Mises à jour de sécurité Apple (du 3 octobre 2003 au 11 janvier 2005)

Ce document présente les mises à jour de sécurité pour les produits Apple parues entre le 3 octobre 2003 et le 11 janvier 2005.

Important : pour obtenir des informations sur les mises à jour de sécurité actuelles (récentes), consultez l’article Mises à jour de sécurité d’Apple.

Pour obtenir des informations sur des mises à jour de sécurité antérieures, consultez l’article Mises à jour de sécurité Apple : jusqu’à août 2003.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour en savoir plus sur la sécurité des produits Apple, consultez le site web Product Security Incident Response d’Apple, Inc.

Clé PGP du groupe de sécurité produit d’Apple

Pour en savoir plus, consultez l’article Comment utiliser la clé PGP du groupe de sécurité produit d’Apple.

Mises à jour de sécurité

Les mises à jour de sécurité sont répertoriées ci-après en fonction de la version du logiciel dans lequel elles ont été intégrées pour la première fois. Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.

iTunes 4.7.1

Disponible pour : Mac OS X, Microsoft Windows XP, Microsoft Windows 2000

Référence CVE : CAN-2005-0043

Conséquence : des listes de lecture malveillantes peuvent provoquer un blocage d’iTunes ou une exécution de code arbitraire.

Description : iTunes prend en charge plusieurs formats courants de liste de lecture. iTunes 4.7.1 corrige un dépassement de mémoire tampon pendant les séquences d’analyse des fichiers de liste de lecture m3u et pls. Ceci pouvait provoquer un blocage d’iTunes ou une exécution de code arbitraire. Nous remercions Sean de Regge (seanderegge@hotmail.com) d’avoir découvert ce problème et à iDEFENSE Labs de l’avoir signalé.

Mise à jour de sécurité 2004-12-02

Apache

Disponible pour : Mac OS X Server v10.3.6, Mac OS X Server v10.2.8

Référence CVE : CAN-2004-1082

Conséquence : l’authentification mod_digest_apple d’Apache est vulnérable aux attaques par rejeu.

Description : le module mod_digest_apple spécifique à Mac OS X Server est basé sur le module mod_digest d’Apache. Différentes corrections visant à résoudre le problème de rejeu du module mod_digest ont été appliquées dans les versions 1.3.31 et 1.3.32 d’Apache (CAN-2003-0987). Cette mise à jour corrige le problème de rejeu de l’authentification mod_digest_apple grâce aux modifications apportées à Apache 1.3.32.

Apache

Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

Références CVE : CAN-2003-0020, CAN-2003-0987, CAN-2004-0174, CAN-2004-0488, CAN-2004-0492, CAN-2004-0885, CAN-2004-0940

Conséquence : plusieurs vulnérabilités affectent Apache et mod_ssl, notamment une élévation des privilèges des utilisateurs locaux, un déni de service à distance et, dans certaines configurations modifiées, une exécution de code arbitraire.

Description : l’Apache Group a résolu certaines vulnérabilités entre les versions 1.3.29 et 1.3.33. Vous pouvez consulter la page concernant la sécurité d’Apache 1.3 publiée par l’Apache Group à l’adresse http://www.apacheweek.com/features/security-13. La version d’Apache installée précédemment était la 1.3.29. L’installation par défaut d’Apache n’active pas le module mod_ssl. Cette mise à jour résout tous les problèmes potentiels en effectuant la mise à jour d’Apache vers la version 1.3.33 et en mettant à jour le module compagnon mod_ssl vers la version 2.8.22.

Apache

Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

Référence CVE : CAN-2004-1083

Conséquence : Les configurations Apache ne bloquaient pas entièrement l’accès aux fichiers « .DS_Store » ni à ceux commençant par « .ht ».

Description : une configuration Apache par défaut bloque l’accès aux fichiers commençant par « .ht » d’une manière sensible à la casse. Le processus d’accès utilisé par le système de fichiers HFS+ d’Apple n’est pas sensible à la casse. Le Finder peut aussi créer des fichiers .DS_Store contenant les noms des fichiers dans des emplacements utilisés pour traiter des pages web. Cette mise à jour modifie la configuration Apache afin de restreindre l’accès à tous les fichiers commençant par « .ht » ou « .DS_S » sans tenir compte de la casse. Plus d’informations

Apache

Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

Référence CVE : CAN-2004-1084

Conséquence : les données des fichiers et les fichiers de ressource peuvent être retrouvés via HTTP sans passer par les gestionnaires de fichiers Apache habituels.

Description : le système de fichiers HFS+ d’Apple permet aux fichiers de disposer de plusieurs flux de données. Ces flux de données sont directement accessibles via des noms de fichiers spécifiques. Une requête HTTP spécifique peut éviter un gestionnaire de fichiers Apache et accéder directement aux données des fichiers ou au contenu des fichiers de ressource. Cette mise à jour modifie la configuration Apache afin de refuser l’accès aux données des fichiers ou au contenu des fichiers de ressource via leurs noms de fichiers spécifiques. Pour en savoir plus, consultez cet article. Nous remercions NetSec d’avoir signalé ce problème.

Apache 2

Disponible pour : Mac OS X Server v10.3.6, Mac OS X Server v10.2.8

Références CVE : CAN-2004-0747, CAN-2004-0786, CAN-2004-0751, CAN-2004-0748

Conséquence : des configurations Apache 2 modifiées pouvaient permettre une élévation des privilèges pour les utilisateurs locaux et un déni de service à distance.

Description : une configuration Apache 2 modifiée par un client, dans laquelle AllowOverride a été activé, pourrait permettre à un utilisateur local d’exécuter un code arbitraire en tant qu’utilisateur Apache (www). Une configuration non modifiée n’est pas vulnérable à ce problème. Cette mise à jour corrige également des bogues d’Apache qui pouvaient permettre à certains types de requêtes de bloquer le serveur. La mise à jour Apache est la version 2.0.52. Apache 2 est livré uniquement avec Mac OS X Server et est désactivé par défaut.

Appkit

Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

Référence CVE : CAN-2004-1081

Conséquence : les caractères saisis dans un champ sécurisé peuvent être lus par d’autres applications dans la même session.

Description : dans certaines circonstances, un champ de saisie sécurisé ne garantit pas une saisie sécurisée. D’autres applications de la même session peuvent alors voir certains caractères et certaines combinaisons clavier. La saisie dans des champs sécurisés est désormais configurée de façon à empêcher toute fuite d’informations.

Appkit

Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

Références CVE : CAN-2004-0803, CAN-2004-0804, CAN-2004-0886

Conséquence : des dépassements d’entier et une mauvaise technique de vérification au niveau de la gestion des images tiff pouvaient permettre l’exécution de code arbitraire ou un déni de service.

Description : des anomalies au niveau du décodage des images tiff pouvaient surcharger la mémoire, entraîner des erreurs arithmétiques sources de blocages ou autoriser l’exécution de code arbitraire. Cette mise à jour corrige les problèmes de gestion des images tiff.

Cyrus IMAP

Disponible pour : Mac OS X Server v10.3.6

Référence CVE : CAN-2004-1089

Conséquence : lors de l’authentification Kerberos avec Cyrus IMAP, un utilisateur authentifié pouvait accéder de façon illégale à d’autres boîtes aux lettres du même système.

Description : lors de l’authentification Kerberos avec le serveur Cyrus IMAP, un utilisateur pouvait changer de boîte aux lettres après s’être authentifié et accéder à d’autres boîtes du même système. Cette mise à jour lie la boîte aux lettres à l’utilisateur authentifié. Ce problème spécifique au serveur ne se produit pas sous Mac OS X Server v10.2.8. Nous remercions johan.gradvall@gothia.se d’avoir signalé ce problème.

HIToolbox

Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6

Référence CVE : CAN-2004-1085

Conséquence : les utilisateurs peuvent quitter les applications en mode kiosque.

Description : une combinaison de touches spéciale permettait aux utilisateurs d’afficher la fenêtre « Forcer à quitter » même en mode kiosque. Cette mise à jour bloque toutes les combinaisons de touches visant à afficher cette fenêtre en mode kiosque. Ce problème ne se produit ni sous Mac OS X v10.2.8 ni sous Mac OS X Server v10.2.8. Nous remercions Glenn Blauvelt de l’Université du Colorado (Boulder) d’avoir signalé ce problème.

Kerberos

Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

Références CVE : CAN-2004-0642, CAN-2004-0643, CAN-2004-0644, CAN-2004-0772

Conséquence : risque de déni de service lors d’une authentification via Kerberos.

