Bezpečnostní aktualizace Apple (3. října 2003 až 11. ledna 2005)

Tento dokument popisuje bezpečnostní aktualizace produktů Apple vydané mezi 3. říjnem 2003 a 11. lednem 2005.

Důležité: Informace o pozdějších (novějších) bezpečnostních aktualizacích najdete v článku „Bezpečnostní aktualizace Apple“.

Informace o dřívějších bezpečnostních aktualizacích najdete v článku „Bezpečnostní aktualizace Apple: Srpen, 2003 a starší“.

Apple v zájmu ochrany zákazníků nezveřejňuje, nediskutuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřeny a nejsou k dispozici potřebné opravy nebo aktualizace. Další informace o zabezpečení produktů Apple najdete na webu Apple, Inc. Reakce na bezpečnostní incidenty produktů.

Klíč PGP zabezpečení produktů Apple

Informace najdete v článku „Jak používat klíč PGP zabezpečení produktů Apple“.

Bezpečnostní aktualizace

Bezpečnostní aktualizace jsou uvedeny níže podle verze softwaru, ve které se poprvé objevily. Pokud je to možné, jako odkazy na další informace o bezpečnostních chybách se používají identifikátory CVE ID.

iTunes 4.7.1

K dispozici pro: Mac OS X, Microsoft Windows XP, Microsoft Windows 2000

CVE-ID: CAN-2005-0043

Dopad: Škodlivé playlisty můžou způsobit zhroucení iTunes a spustit libovolný kód.

Popis: iTunes podporuje několik běžných formátů playlistů. iTunes 4.7.1 opravuje přetečení vyrovnávací paměti při analýze souborů playlistu m3u a pls, které by mohly umožnit starším verzím iTunes zhroucení a spuštění libovolného kódu. Uznání zaslouží Sean de Regge (seanderegge[at]hotmail.com) za zjištění tohoto problému a iDEFENSE Labs za jeho nahlášení.

Bezpečnostní aktualizace 2004-12-02

Apache

K dispozici pro: Mac OS X 10.3.6, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1082

Dopad: Ověřování Apache mod_digest_apple je náchylné k útokům přehráním.

Popis: Specifický mod_digest_apple pro Mac OS X Server je založen na mod_digest Apache. Ve verzích Apache 1.3.31 a 1.3.32 (CAN-2003-0987) bylo provedeno několik oprav pro problém s přehráním v mod_digest. Tato aktualizace opravuje problém s přehráním v ověřování mod_digest_apple pomocí úprav provedených v Apache 1.3.32.

Apache

K dispozici pro: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2003-0020, CAN-2003-0987, CAN-2004-0174, CAN-2004-0488, CAN-2004-0492, CAN-2004-0885, CAN-2004-0940

Dopad: Několik chyb zabezpečení v Apache a mod_ssl včetně navýšení místních oprávnění, vzdáleného odmítnutí služby a u některých modifikovaných konfigurací i spuštění libovolného kódu.

Popis: Apache Group opravila řadu chyb zabezpečení mezi verzemi 1.3.29 a 1.3.33. Stránka zabezpečení Apache Group pro Apache 1.3 se nachází na adrese http://www.apacheweek.com/features/security-13. Dříve nainstalovaná verze Apache byla 1.3.29. Výchozí instalace Apache nepovoluje mod_ssl. Tato aktualizace řeší všechny příslušné problémy aktualizací Apache na verzi 1.3.33 a doprovodného mod_ssl na verzi 2.8.22.

Apache

K dispozici pro: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1083

Dopad: Konfigurace Apache plně neblokovaly přístup k souborům „.DS_Store“ ani souborům začínajícím na „.ht“.

Popis: Výchozí konfigurace Apache blokuje přístup k souborům, které začínají na „.ht“ s rozlišováním malých a velkých písmen. Souborový systém Apple HFS+ při přístupu k souborům rozlišuje malá a velká písmena. Finder může taky vytvářet soubory .DS_Store obsahující názvy souborů na místech používaných k zobrazování webových stránek. Tato aktualizace upravuje konfiguraci Apache tak, aby omezila přístup ke všem souborům začínajícím na „.ht“ nebo „.DS_S“ bez ohledu na velká či malá písmena. Další informace...

Apache

K dispozici pro: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1084

Dopad: Obsah rozvětvení dat souborů a prostředků lze načíst přes HTTP obejitím obslužných rutin souborů Apache.

Popis: Souborový systém Apple HFS+ umožňuje, aby soubory měly více datových toků. K těmto datovým tokům se dá přímo přistupovat pomocí speciálních názvů souborů. Speciálně vytvořený požadavek HTTP může obejít obslužnou rutinu souborů Apache a přímo přistupovat k rozvětvení dat souborů nebo prostředků. Tato aktualizace upravuje konfiguraci Apache tak, aby zakazovala požadavky na obsah rozvětvení dat souborů nebo prostředků prostřednictvím jejich speciálních názvů souborů. Další informace najdete v tomto dokumentu. Uznání za nahlášení tohoto problému zaslouží NetSec.

Apache 2

K dispozici pro: Mac OS X 10.3.6, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0747, CAN-2004-0786, CAN-2004-0751, CAN-2004-0748

Dopad: Upravené konfigurace Apache 2 by mohly umožnit navýšení oprávnění pro místní uživatele a vzdálené odmítnutí služby.

Popis: Zákaznicky upravená konfigurace Apache 2, kde byla povolena funkce AllowOverride, by mohla místnímu uživateli umožnit spustit libovolný kód jako uživatel Apache (www). Neupravenou konfiguraci tento problém neohrožuje. Tato aktualizace taky řeší chyby v Apache, které by některým typům požadavků mohly umožnit způsobit selhání serveru. Apache je aktualizován na verzi 2.0.52. Apache 2 se dodává pouze s Mac OS X Server a ve výchozím nastavení je vypnutý.

AppKit

K dispozici pro: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1081

Dopad: Znaky zadané do zabezpečeného textového pole lze číst jinými aplikacemi ve stejné relaci okna.

Popis: V některých případech zabezpečené pole pro zadávání textu neumožní správně bezpečné zadávání. To může umožnit dalším aplikacím ve stejné relaci okna zobrazit některé zadávané znaky a akce na klávesnici. Zadávání do zabezpečených textových polí je nyní aktivováno tak, aby se zabránilo úniku informací o stisknutí kláves.

AppKit

K dispozici pro: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0803, CAN-2004-0804, CAN-2004-0886

Dopad: Přetečení celých čísel a kontrola špatného rozsahu při manipulaci s obrázky TIFF by mohly umožnit spuštění libovolného kódu nebo odmítnutí služby.

Popis: Chyby v dekódování obrázků TIFF mohou přepsat paměť, způsobit aritmetické chyby, které vedou k selhání, nebo povolit spuštění libovolného kódu. Tato aktualizace opravuje problémy při manipulaci s obrázky TIFF.

Cyrus IMAP

K dispozici pro: Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1089

Dopad: Při používání ověřování Kerberos pomocí protokolu Cyrus IMAP může ověřený uživatel získat neoprávněný přístup k jiným schránkám ve stejném systému.

Popis: Při používání ověřovacího mechanismu Kerberos se serverem Cyrus IMAP může uživatel po ověření přepínat poštovní schránky a získat přístup k jiným schránkám ve stejném systému. Tato aktualizace spojuje schránku s ověřeným uživatelem. Tento problém specifický pro server není přítomen v systému Mac OS X Server 10.2.8. Uznání za nahlášení tohoto problému zaslouží johan.gradvall@gothia.se.

HIToolbox

K dispozici pro: Mac OS X 10.3.6, Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1085

Dopad: Uživatelé můžou ukončit aplikace v režimu kiosku.

Popis: Speciální kombinace kláves umožnila uživatelům vyvolat okno vynuceného ukončení i v režimu kiosku. Tato aktualizace zablokuje všechny kombinace kláves nuceného ukončení, aby v režimu kiosku nefungovaly. Tento problém není přítomen v systému Mac OS X 10.2.8 nebo Mac OS X Server 10.2.8. Uznání za nahlášení tohoto problému zaslouží Glenn Blauvelt z University of Colorado v Boulderu.

Kerberos

K dispozici pro: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0642, CAN-2004-0643, CAN-2004-0644, CAN-2004-0772

Dopad: Vystavení potenciálnímu odmítnutí služby při použití ověřování Kerberos.

Popis: MIT vydala novou verzi Kerberos, která řeší odmítnutí služby a tři chyby dvojitého uvolnění paměti. Mac OS X obsahuje ochranu proti chybám dvojitého uvolnění paměti. Tato aktualizace používá opravu problému odmítnutí služby. Jako preventivní opatření byly taky použity opravy dvojitého uvolnění paměti. Uznání zaslouží vývojový tým MIT Kerberos za nahlášení tohoto problému a poskytnutí oprav.

Postfix

K dispozici pro: Mac OS X 10.3.6, Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1088

Dopad: Postfix pomocí CRAM-MD5 může vzdálenému uživateli umožnit odesílání pošty bez řádného ověřování.

Popis: Servery Postfix používající CRAM-MD5 k ověřování odesílatelů byly náchylné k útoku přehráním. Za určitých okolností mohou být přihlašovací údaje použité k úspěšnému ověření uživatele po krátkou dobu znovu použita. Algoritmus CRAM-MD5 používaný k ověřování uživatelů byl aktualizován, aby se zabránilo oknu přehrávání. Tento problém není přítomen v systému Mac OS X 10.2.8 nebo Mac OS X Server 10.2.8. Uznání za nahlášení tohoto problému zaslouží Victor Duchovni ze společnosti Morgan Stanley.

PSNormalizer

K dispozici pro: Mac OS X 10.3.6, Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1086

Dopad: Přetečení vyrovnávací paměti v převodu PostScriptu do PDF by mohlo umožnit spuštění libovolného kódu.

Popis: Přetečení vyrovnávací paměti při zpracování převodu PostScriptu do PDF by mohlo potenciálně umožnit spuštění libovolného kódu. Tyto aktualizace opraví kód pro převod PostScriptu do PDF, aby se zabránilo přetečení vyrovnávací paměti. Tento problém není přítomen v systému Mac OS X 10.2.8 nebo Mac OS X Server 10.2.8.

QuickTime Streaming Server

K dispozici pro: Mac OS X 10.3.6, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1123

Dopad: Speciálně vytvořené požadavky mohou způsobit odmítnutí služby.

Popis: QuickTime Streaming Server je při zpracování požadavků DESCRIBE zranitelný vůči útoku odmítnutí služby. Tato aktualizace opravuje zpracování těchto požadavků. Uznání za nahlášení tohoto problému zaslouží společnost iDEFENSE.

Safari

K dispozici pro: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1121

Dopad: Speciálně vytvořený kód HTML může na stavovém řádku Safari zobrazit zavádějící URI.

Popis: Prohlížeč Safari by mohl být podveden tak, aby ve stavovém řádku zobrazoval URI, který není stejný jako cíl odkazu. Tato aktualizace opravuje Safari tak, že nyní zobrazuje identifikátor URI, který bude při výběru aktivován.

Safari

K dispozici pro: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1122

Dopad: S více okny prohlížeče můžou být aktivní uživatelé Safari uvedeni v omyl, které okno aktivovalo vyskakovací okno.

Popis: Když je otevřeno víc oken Safari, může pečlivě načasované vyskakovací okno uživatele uvést v omyl, aby si myslel, že bylo aktivováno jiným webem. V této aktualizaci teď Safari umístí okno, které aktivuje vyskakovací okno před všemi ostatními okny prohlížeče. Uznání za nahlášení tohoto problému zaslouží společnost Secunia Research.

Terminal

K dispozici pro: Mac OS X 10.3.6 a Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1087

Dopad: Terminál může indikovat, že „Secure Keyboard Entry“ je aktivní, i když ve skutečnosti není.

Popis: Při spouštění aplikace Terminal.app nebylo správně obnoveno nastavení nabídky „Secure Keyboard Entry“. Vedle položky „Secure Keyboard Entry“ se zobrazí zaškrtnutí, i když nebyla zapnutá. Tato aktualizace opravuje chování položky „Secure Keyboard Entry“. Tento problém není přítomen v systému Mac OS X 10.2.8 nebo Mac OS X Server 10.2.8. Uznání za nahlášení tohoto problému zaslouží Jonathan „Wolf“ Rentzsch ze společnosti Red Shed Software.

iCal 1.5.4

CVE-ID: CAN-2004-1021

Dopad: Nové kalendáře iCal můžou přidávat alarmy bez schválení.

Popis: Kalendáře iCal můžou obsahovat oznámení o událostech prostřednictvím alarmů. Tyto alarmy můžou otevírat programy a posílat e-maily. iCal byl aktualizován, aby zobrazoval okno upozornění při importu nebo otevírání kalendářů obsahujících alarmy. iCal 1.5.4 je k dispozici pro Mac OS X 10.2.3 nebo novější. Uznání za nahlášení tohoto problému zaslouží aaron@vtty.com.

Bezpečnostní aktualizace 2004-10-27

Apple Remote Desktop

K dispozici pro: Apple Remote Desktop Client 1.2.4 s Mac OS X 10.3.x

CVE-ID: CAN-2004-0962

Dopad: Aplikaci lze spustit za přihlašovacím oknem a spustí se s oprávněním „root“.

Popis: Pro systém s následujícími podmínkami:

• Nainstalovaný klient Apple Remote Desktop

• Uživatel v klientském systému byl povolen s oprávněním Otevřít a ukončit aplikace

• Uživatelské jméno a heslo uživatele ARD je známé

• Bylo aktivováno rychlé přepínání uživatelů

• Uživatel je přihlášen a přihlašovací okno je aktivní prostřednictvím rychlého přepínání uživatelů

Pokud se ke spuštění GUI aplikace v klientovi používá aplikace Apple Remote Desktop Administrator v jiném systému, pak by se GUI aplikace spouštěla s oprávněním „root“ za přihlašovacím oknem. Tato aktualizace brání Apple Remote Desktopu ve spouštění aplikací, když je přihlašovací okno aktivní. Toto vylepšení zabezpečení je taky obsaženo v Apple Remote Desktopu 2.1. Tento problém se netýká systémů starších než Mac OS X 10.3. Uznání za nahlášení tohoto problému zaslouží Andrew Nakhla a společnost Secunia Research.

QuickTime 6.5.2

CVE ID: CAN-2004-0988

K dispozici pro: Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME a Microsoft Windows 98

Dopad: Přetečení celých čísel, které může být zneužitelné v prostředí HTML.

Popis: Znaménkové rozšíření přetečeného malého celého čísla může vést k předání velmi velkého čísla funkci přesunutí paměti. Oprava brání přetečení malého celého čísla. V QuickTimu pro Mac OS X tento problém neexistuje. Uznání za nahlášení tohoto problému zaslouží John Heasman ze společnosti Next Generation Security Software Ltd.

CVE-ID: CAN-2004-0926

K dispozici pro: Mac OS X 10.3.x, Mac OS X Server 10.3.x, Mac OS X 10.2.8, Mac OS X Server 10.2.8, Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME a Microsoft Windows 98

Dopad: Přetečení vyrovnávací paměti haldy může útočníkům umožnit spustit libovolný kód.

Popis: Chyby v dekódování typu obrázku BMP můžou přepsat paměť haldy a potenciálně umožnit spuštění libovolného kódu skrytého v obrázku. Jedná se o stejné vylepšení zabezpečení, které bylo k dispozici v bezpečnostní aktualizaci 2004-09-30, a dá se nasadit do dalších konfigurací systému, na které se vztahuje tato aktualizace QuickTime.

Bezpečnostní aktualizace 2004-09-30 (vydána 2004-10-04)

AFP Server

K dispozici pro: Mac OS X 10.3.5, Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0921

Dopad: Odmítnutí služby umožňující hostovi odpojit svazky AFP

Popis: Svazek AFP připojený hostitelem se dá použít k ukončení ověřených uživatelských připojení ze stejného serveru úpravou paketů SessionDestroy. Tento problém se netýká systémů starších než Mac OS X 10.3 nebo Mac OS X Server 10.3.

AFP Server

K dispozici pro: Mac OS X 10.3.5, Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0922

Dopad: Odkládací schránka na AFP jen pro zápis může být nastavena pro čtení a zápis.

Popis: Odkládací schránka pouze pro zápis na svazku AFP připojeném hostitelem může být někdy přístupná pro čtení a zápis kvůli nesprávnému nastavení ID skupiny hostů. Tento problém se netýká systémů starších než Mac OS X 10.3 nebo Mac OS X Server 10.3.

CUPS

K dispozici pro: Mac OS X 10.3.5, Mac OS X Server 10.3.5, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0558

Dopad: Odmítnutí služby, které způsobí, že tiskový systém zamrzne

Popis: Implementace protokolu IPP (Internet Printing Protocol) v CUPS může zamrznout, když je do portu IPP odeslán určitý paket UDP.

CUPS

K dispozici pro: Mac OS X 10.3.5, Mac OS X Server 10.3.5, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0923

Dopad: Místní zpřístupnění uživatelských hesel

Popis: Některé metody ověřeného vzdáleného tisku by mohly odhalit uživatelská hesla v souborech protokolu tiskového systému. Uznání za nahlášení tohoto problému zaslouží Gary Smith z oddělení IT služeb Glasgow Caledonian University.

NetInfo Manager

K dispozici pro: Mac OS X 10.3.5, Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0924

Dopad: Nesprávná indikace stavu účtu

Popis: Nástroj NetInfo Manager může povolit účet „root“, ale po jednom přihlášení k účtu „root“ už není možné účet pomocí NetInfo Manageru deaktivovat; účet se chybně tváří jako vypnutý. Tento problém se netýká systémů starších než Mac OS X 10.3 nebo Mac OS X Server 10.3.

postfix

K dispozici pro: Mac OS X 10.3.5, Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0925

Dopad: Odmítnutí služby, když je zapnutá funkce SMTPD AUTH

Popis: Když je v postfixu zapnutá funkce SMTPD AUTH, není mezi pokusy o ověření správně vymazána vyrovnávací paměť obsahující uživatelské jméno. Ověření budou moct provádět pouze uživatelé s nejdelšími uživatelskými jmény. Tento problém se netýká systémů starších než Mac OS X 10.3 nebo Mac OS X Server 10.3. Uznání za nahlášení tohoto problému zaslouží Michael Rondinelli ze společnosti EyeSee360.

QuickTime

K dispozici pro: Mac OS X 10.3.5, Mac OS X Server 10.3.5, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0926

Dopad: Přetečení vyrovnávací paměti haldy může útočníkům umožnit spustit libovolný kód.

Popis: Chyby v dekódování typu obrázku BMP můžou přepsat paměť haldy a potenciálně umožnit spuštění libovolného kódu skrytého v obrázku.

ServerAdmin

K dispozici pro: Mac OS X Server 10.3.5 a Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0927

Dopad: Komunikaci Klient – Server s nástrojem ServerAdmin lze číst dekódováním zachycených relací.

Popis: Komunikace Klient – Server s nástrojem ServerAdmin používá SSL. Všechny systémy se dodávají s nainstalovaným stejným vzorovým certifikátem podepsaným sebou. Pokud tento certifikát nebyl nahrazen, může být dešifrována komunikace s nástrojem ServerAdmin. Oprava nahrazuje stávající certifikát podepsaný sebou takovým certifikátem, který byl vygenerován lokálně a jedinečně. Uznání za nahlášení tohoto problému zaslouží Michael Bartosh ze společnosti 4am Media, Inc.

Bezpečnostní aktualizace 2004-09-16

iChat

CVE-ID: CAN-2004-0873

Dopad: Vzdálení účastníci iChatu můžou posílat „odkazy“, které můžou při kliknutí spustit místní programy.

Popis: Vzdálený účastník iChatu může poslat „odkaz“, který odkazuje na program v místním systému. Pokud je „odkaz“ aktivován kliknutím na něj a odkaz odkazuje na místní program, daný program se spustí. iChat byl upraven tak, aby „odkazy“ tohoto typu otevřely okno Finderu, které program zobrazuje namísto jeho spuštění. Uznání za nahlášení tohoto problému zaslouží aaron@vtty.com.

Dostupnost: Tato aktualizace je k dispozici pro následující verze iChatu:

- iChat AV 2.1 (Mac OS X 10.3.5 nebo novější)

- iChat AV 2.0 (Mac OS X 10.2.8)

- iChat 1.0.1 (Mac OS X 10.2.8)

Bezpečnostní aktualizace 2004-09-07

Tato bezpečnostní aktualizace je k dispozici pro následující verze systému:

- Mac OS X 10.3.4

- Mac OS X 10.3.5

- Mac OS X Server 10.3.4

- Mac OS X Server 10.3.5

- Mac OS X 10.2.8

- Mac OS X Server 10.2.8

Tip: Další informace o identifikátorech CVE-ID uvedených níže najdete na webu (http://www.cve.mitre.org/).

Součást: Apache 2

CVE-ID: CAN-2004-0493, CAN-2004-0488

K dispozici pro: Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Dopad: Vystavení potenciálnímu odmítnutí služby

Popis: Apache Organization vydala Apache verze 2.0.50. Tato verze opravuje řadu chyb zabezpečení v oblasti odmítnutí služby. Aktualizovali jsme Apache na verzi 2.0.50, která je dodávána pouze se systémem Mac OS X Server a ve výchozím nastavení je vypnutá.

Součást: CoreFoundation

CVE-ID: CAN-2004-0821

K dispozici pro: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Dopad: Privilegované programy využívající CoreFoundation lze použít k načtení uživatelem dodané knihovny.

Popis: Balíčky využívající zařízení CoreFoundation CFPlugIn můžou obsahovat pokyny k automatickému načítání spustitelných souborů pluginu. Se speciálně vytvořeným balíčkem by k tomu mohlo dojít i pro privilegované programy, což by umožnilo navýšení místních oprávnění. CoreFoundation teď brání automatickému spustitelnému načítání balíčků, které už mají načtený spustitelný soubor. Uznání za nahlášení tohoto problému zaslouží Kikuchi Masashi (kik@ms.u-tokyo.ac.jp).

Součást: CoreFoundation

CVE-ID: CAN-2004-0822

K dispozici pro: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Dopad: S proměnnou prostředí je možné manipulovat tak, aby došlo k přetečení vyrovnávací paměti, což může vést k navýšení oprávnění.

Popis: Manipulací s proměnnou prostředí by mohl být potenciálně vytvořen program ke spuštění libovolného kódu místním útočníkem. To lze využít pouze s přístupem k místnímu účtu. U této proměnné prostředí se nyní provádějí přísnější kontroly platnosti. Uznání za nahlášení tohoto problému zaslouží aaron@vtty.com.

Součást: IPSec

CVE-ID: CAN-2004-0607

K dispozici pro: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Dopad: Při používání certifikátů můžou neověření hostitelé vyjednávat o připojení IPSec.

Popis: Pokud je nakonfigurováno používání certifikátů X.509 k ověřování vzdálených hostitelů, chyba ověření certifikátu nepřeruší výměnu klíčů. Mac OS X ve výchozím nastavení nepoužívá certifikáty pro protokol IPSec, takže tento problém se týká pouze konfigurací, které byly nakonfigurovány ručně. IPSec nyní ověřuje a přerušuje výměnu klíčů, pokud dojde k chybě ověření certifikátu.

Součást: Kerberos

CVE-ID: CAN-2004-0523

K dispozici pro: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Dopad: Vícenásobné přetečení vyrovnávací paměti v krb5_aname_to_localname pro MIT Kerberos 5 (krb5) 1.3.3 a starší by mohlo umožnit vzdáleným útočníkům spustit libovolný kód.

Popis: Přetečení vyrovnávací paměti lze využít pouze v případě, že je v souboru edu.mit.Kerberos nakonfigurována podpora „auth_to_local_names“ nebo „auth_to_local“. Apple to ve výchozím nastavení nepovoluje. Oprava zabezpečení byla přenesena zpět a použita na verze Kerberos pro Mac OS X. Verze Kerberos pro Mac OS X a Mac OS X Server není náchylná k nedávnému problému „dvojitého uvolnění paměti“, který byl nahlášen v poznámce o chybě zabezpečení CERT VU#350792 (CAN-2004-0772). Uznání zaslouží vývojový tým MIT Kerberos za to, že nás o tomto problému informoval.

Součást: lukemftpd

CVE-ID: CAN-2004-0794

K dispozici pro: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Dopad: Problém se souběhem, který může umožnit ověřenému vzdálenému útočníkovi způsobit odmítnutí služby nebo spustit libovolný kód.

Popis: Pokud byla povolena služba FTP a vzdálený útočník se může správně ověřit, pak by mu problém se souběhem umožnil zastavit službu FTP nebo spustit libovolný kód. Oprava má nahradit službu lukemftpd FTP službou tnftpd. Služba lukemftp je nainstalována, ale není aktivována v systému Mac OS X Server, který místo toho používá službu xftp. Uznání zaslouží Luke Mewburn z NetBSD Foundation za to, že nás o tomto problému informoval.

Součást: OpenLDAP

CVE-ID: CAN-2004-0823

K dispozici pro: Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Dopad: Heslo funkce „crypt“ lze použít, jako by šlo o heslo ve formátu prostého textu.

Popis: Zpětná kompatibilita se staršími implementacemi LDAP umožňuje ukládat heslo funkce „crypt“ do atributu userPassword. Některá schémata ověřování můžou tuto hodnotu používat, jako by to bylo heslo ve formátu prostého textu. Oprava odstraní nejednoznačnost a vždy použije tento typ pole jako heslo funkce „crypt“. K tomuto problému nedochází v Mac OS X 10.2.8. Uznání za nahlášení tohoto problému zaslouží Steve Revilak ze společnosti Kayak Software Corporation.

Součást: OpenSSH

CVE-ID: CAN-2004-0175

K dispozici pro: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Dopad: Škodlivý ssh/scp server může přepsat místní soubory.

Popis: Chyba zabezpečení procházení adresářem v programu scp umožňuje škodlivému vzdálenému serveru přepsat místní soubory. Oprava zabezpečení byla přenesena zpět a aplikována na verze OpenSSH pro Mac OS X.

Součást: PPPDialer

CVE-ID: CAN-2004-0824

K dispozici pro: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Dopad: Škodlivý uživatel může přepsat systémové soubory, což vede k navýšení místních oprávnění.

Popis: Součásti PPP prováděly nezabezpečené přístupy k souboru uloženému v umístění „world-writeable“. Oprava přesune soubory protokolu do umístění, které není „world-writeable“.

Součást: QuickTime Streaming Server

K dispozici pro: Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0825

Dopad: Odmítnutí služby vyžadující restartování QuickTime Streaming Serveru

Popis: Konkrétní sekvence operací klienta může způsobit zablokování na QuickTime Streaming Serveru. Oprava aktualizuje kód, aby se tento stav zablokování eliminoval.

Součást: rsync

CVE-ID: CAN-2004-0426

K dispozici pro: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Dopad: Když je aplikace „rsync“ spuštěna v režimu démona, může vzdálený útočník zapisovat mimo cestu modulu, pokud není nastavena volba „chroot“.

Popis: Aplikace „rsync“ ve verzi starší než 2.6.1 nečistí správně cesty při spouštění démona pro čtení a zápis s vypnutou možností „chroot“. Oprava aktualizuje aplikaci „rsync“ na verzi 2.6.2.

Součást: Safari

CVE-ID: CAN-2004-0361

K dispozici pro: Mac OS X 10.2.8, Mac OS X Server 10.2.8

Dopad: Datové pole JavaScriptu s negativní velikostí může způsobit, že Safari bude mít přístup k paměti mimo rozsah, což má za následek selhání aplikace.

Popis: Ukládání objektů do datového pole JavaScriptu s negativní velikostí může přepsat paměť. Safari teď přestane zpracovávat javascriptové programy, pokud se alokace datového pole nezdaří. Toto vylepšení zabezpečení bylo dříve zpřístupněno v Safari 1.0.3 a používá se v operačním systému Mac OS X 10.2.8 jako další vrstva ochrany pro zákazníky, kteří tuto verzi Safari nenainstalovali. Toto je specifická oprava pro Mac OS X 10.2.8 a problém neexistuje v systémech Mac OS X 10.3 nebo novějších.

Součást: Safari

CVE-ID: CAN-2004-0720

K dispozici pro: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Dopad: Nedůvěryhodný web může vkládat obsah do rámce určeného k použití jinou doménou.

Popis: Web, který používá více rámců, může mít některé z rámců nahrazené obsahem ze škodlivého webu, pokud byl nejprve navštíven škodlivý web. Oprava zavádí sadu nadřazených/podřízených pravidel, která útoku brání.

Součást: SquirrelMail

CVE-ID: CAN-2004-0521

K dispozici pro: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Dopad: SquirrelMail před verzí 1.4.3 RC1 umožňuje vzdáleným útočníkům spouštět neautorizované příkazy SQL.

Popis: SquirrelMail před verzí 1.4.3 RC1 je zranitelný vložením kódu SQL, které umožňuje spuštění neautorizovaných SQL příkazů. Oprava aktualizuje SquirrelMail na verzi 1.4.3a

Součást: tcpdump

CVE-ID: CAN-2004-0183, CAN-2004-0184

K dispozici pro: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Dopad: Škodlivě vytvořené pakety mohou způsobit pád spuštěného paketového analyzéru tcpdump.

Popis: Podrobné tiskové funkce pro pakety ISAKMP neprovádějí kontrolu správných hranic a způsobují čtení mimo rozsah, což vede k selhání. Oprava aktualizuje tcpdump na verzi 3.8.3.

Mac OS X 10.3.5

Tip: Další informace o identifikátorech CVE-ID uvedených níže najdete na webu (http://www.cve.mitre.org/).

libpng (Portable Network Graphics)

CVE-ID: CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599

Dopad: Škodlivé obrázky PNG můžou způsobit selhání aplikace a spustit libovolný kód.

Popis: V referenční knihovně bylo objeveno množství přetečení vyrovnávací paměti, přístupů přes nulový ukazatel a přetečení celých čísel pro čtení a zápis obrázků PNG. Tyto chyby zabezpečení byly opraveny v referenční knihovně „libpng“, která je používána prostředími CoreGraphics a AppKit v systému Mac OS X. Po instalaci této aktualizace budou aplikace, které používají formát obrázků PNG prostřednictvím těchto prostředí, chráněny před těmito nedostatky.

Safari:

CVE-ID: CAN-2004-0743

Dopad: V konkrétní situaci může navigace pomocí tlačítek vpřed/zpět odeslat data formuláře na adresu URL metody GET.

Popis: Jedná se o situaci, kdy je webový formulář odeslán na server pomocí metody POST, která vydává HTTP přesměrování na adresu URL metody GET. Pomocí tlačítek vpřed/zpět Safari znovu POŠLE data formuláře na adresu URL metody GET. Prohlížeč Safari byl upraven tak, aby v této situaci navigace vpřed/vzad vedla pouze k metodě GET. Uznání za nahlášení tohoto problému zaslouží Rick Osterberg z Harvard University FAS Computer Services.

TCP/IP Networking:

CVE-ID: CAN-2004-0744

Dopad: Škodlivě vytvořené fragmenty IP můžou používat příliš mnoho systémových zdrojů, které brání běžnému provozu sítě.

Popis: Útok „Rose Attack“ popisuje speciálně konstruovanou sekvenci fragmentů IP určených ke vyčerpání systémových zdrojů. Implementace protokolu TCP/IP byla upravena tak, aby omezila spotřebované zdroje a zabránila tomuto útoku odmítnutí služby. Uznání zaslouží Ken Hollis (gandalf@digital.net) a Chuck McAuley (chuck-at-lemure-dot-net), z diskuze o útoku „Rose Attack“.

Bezpečnostní aktualizace 2004-08-09 (Mac OS X 10.3.4 a 10.2.8)

Tip: Další informace o identifikátorech CVE-ID uvedených níže najdete na webu (http://www.cve.mitre.org/).

libpng (Portable Network Graphics)

CVE-ID: CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599

Dopad: Škodlivé obrázky PNG můžou způsobit selhání aplikace a spustit libovolný kód.

Popis: V referenční knihovně bylo objeveno množství přetečení vyrovnávací paměti, přístupů přes nulový ukazatel a přetečení celých čísel pro čtení a zápis obrázků PNG. Tyto chyby zabezpečení byly opraveny v referenční knihovně „libpng“, která je používána prostředími CoreGraphics a AppKit v systému Mac OS X. Po instalaci této aktualizace budou aplikace, které používají formát obrázků PNG prostřednictvím těchto prostředí, chráněny před těmito nedostatky.

Bezpečnostní aktualizace 2004-06-07 (Mac OS X 10.3.4 a 10.2.8)

Bezpečnostní aktualizace 2004-06-07 přináší řadu bezpečnostních vylepšení a je doporučena všem uživatelům počítačů Macintosh. Účelem této aktualizace je zvýšit zabezpečení tím, že vás upozorní při prvním otevření aplikace prostřednictvím mapování dokumentů nebo webové adresy (URL). Další podrobnosti najdete v tomto článku, včetně popisu nového dialogového okna s upozorněním. Bezpečnostní aktualizace 2004-06-07 je k dispozici pro následující verze systému:

- Mac OS X 10.3.4 „Panther“

- Mac OS X Server 10.3.4 „Panther“

- Mac OS X 10.2.8 „Jaguar“

- Mac OS X Server 10.2.8 „Jaguar“

LaunchServices

CVE-ID: CAN-2004-0538

Dopad: Služba LaunchServices automaticky registruje aplikace, které by mohly být použity k tomu, aby systém spouštěl neočekávané aplikace.

Diskuze: LaunchServices je systémová součást, která objevuje a otvírá aplikace. Tato systémová součást byla upravena tak, aby otvírala pouze aplikace, které byly v systému explicitně spuštěny. Pokusy o spuštění aplikace, která ještě nebyla explicitně spuštěna, povedou k upozornění uživatele. Další informace najdete v tomto článku.

Součást: DiskImageMounter

CVE-ID: Žádný CVE ID nebyl vyhrazen, protože se jedná pouze o další preventivní opatření.

Dopad: Typ disk:// URL připojí anonymní vzdálený souborový systém pomocí protokolu HTTP.

Diskuze: Registrace typu disk:// URL je ze systému odebrána jako preventivní opatření proti pokusům o automatické připojení obrazových souborových systémů vzdálených disků.

Safari

CVE-ID: CAN-2004-0539

Dopad: Tlačítko „Zobrazit ve Finderu“ otevře určité stažené soubory, v některých případech spustí stažené aplikace.

Diskuze: Tlačítko „Zobrazit ve Finderu“ nyní zobrazí soubory v okně Finderu a už se je nebude pokoušet otevřít. Tato úprava je k dispozici pouze pro systémy Mac OS X 10.3.4 „Panther“ a Mac OS X Server 10.3.4 „Panther“, protože problém se nevztahuje na systémy Mac OS X 10.2.8 „Jaguar“ nebo Mac OS X Server 10.2.8 „Jaguar“.

Terminal

CVE-ID: Není relevantní

Dopad: Pokusy o použití telnet:// URL s alternativním číslem portu selžou.

Diskuze: Byla provedena změna, která umožňuje specifikaci alternativního čísla portu v telnet:// URL. Tím se obnoví funkce, které byly odstraněny pomocí nedávné opravy pro CAN-2004-0485.

Mac OS X 10.3.4

• NFS: Opravuje CAN-2004-0513, za účelem zlepšení protokolování při sledování systémových volání. Uznání za nahlášení tohoto problému zaslouží David Brown (dave@spoonguard.org).

• LoginWindow: Opravuje CAN-2004-0514 za účelem zlepšení zpracování vyhledávání adresářových služeb.

• LoginWindow: Opravuje CAN-2004-0515 za účelem zlepšení manipulace se soubory protokolu konzoly. Uznání za nahlášení tohoto problému zaslouží aaron@vtty.com.

• Packaging: Opravuje CAN-2004-0516 za účelem zlepšení skriptů instalace balíčků. Uznání za nahlášení tohoto problému zaslouží aaron@vtty.com.

• Packaging: Opravuje CAN-2004-0517 za účelem zlepšení zpracování ID procesů během instalace balíčku. Uznání za nahlášení tohoto problému zaslouží aaron@vtty.com.

• TCP/IP: Opravuje CAN-2004-0171 za účelem zlepšení zpracování paketů TCP mimo sekvenci.

• AppleFileServer: Opravuje CAN-2004-0518 za účelem zlepšení používání SSH a hlášení chyb.

• Terminal: Opravuje CAN-2004-0485 za účelem zlepšení zpracování adres URL. Uznání za nahlášení tohoto problému zaslouží RenÌ© Puls (rpuls@gmx.net).

Poznámka: Mac OS X 10.3.4 obsahuje bezpečnostní aktualizaci 2004-04-05 a bezpečnostní aktualizaci 2004-05-03.

Bezpečnostní aktualizace 2004-05-24 pro Mac OS X 10.3.3 „Panther“ a Mac OS X Server 10.3.3

• HelpViewer: Opravuje CAN-2004-0486 za účelem zajištění, že HelpViewer bude zpracovávat pouze skripty, které inicioval. Uznání zaslouží lixlpixel Poznámka: Tuto aktualizaci lze nainstalovat taky na Mac OS X 10.3.4 a Mac OS X Server 10.3.4

Bezpečnostní aktualizace 2004-05-24 pro Mac OS X 10.2.8 „Jaguar“ a Mac OS X Server 10.2.8

• HelpViewer: Opravuje CAN-2004-0486 za účelem zajištění, že HelpViewer bude zpracovávat pouze skripty, které inicioval. Uznání zaslouží lixlpixel

• Terminal: Opravuje CAN-2004-0485 za účelem zlepšení zpracování adres URL v Terminálu. Uznání zaslouží RenÌ© Puls

Bezpečnostní aktualizace 2004-05-03 pro Mac OS X 10.3.3 „Panther“ a Mac OS X Server 10.3.3

• AppleFileServer: Opravuje CAN-2004-0430 za účelem zlepšení zpracování dlouhých hesel. Uznání za nahlášení tohoto problému zaslouží Dave G. z @stake.

• Apache 2: Opravuje CAN-2003-0020, CAN-2004-0113 a CAN-2004-0174 aktualizací na Apache 2 na verzi 2.0.49.

• CoreFoundation: Opravuje CAN-2004-0428 za účelem zlepšení zpracování proměnné prostředí. Uznání za nahlášení tohoto problému zaslouží aaron@vtty.com.

• IPSec: Opravuje CAN-2004-0155 a CAN-2004-0403 za účelem zlepšení zabezpečení VPN tunelů. IPSec v Mac OS X není ohrožen CAN-2004-0392.

Bezpečnostní aktualizace 2004-04-05 byla začleněna do této bezpečnostní aktualizace.

Bezpečnostní aktualizace 2004-05-03 pro Mac OS X 10.2.8 „Jaguar“ a Mac OS X Server 10.2.8

• AppleFileServer: Opravuje CAN-2004-0430 za účelem zlepšení zpracování dlouhých hesel. Uznání za nahlášení tohoto problému zaslouží Dave G. z @stake.

• Apache 2: Opravuje CAN-2003-0020, CAN-2004-0113 a CAN-2004-0174 aktualizací na Apache 2 na verzi 2.0.49.

• CoreFoundation: Opravuje CAN-2004-0428 za účelem zlepšení zpracování proměnné prostředí. Uznání za nahlášení tohoto problému zaslouží aaron@vtty.com.

• IPSec: Opravuje CAN-2004-0155 a CAN-2004-0403 za účelem zlepšení zabezpečení VPN tunelů. IPSec v Mac OS X není ohrožen CAN-2004-0392.

• Server Settings daemon: Opravuje CAN-2004-0429 za účelem zlepšení zpracování velkých požadavků.

Bezpečnostní aktualizace 2004-04-05 byla začleněna do této bezpečnostní aktualizace.

QuickTime 6.5.1

• Opravuje CAN-2004-0431, kdy přehrávání chybně formátovaného souboru .mov (film) může způsobit ukončení QuickTime.

Bezpečnostní aktualizace 2004-04-05 pro Mac OS X 10.3.3 „Panther“ a Mac OS X Server 10.3.3

• CUPS Printing: Opravuje CAN-2004-0382 za účelem zlepšení bezpečnosti tiskového systému. Jedná se o změnu konfiguračního souboru, která nemá vliv na základní tiskový systém. Uznání za nahlášení tohoto problému zaslouží aaron@vtty.com.

• libxml2: Opravuje CAN-2004-0110 za účelem zlepšení zpracování jednotných lokátorů zdrojů.

• Mail: Opravuje CAN-2004-0383 za účelem zlepšení zpracování e-mailů ve formátu HTML. Uznání za nahlášení tohoto problému zaslouží aaron@vtty.com.

• OpenSSL: Opravuje CAN-2004-0079 a CAN-2004-0112 za účelem zlepšení zpracování možností šifrování.

Bezpečnostní aktualizace 2004-04-05 pro Mac OS X 10.2.8 „Jaguar“ a Mac OS X Server 10.2.8

• CUPS Printing: Opravuje CAN-2004-0382 za účelem zlepšení bezpečnosti tiskového systému. Uznání za nahlášení tohoto problému zaslouží aaron@vtty.com.

Bezpečnostní aktualizace 2004-01-26 byla začleněna do této bezpečnostní aktualizace. Další vylepšení zabezpečení pro systém Panther v bezpečnostní aktualizaci 2004-04-05 nemají vliv na platformu 10.2.

Bezpečnostní aktualizace 2004-02-23 pro Mac OS X 10.3.2 „Panther“ a Mac OS X Server 10.3.2

• CoreFoundation: Opravuje CAN-2004-0168 za účelem zlepšení protokolování oznámení. Uznání za nahlášení tohoto problému zaslouží aaron@vtty.com.

• DiskArbitration: Opravuje CAN-2004-0167 za účelem bezpečnějšího zpravování inicializace zapisovatelného vyměnitelného média. Uznání za nahlášení tohoto problému zaslouží aaron@vtty.com.

• IPSec: Opravuje CAN-2004-0164 za účelem zlepšení kontroly výměny klíčů.

• Point-to-Point-Protocol: Opravuje CAN-2004-0165 za účelem zlepšení zpracování chybových zpráv. Uznání za nahlášení tohoto problému zaslouží Dave G. z @stake a Justin Tibbs ze společnosti Secure Network Operations (SRT).

• tcpdump: Opravuje CAN-2003-0989, CAN-2004-0055 a CAN-2004-0057 aktualizací tcpdump na verzi 3.8.1 a libpcap na verzi 0.8.1

• QuickTime Streaming Server: Opravuje CAN-2004-0169 za účelem zlepšení kontroly dat požadavků. Uznání za nahlášení tohoto problému zaslouží iDEFENSE Labs. Aktualizace streamovacího serveru pro jiné platformy jsou k dispozici na webu http://developer.apple.com/darwin/.

Bezpečnostní aktualizace 2004-02-23 pro Mac OS X 10.2.8 „Jaguar“ a Mac OS X Server 10.2.8

• DiskArbitration: Opravuje CAN-2004-0167 za účelem bezpečnějšího zpravování inicializace zapisovatelného vyměnitelného média. Uznání za nahlášení tohoto problému zaslouží aaron@vtty.comfor.

• IPSec: Opravuje CAN-2004-0164 za účelem zlepšení kontroly výměny klíčů.

• Point-to-Point-Protocol: Opravuje CAN-2004-0165 za účelem zlepšení zpracování chybových zpráv. Uznání za nahlášení tohoto problému zaslouží Dave G. z @stake a Justin Tibbs ze společnosti Secure Network Operations (SRT).

• Safari: Opravuje CAN-2004-0166 za účelem zlepšení zobrazení adres URL ve stavovém řádku.

• QuickTime Streaming Server: Opravuje CAN-2004-0169 za účelem zlepšení kontroly dat požadavků. Uznání za nahlášení tohoto problému zaslouží iDEFENSE Labs. Aktualizace streamovacího serveru pro jiné platformy jsou k dispozici na webu http://developer.apple.com/darwin/.

Bezpečnostní aktualizace 2004-01-26 pro Mac OS X Server 10.2.8 byla začleněna do této bezpečnostní aktualizace.

Bezpečnostní aktualizace 2004-01-26 pro Mac OS X 10.1.5 „Puma“ a Mac OS X Server 10.1.5

• Mail: Opravuje CAN-2004-0085 za účelem zajištění bezpečnostních vylepšení poštovní aplikace Apple.

Bezpečnostní aktualizace 2004-01-26 pro Mac OS X 10.2.8 „Jaguar“ a Mac OS X Server 10.2.8

• AFP Server: Vylepšuje AFP v průběhu bezpečnostní aktualizace 2003-12-19.

• Apache 1.3: Opravuje CAN-2003-0542, přetečení vyrovnávací paměti v modulech mod_alias a mod_rewrite na webovém serveru Apache.

• Apache 2: (Nainstalováno pouze na serveru) Opravuje CAN-2003-0542 a CAN-2003-0789 aktualizací Apache 2.0.47 na 2.0.48. Podrobnosti o aktualizaci najdete na webu: http://www.apache.org/dist/httpd/Announcement2.html

• Classic: Opravuje CAN-2004-0089 za účelem zlepšení zpracování proměnných prostředí. Uznání za nahlášení tohoto problému zaslouží Dave G. z @stake.

• Mail: Opravuje CAN-2004-0085 za účelem zajištění bezpečnostních vylepšení poštovní aplikace Apple.

• Safari: Opravuje CAN-2004-0092 zajištěním bezpečnostních vylepšení webového prohlížeče Safari.

• System Configuration: Opravuje CAN-2004-0087 a CAN-2004-0088, kdy subsystém System Configuration umožnil vzdáleným uživatelům, kteří nejsou správci, změnit nastavení sítě a provést změny konfigurace v configd. Uznání za nahlášení těchto problémů zaslouží Dave G. z @stake.

Bezpečnostní aktualizace 2003-12-19 byla začleněna do této bezpečnostní aktualizace. Další bezpečnostní vylepšení obsažená v bezpečnostní aktualizaci 2004-01-26 pro Mac OS X 10.3.2 „Panther“ nejsou v této aktualizaci pro Jaguar obsažena, protože systém Jaguar není těmito problémy ovlivněn.

Bezpečnostní aktualizace 2004-01-26 pro Mac OS X 10.3.2 „Panther“ a Mac OS X Server 10.3.2

• Apache 1.3: Opravuje CAN-2003-0542, přetečení vyrovnávací paměti v modulech mod_alias a mod_rewrite na webovém serveru Apache.

• Apache 2: (Nainstalováno pouze na serveru) Opravuje CAN-2003-0542 a CAN-2003-0789 aktualizací Apache 2.0.47 na 2.0.48. Podrobnosti o aktualizaci najdete na webu: http://www.apache.org/dist/httpd/Announcement2.html.

• Classic: Opravuje CAN-2004-0089 za účelem zlepšení zpracování proměnných prostředí. Uznání za nahlášení tohoto problému zaslouží Dave G. z @stake.

• Mail: Opravuje CAN-2004-0086 za účelem zajištění bezpečnostních vylepšení poštovní aplikace Apple. Uznání za nahlášení tohoto problému zaslouží Jim Roepcke.

• Safari: Opravuje CAN-2004-0092 zajištěním bezpečnostních vylepšení webového prohlížeče Safari.

• System Configuration: Opravuje CAN-2004-0087, kdy subsystém System Configuration umožnil vzdáleným uživatelům, kteří nejsou správci, změnit nastavení sítě. Uznání za nahlášení těchto problémů zaslouží Dave G. z @stake.

• Windows File Sharing: Opravuje CAN-2004-0090, kdy se sdílení souborů ve Windows nevypnulo správně.

• Bezpečnostní aktualizace 2003-12-19 byla začleněna do této bezpečnostní aktualizace. Další bezpečnostní vylepšení obsažená v bezpečnostní aktualizaci 2004-01-26 pro Mac OS X 10.2.8 „Jaguar“ nejsou v této aktualizaci pro Panther obsažena, protože systém Panther není těmito problémy ovlivněn.

Bezpečnostní aktualizace 2003-12-19 pro Mac OS X 10.2.8 „Jaguar“ a Mac OS X Server 10.2.8

• AppleFileServer: Opravuje CAN-2003-1007 za účelem zlepšení zpracování chybně formátovaných požadavků.

• cd9660.util: Opravuje CAN-2003-1006, chyba zabezpečení přetečení vyrovnávací paměti v utilitě souborového systému cd9660.util. Uznání za nahlášení tohoto problému zaslouží KF ze Secure Network Operations.

• Directory Services: Opravuje CAN-2003-1009. Výchozí nastavení je změněno, aby se zabránilo neúmyslnému připojení v případě škodlivého DHCP serveru v místní podsíti počítače. Další informace jsou uvedeny v článku znalostní databáze Apple: http://docs.info.apple.com/article.html?artnum=32478. Uznání za nahlášení tohoto problému zaslouží William A. Carrel.

• Fetchmail: Opravuje CAN-2003-0792. Jsou poskytovány aktualizace pro doručování pošty, které zlepšují jeho stabilitu za určitých podmínek.

• fs_usage: Opravuje CAN-2003-1010. Nástroj fs_usage byl vylepšen, aby se zabránilo chybě zabezpečení související s navýšením místních oprávnění. Tento nástroj slouží ke shromažďování informací o výkonu systému a ke spuštění vyžaduje oprávnění správce. Uznání za nahlášení tohoto problému zaslouží Dave G. z @stake.

• rsync: Opravuje CAN-2003-0962 vylepšením zabezpečení rsyncserver.

• System initialization: Opravuje CAN-2003-1011. Proces inicializace systému byl vylepšen, aby se omezil přístup k účtu „root“ v systému, který používá USB klávesnici.

Poznámka: Následující opravy, které jsou uvedeny v „bezpečnostní aktualizaci 2003-12-19 pro systém Panther“, nejsou součástí „bezpečnostní aktualizace 2003-12-19 pro systém Jaguar“, protože verze systému Mac OS X a Mac OS X Server Jaguar nejsou náchylné k těmto problémům:

- CAN-2003-1005: ASN.1 dekódování pro PKI

- CAN-2003-1008: Oříznutí textu spořiče obrazovky

Bezpečnostní aktualizace 2003-12-19 pro Mac OS X 10.3.2 „Panther“ a Mac OS X Server 10.3.2

• ASN.1 Decoding for PKI: Opravuje CAN-2003-1005, kdy by přijímání chybně formátovaných sekvencí ASN.1 mohlo způsobit potenciální odmítnutí služby. To souvisí s CAN-2003-0851, ale jde o samostatný problém.

• AppleFileServer: Opravuje CAN-2003-1007 za účelem zlepšení zpracování chybně formátovaných požadavků.

• cd9660.util: Opravuje CAN-2003-1006, chyba zabezpečení přetečení vyrovnávací paměti v utilitě souborového systému cd9660.util. Uznání za nahlášení tohoto problému zaslouží KF ze Secure Network Operations.

• Directory Services: Opravuje CAN-2003-1009. Výchozí nastavení je změněno, aby se zabránilo neúmyslnému připojení v případě škodlivého DHCP serveru v místní podsíti počítače. Další informace jsou uvedeny v článku znalostní databáze Apple: http://docs.info.apple.com/article.html?artnum=32478. Uznání za nahlášení tohoto problému zaslouží William A. Carrel.

• Fetchmail: Opravuje CAN-2003-0792. Jsou poskytovány aktualizace pro doručování pošty, které zlepšují jeho stabilitu za určitých podmínek.

• fs_usage: Opravuje CAN-2003-1010. Nástroj fs_usage byl vylepšen, aby se zabránilo chybě zabezpečení související s navýšením místních oprávnění. Tento nástroj slouží ke shromažďování informací o výkonu systému a ke spuštění vyžaduje oprávnění správce. Uznání za nahlášení tohoto problému zaslouží Dave G. z @stake.

• rsync: Opravuje CAN-2003-0962 vylepšením zabezpečení rsyncserver.

• Screen Saver: Opravuje CAN-2003-1008. Když je přihlašovací okno spořiče obrazovky k dispozici, už není možné psát oříznutí textu na plochu nebo do aplikace. Uznání za nahlášení tohoto problému zaslouží Benjamin Kelly.

• System initialization: Opravuje CAN-2003-1011. Proces inicializace systému byl vylepšen, aby se omezil přístup k účtu „root“ v systému, který používá USB klávesnici.

Bezpečnostní aktualizace 2003-12-05

• Safari: Opravuje CAN-2003-0975 za účelem zajištění, že Safari poskytne přístup k informacím o souborech cookie uživatele pouze autorizovaným webům. Aktualizace je k dispozici jak pro Mac OS X 10.3.1, tak pro Mac OS X 10.2.8.

Bezpečnostní aktualizace 2003-11-19 pro 10.2.8

Jsou to zásady Apple, které rychle řeší významné chyby zabezpečení v předchozích verzích systému Mac OS X, kdykoli je to možné. Bezpečnostní aktualizace 2003-11-19 obsahuje aktualizace několika součástí systému Mac OS X 10.2, které splňují tato kritéria.

• gm4: Opravuje CAN-2001-1411, chyba zabezpečení řetězce formátu v utilitě gm4. Na gm4 se nespoléhaly žádné programy „root“ pro nastavení UID a tato oprava je preventivním opatřením proti možnému budoucímu využití.

• groff: Opravuje CVE-2001-1022, kdy obrazová součást „groff“ obsahovala chybu zabezpečení řetězce formátu.

• Mail: Opravuje CAN-2003-0881, aby se aplikace Mail Mac OS X při konfiguraci účtu pro použití odpovědi na výzvu MD5 již nevrátila k přihlášení prostým textem.

• OpenSSL: Opravuje CAN-2003-0851, aby bylo analyzování určitých chybně formátovaných sekvencí ASN.1 bylo nyní zpracováno bezpečnějším způsobem.

• Personal File Sharing: Opravuje CAN-2003-0878, když je povoleno sdílení osobních souborů, démon „slpd“ už nemůže v adresáři /tmp vytvořit soubor vlastněný uživatelem „root“, aby získal vyšší oprávnění.

• QuickTime for Java: Opravuje CAN-2003-0871, potenciální chyba zabezpečení, která by mohla umožnit neautorizovaný přístup k systému.

• zlib: Opravuje CAN-2003-0107. Přestože v Mac OS X nebyly žádné funkce, které by používaly zranitelnou funkci gzprintf(), byl opraven základní problém v knihovně zlib na ochranu aplikací třetích stran, které by mohly tuto knihovnu potenciálně používat.

