關於安全性更新 2015-002

本文說明安全性更新 2015-002 的安全性內容。

為保障客戶的安全,在進行完整調查並提供所有必要的修補程式或版本之前,Apple 不會揭露、討論或確認安全性問題。若要進一步瞭解 Apple 產品安全性,請造訪 Apple 產品安全性網站。

如需 Apple 產品安全性 PGP 金鑰的相關資訊,請參閱「如何使用 Apple 產品安全性 PGP 金鑰」。

如有可能,會使用 CVE ID 來參照安全漏洞,以取得進一步資訊。

若要瞭解其他安全性更新,請參閱「Apple 安全性更新」。

安全性更新 2015-002

  • IOAcceleratorFamily

    適用於:OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5 和 OS X Yosemite v10.10.2

    影響:惡意應用程式可能以系統權限執行任意程式碼

    說明:IOAcceleratorFamily 存在差一(off by one)問題。改進界限檢查機制後,已解決此問題。

    CVE-ID

    CVE-2015-1066:Google Project Zero 的 Ian Beer

  • IOSurface

    適用於:OS X Mountain Lion v10.8.5 和 OS X Mavericks v10.9.5

    影響:惡意應用程式可能以系統權限執行任意程式碼

    說明:IOSurface 處理序列化物件時,出現類型混淆問題。已透過其他類型的檢查機制解決此問題。

    CVE-ID

    CVE-2015-1061:Google Project Zero 的 Ian Beer

  • 核心

    適用於:OS X Yosemite v10.10.2

    影響:惡意製作或遭到攻擊的應用程式可能可以判斷核心中的位址

    說明:mach_port_kobject 核心介面洩漏了核心位址和堆積排列組合值,這可能會協助略過位址空間佈局隨機化保護機制。停用生產配置中的 mach_port_kobject 介面後,已解決此問題。

    CVE-ID

    CVE-2014-4496:TaiG Jailbreak Team

  • 安全傳輸

    適用於:OS X Mountain Lion v10.8.5、OS X Mavericks v10.9.5 和 OS X Yosemite v10.10.2

    影響:攻擊者所在的網路位置如果有特殊權限,即可攔截 SSL/TLS 連線

    說明:安全傳輸在使用完整強度 RSA 加密套件的連線上接受長度較短的暫時性 RSA 金鑰,而這通常僅用於輸出強度 RSA 加密套件。此問題也稱為 FREAK,僅影響支援輸出強度 RSA 加密套件之伺服器的連線,在移除暫時性 RSA 金鑰的支援後,已解決此問題。

    CVE-ID

    CVE-2015-1067:Benjamin Beurdouche、Karthikeyan Bhargavan、Antoine Delignat-Lavaud、Alfredo Pironti 和 Prosecco(位於巴黎 Inria)的 Jean Karim Zinzindohoue

對於非 Apple 製造之產品相關資訊,或是非 Apple 控制或測試之獨立網站,不得解釋 Apple 為其推薦或背書。Apple 對於協力廠商網站或產品的選擇、效能或使用,概不負責。Apple 對於協力廠商網站的準確性或可靠性不具有任何立場。使用 Internet 本具風險。如需更多資訊,請聯絡廠商。其他公司及產品名稱可能是其各自擁有者的商標。

發佈日期: