者

    說明：dscl 命令列工具需要將密碼以其引數的形式傳遞給它，而可能會導致密碼洩漏給其他本機使用者。洩漏的密碼包括使用者和管理者的密碼。此更新將密碼參數設為選用項目，dscl 會視需要提示輸入密碼。貢獻者：Apple。

  • fetchmail

    CVE-ID：CVE-2007-4565、CVE-2008-2711

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：Fetchmail 6.3.8 中有多個漏洞

    說明：Fetchmail 6.3.8 存在多個漏洞，最嚴重者可能導致阻斷服務。此更新將 fetchmail 更新至 6.3.9 版，以解決此問題。如需進一步資訊，請參訪 fetchmail 網站：http://fetchmail.berlios.de/

  • Folder Manager

    CVE-ID：CVE-2009-0014

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：其他本機使用者可能得以存取「下載項目」檔案夾

    說明：「檔案夾管理程式」中存在預設權限問題。當使用者刪除其「下載項目」檔案夾並由「檔案夾管理程式」重新建立時，該建立的檔案夾將對所有人開放讀取權限。此更新讓「檔案夾管理程式」限制該檔案夾權限為僅限該使用者存取，以解決此問題。此問題只影響使用「檔案夾管理程式」的應用程式。此問題不影響 Mac OS X v10.5 之前的系統。感謝 CENTRIM, University of Brighton 的 Graham 回報此問題。

  • FSEvents

    CVE-ID：CVE-2009-0015

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：使用 FSEvents 架構，本機使用者可能得以查看本來無法查看的檔案系統活動

    說明：fseventsd 存在憑證管理問題。使用 FSEvents 架構，本機使用者可能得以查看本來無法看到的檔案系統活動。這包括使用者本來無法看到的目錄名稱，以及在指定時間內該目錄的活動偵測。此更新改進 fseventsd 的憑證驗證機制，以解決此問題。此問題不影響 Mac OS X v10.5 之前的系統。感謝 Mark Dalrymple 回報此問題。

  • Network Time

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：網路時間服務配置已更新

    說明：此更新為一項主動性的安全措施，變更了網路時間服務的預設配置。系統時間與版本資訊將不再於預設的 ntpd 配置中提供。在 Mac OS X v10.4.11 系統上，新配置在啟用網路時間服務並重新啟動系統後生效。

  • perl

    CVE-ID：CVE-2008-1927

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：使用含有 UTF-8 的常規表示式可能導致應用程式意外終止或執行任意程式碼。

    說明：在常規表示式中處理特定 UTF-8 字元時出現記憶體損毀問題。剖析惡意製作的常規表示式，可能導致應用程式意外終止或執行任意程式碼。此更新對常規表示式執行額外驗證，以解決此問題。

  • Printing

    CVE-ID：CVE-2009-0017

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：本機使用者可能得以取得系統權限

    說明：csregprinter 中出現錯誤處理的問題，可能會造成堆積緩衝區溢位。這可能讓本機使用者取得系統權限。此更新改進錯誤的處理機制，以解決此問題。感謝 Lars Haulin 回報此問題。

  • python

    CVE-ID：CVE-2008-1679、CVE-2008-1721、CVE-2008-1887、CVE-2008-2315、CVE-2008-2316、CVE-2008-3142、CVE-2008-3144、CVE-2008-4864、CVE-2007-4965、CVE-2008-5031

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：Python 中有多個漏洞

    說明：Python 存在多個漏洞，最嚴重者可能導致執行任意程式碼。此更新套用 python 專案提供的修補程式，以解決此問題。

  • Remote Apple Events

    CVE-ID：CVE-2009-0018

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：傳送遠端 Apple Event 可能導致敏感資訊洩漏

    說明：遠端 Apple Event 伺服器存在未初始化的緩衝區問題，可能導致記憶體內容洩漏至網路用戶端。此更新透過正確的記憶體初始化解決此問題。貢獻者：Apple。

  • Remote Apple Events

    CVE-ID：CVE-2009-0019

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：啟用遠端 Apple Events 可能導致應用程式意外終止或敏感資訊洩漏

    說明：遠端 Apple Events 出現超出界限的記憶體存取問題。啟用遠端 Apple Events 可能導致應用程式意外終止或敏感資訊洩漏至網路用戶端。此更新透過改進界限檢查機制來解決此問題。貢獻者：Apple。

  • Safari RSS

    CVE-ID：CVE-2009-0137

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：存取惡意製作的「feed:」URL 可能導致執行任意程式碼

    說明：Safari 處理「feed:」URL 時出現多個輸入驗證問題。此問題可導致在本機安全區中執行任意 JavaScript。此更新改進「feed:」URL 內嵌 JavaScript 的處理機制，以解決此問題。感謝 Laconic Security 的 Clint Ruoho、Microsoft 的 Billy Rios 和 Brian Mastenbrook 回報這些問題。