Bezpečnostní aktualizace 2003-11-19 pro Panther 10.3.1

• OpenSSL: Opravuje CAN-2003-0851, aby bylo analyzování určitých chybně formátovaných sekvencí ASN.1 bylo nyní zpracováno bezpečnějším způsobem.

• zlib: Opravuje CAN-2003-0107. Přestože v Mac OS X nebyly žádné funkce, které by používaly zranitelnou funkci gzprintf(), byl opraven základní problém v knihovně zlib na ochranu aplikací třetích stran, které by mohly tuto knihovnu potenciálně používat.

Bezpečnostní aktualizace 2003-11-04

• Terminal: Opravuje CAN-2003-0913, potenciální chyba zabezpečení aplikace Terminál v systému Mac OS X 10.3 a Mac OS X Server 10.3, která by mohla umožnit neoprávněný přístup k systému. Verze Mac OS X starší než 10.3 nejsou ovlivněny.

Bezpečnostní aktualizace 2003-10-28

• Opravuje CAN-2003-0871, potenciální chyba zabezpečení v implementaci QuickTime Javy v Mac OS X 10.3 a Mac OS X Server 10.3, která by mohla umožnit neoprávněný přístup k systému.

Mac OS X 10.3 Panther

• Finder: Opravuje CAN-2003-0876, kdy se při kopírování složky z připojeného svazku, například obrazu disku, nemusí být zachována oprávnění ke složce. Uznání za nalezení tohoto problému zaslouží Dave G. z @stake, Inc.

• Kernel: Opravuje CAN-2003-0877, kdy pokud systém běží s povolenými soubory jádra, může uživatel s přístupem k interaktivnímu shellu přepsat libovolné soubory a číst soubory jádra vytvořené procesy vlastněnými uživatelem „root“. To může vést k ohrožení citlivých informací, jako jsou přihlašovací údaje. Vytváření souborů jádra je ve výchozím nastavení Mac OS X zakázáno. Uznání za nalezení tohoto problému zaslouží Dave G. z @stake, Inc.

• slpd: Opravuje CAN-2003-0878, kdy pokud je povoleno sdílení osobních souborů, může démon „slpd“ vytvořit v adresáři /tmp soubor vlastněný uživatelem „root“. To by mohlo přepsat existující soubor a umožnit uživateli získat vyšší oprávnění. Sdílení osobních souborů je ve výchozím nastavení v Mac OS X vypnuté. Uznání zaslouží Dave G. z @stake, Inc. za nalezení tohoto problému.

• Kernel: Opravuje CAN-2003-0895, kdy místní uživatel může způsobit selhání jádra Mac OS X zadáním dlouhého argumentu příkazového řádku. Po několika minutách se počítač sám restartuje. Uznání za nalezení tohoto problému zaslouží Dave G. z @stake, Inc.

• ktrace: Opravuje CVE-2002-0701, teoretická možnost zneužití, když je pomocí možnosti kernelu KTRACE povolena funkce ktrace, může být místnímu uživateli umožněno získat citlivé informace. O žádné konkrétní utilitě není v současné době známo, že by byla zranitelná vůči tomuto konkrétnímu problému.

• nfs: Opravuje CVE-2002-0830 pro systém Network File System, kde vzdálený uživatel může schopen odesílat zprávy RPC, které způsobí, že se systém zamkne.

• zlib: Opravuje CAN-2003-0107. Přestože v systému Mac OS X nebyly žádné funkce, které by používaly zranitelnou funkci gzprintf(), byl opraven základní problém v knihovně zlib.

• gm4: Opravuje CAN-2001-1411, chyba zabezpečení řetězce formátu v utilitě gm4. Na gm4 se nespoléhaly žádné programy „root“ pro nastavení UID a tato oprava je preventivním opatřením proti možnému budoucímu využití.

• OpenSSH: Opravuje CAN-2003-0386, kde je možné omezení „from=“ a „user@hosts“ potenciálně obejít prostřednictvím reverzního DNS pro numericky určené IP adresy. Mac OS X 10.3 taky obsahuje předchozí opravy vydané pro OpenSSH a verze OpenSSH získaná prostřednictvím příkazu „ssh -V“ je: OpenSSH_3.6.1p1+CAN-2003-0693, SSH protokoly 1.5/2.0, OpenSSL 0x0090702f

• nidump: Opravuje CAN-2001-1412, kdy utilita nidump poskytuje přístup k šifrovaným heslům používaným k ověřování přihlašovacích údajů.

• System Preferences: Opravuje CAN-2003-0883, kdy po ověření s heslem správce bude systém i nadále po krátkou dobu umožňovat přístup k panelům předvoleb zabezpečení. To by mohlo místnímu uživateli umožnit přístup k panelům předvoleb, které by normálně nemohl používat. V předvolbách zabezpečení pro systém Mac OS X 10.3 je nyní možnost „Vyžadovat heslo k odemknutí všech předvoleb zabezpečení systému“. Uznání za nahlášení tohoto problému zaslouží Anthony Holder.

• TCP timestamp: Opravuje CAN-2003-0882, kdy je časová značka TCP inicializována s konstantním číslem. To může osobě umožnit zjistit, jak dlouho byl systém spuštěn na základě ID v TCP paketech. V systému Mac OS X 10.3 je časová značka TCP nyní inicializována náhodným číslem. Uznání zaslouží Aaron Linville za nahlášení tohoto problému a odeslání opravy prostřednictvím open source programu Darwin.

• Mail: Opravuje CAN-2003-0881, v aplikaci Mail Mac OS X, pokud je účet nakonfigurován tak, aby používal odpověď na výzvu MD5, pokusí se přihlásit pomocí CRAM-MD5, ale v případě selhání hashovaného přihlášení se tiše vrátí k prostému textu. Uznání za nahlášení tohoto problému zaslouží Chris Adams.

• Dock: Opravuje CAN-2003-0880, když je přes panel Klávesnice v Předvolbách systému zapnutý Úplný přístup z klávesnice, mohou být funkce Docku naslepo přístupné na pozadí efektů na obrazovce.

Mac OS X 10.2.8

• OpenSSL: Opravuje CAN-2003-0543, CAN-2003-0544, CAN-2003-0545 za účelem řešení potenciálních problémů v určitých strukturách ASN.1 a v ověřovacím kódu certifikátu. K rychlému a spolehlivému poskytnutí aktualizace byly použity pouze opravy výše uvedených CVE ID, a ne celá nejnovější knihovna OpenSSL. Verze OpenSSL v systému Mac OS X 10.2.8, získaná příkazem „openssl version“, je tedy: OpenSSL 0.9.6i Úno 19 2003

• OpenSSH: Opravuje CAN-2003-0693, CAN-2003-0695 a CAN-2003-0682 za účelem opravení chyb správy vyrovnávací paměti ve verzích sshd OpenSSH před 3.7.1. K rychlému a spolehlivému poskytnutí aktualizace byly použity pouze opravy výše uvedených CVE ID, a ne celá sada oprav pro OpenSSH 3.7.1. Verze OpenSSH v systému Mac OS X 10.2.8, získaná příkazem „ssh -V“, je tedy: OpenSSH_3.4p1+CAN-2003-0693, SSH protokoly 1.5/2.0, OpenSSL 0x0090609f

• sendmail: Opravuje CAN-2003-0694 a CAN-2003-0681 za účelem opravy přetečení vyrovnávací paměti v analýze adres, stejně jako možného přetečení vyrovnávací paměti v analýze sady pravidel.

• fb_realpath(): Opravuje CAN-2003-0466, což je chyba „off-by-one“ ve funkci fb_realpath(), která může útočníkům umožnit spustit libovolný kód.

• arplookup(): Opravuje CAN-2003-0804. Funkce arplookup() ukládá do mezipaměti ARP požadavky pro trasy na místním odkazu. Pouze na místní podsíti může útočník odeslat dostatečný počet podvržených ARP požadavků, které vyčerpají paměť kernelu, což vede k odmítnutí služby.

Informace o dřívějších bezpečnostních aktualizacích najdete v článku „Bezpečnostní aktualizace Apple: Srpen, 2003 a starší“.