  • servermgrd

    CVE-ID：CVE-2009-0138

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：遠端攻擊者可能得以在不具有效憑證的情況下存取「伺服器管理程式」

    說明：「伺服器管理程式」驗證憑證時出現的問題可能讓遠端攻擊者得以改變系統配置。此更新對驗證憑證執行額外的驗證，以解決此問題。此問題不影響 Mac OS X v10.5 之前的系統。回報者：Apple。

  • SMB

    CVE-ID：CVE-2009-0139

    適用於：Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：連接惡意製作的 SMB 檔案系統可能導致系統意外關機或以系統權限執行任意程式碼

    說明：SMB 檔案系統中的整數溢位問題可能導致堆積緩衝區溢位。連接惡意製作的 SMB 檔案系統可能導致系統意外關機或以系統權限執行任意程式碼。此更新透過改進界限檢查機制來解決此問題。此問題不影響 Mac OS X v10.5 之前的系統。回報者：Apple。

  • SMB

    CVE-ID:CVE-2009-0140

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：連接惡意製作的 SMB 檔案伺服器可能導致系統意外關機

    說明：SMB 檔案系統處理檔案系統名稱時出現記憶體耗盡問題。連接惡意製作的 SMB 檔案伺服器可能導致系統意外關機。此更新限制用戶端為檔案系統名稱分配的記憶體量，以解決此問題。貢獻者：Apple。

  • SquirrelMail

    CVE-ID：CVE-2008-2379、CVE-2008-3663

    適用於：Mac OS X Server v10.4.11、Mac OS X Server v10.5.6

    影響：SquirrelMail 中有多個漏洞

    說明：SquirrelMail 已更新至 1.4.17 版以解決多個漏洞，其中最嚴重的是跨網站工序指令問題。如需進一步資訊，請參訪 SquirrelMail 網站：http://www.SquirrelMail.org/

  • X11

    CVE-ID：CVE-2008-1377、CVE-2008-1379、CVE-2008-2360、CVE-2008-2361、CVE-2008-2362

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：X11 伺服器中有多個漏洞

    說明：X11 伺服器存在多個漏洞。最嚴重者可能導致在攻擊者能夠認證到 X11 伺服器時使用執行 X11 伺服器的使用者的權限執行任意程式碼。此更新套用已更新的 X.Org 修補程式，以解決此問題。如需進一步資訊，請參訪 X.Org 網站：http://www.x.org/wiki/Development/Security

  • X11

    CVE-ID：CVE-2006-1861、CVE-2006-3467、CVE-2007-1351、CVE-2008-1806、CVE-2008-1807、CVE-2008-1808

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11

    影響：FreeType v2.1.4 有多個漏洞

    說明：FreeType v2.1.4 存在多個漏洞，最嚴重者可能導致在處理惡意製作的字體時執行任意程式碼。此更新納入 FreeType 2.3.6 版的安全性修正，以解決此問題。如需進一步資訊，請參訪 FreeType 網站：http://www.freetype.org/執行 Mac OS X v10.5.6 的系統已解決此問題。

  • X11

    CVE-ID：CVE-2007-1351、CVE-2007-1352、CVE-2007-1667

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11

    影響：LibX11 中有多個漏洞

    說明：LibX11 存在多個漏洞，最嚴重者可能導致在處理惡意製作的字體時執行任意程式碼。此更新套用已更新的 X.Org 修補程式，以解決此問題。如需進一步資訊，請參訪 X.Org 網站：http://www.x.org/wiki/Development/Security。此問題不影響執行 Mac OS X v10.5 或以上版本的系統。

  • XTerm

    CVE-ID：CVE-2009-0141

    適用於：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.6、Mac OS X Server v10.5.6

    影響：本機使用者可能得以直接傳送資訊至另一個使用者的 Xterm。

    說明：Xterm 中存在權限問題。與 luit 搭配使用時，Xterm 會建立所有人可存取的 tty 裝置。此更新讓 Xterm 限制權限為僅限該使用者存取 tty 裝置，以解決此問題。

重要事項：本文提及的第三方網站與產品資訊僅供參考之用，且不構成背書或建議。對於第三方網站或產品的選擇、效能或使用，Apple 不負任何責任。前述內容僅為方便 Apple 使用者而提供。Apple 尚未測試這些網站上的資訊，對其準確性或可靠性未為任何聲明。使用網際網路上找到的任何資訊或產品有其風險，Apple 不負任何責任。請了解第三方網站與 Apple 各自獨立，Apple 對於該網站的內容不具有控制權。如需其他資訊，請聯絡廠商。

發佈日期：