Description : MIT a sorti une nouvelle version de Kerberos qui résout le problème de déni de service et trois erreurs « double free ». Mac OS X contient une protection contre les erreurs « double free ». Cette mise à jour inclut un correctif qui résout le problème de déni de service. Par mesure de précaution, des correctifs « double free » ont aussi été mis en place. Nous remercions la MIT Kerberos Development Team d’avoir signalé ce problème et d’avoir fourni des correctifs.

Postfix

Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6

Référence CVE : CAN-2004-1088

Conséquence : les serveurs Postfix utilisant CRAM-MD5 peuvent permettre à un utilisateur distant d’envoyer du courrier sans s’authentifier correctement.

Description : les serveurs Postfix qui utilisent CRAM-MD5 pour authentifier des expéditeurs étaient vulnérables à une attaque par rejeu. Dans certaines circonstances, les identifiants utilisés pour authentifier un utilisateur pouvaient être réutilisés pendant une courte période. L’algorithme CRAM-MD5 utilisé pour authentifier les utilisateurs a été mis à jour pour fermer la fenêtre de rejeu. Ce problème ne se produit ni sous Mac OS X v10.2.8 ni sous Mac OS X Server v10.2.8. Nous remercions Victor Duchovni de Morgan Stanley d’avoir signalé ce problème.

PSNormalizer

Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6

Référence CVE : CAN-2004-1086

Conséquence : un dépassement de la mémoire tampon lors de la conversion PostScript/PDF pouvait permettre une exécution de code arbitraire.

Description : un dépassement de la mémoire tampon lors de la conversion PostScript/PDF permettait parfois une exécution de code arbitraire. Cette mise à jour corrige le code de conversion PostScript/PDF afin d’empêcher tout dépassement de la mémoire tampon. Ce problème ne se produit ni sous Mac OS X v10.2.8 ni sous Mac OS X Server v10.2.8.

QuickTime Streaming Server

Disponible pour : Mac OS X Server v10.3.6, Mac OS X Server v10.2.8

Référence CVE : CAN-2004-1123

Conséquence : des requêtes spécifiques pouvaient entraîner un déni de service.

Description : QuickTime Streaming Server était vulnérable à un déni de service lors du traitement de requêtes DESCRIBE. Cette mise à jour corrige le traitement de ces requêtes. Nous remercions iDEFENSE d’avoir signalé ce problème.

Safari

Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

Référence CVE : CAN-2004-1121

Conséquence : un langage HTML spécifique peut afficher une URL incorrecte dans la barre d’état de Safari.

Description : Safari pouvait afficher par erreur une URL dans sa barre d’état qui ne correspondait pas à celle de la destination d’un lien. Cette mise à jour corrige ce problème de façon à ce que Safari affiche l’URL qui sera activée lors de sa sélection.

Safari

Disponible pour : Mac OS X v10.3.6, Mac OS X Server v10.3.6, Mac OS X v10.2.8, Mac OS X Server v10.2.8

Référence CVE : CAN-2004-1122

Conséquence : lorsque plusieurs fenêtres de navigateur étaient actives, les utilisateurs de Safari pouvaient se tromper sur l’origine d’une fenêtre contextuelle.

Description : lorsque plusieurs fenêtres Safari étaient ouvertes, l’apparition d’une fenêtre contextuelle à un moment précis pouvait laisser penser à l’utilisateur qu’elle était activée par un site différent. Dans cette mise à jour, Safari place désormais la fenêtre qui active une fenêtre contextuelle devant toutes les autres fenêtres du navigateur. Nous remercions Secunia Research d’avoir signalé ce problème.

Terminal

Disponible pour : Mac OS X v10.3.6 et Mac OS X Server v10.3.6

Référence CVE : CAN-2004-1087

Conséquence : Terminal peut indiquer que la « Saisie clavier sécurisée » est activée alors qu’elle ne l’est pas.

Description : le réglage de menu « Saisie clavier sécurisée » n’était pas restauré correctement lors du lancement de Terminal.app. Une coche était affichée en regard de « Saisie clavier sécurisée » alors que cette fonctionnalité n’était pas activée. Cette mise à jour corrige le comportement de la saisie sécurisée. Ce problème ne se produit ni sous Mac OS X v10.2.8 ni sous Mac OS X Server v10.2.8. Nous remercions Jonathan « Wolf » Rentzsch de Red Shed Software d’avoir signalé ce problème.

iCal 1.5.4

Référence CVE : CAN-2004-1021

Conséquence : de nouveaux calendriers iCal peuvent ajouter des alarmes sans approbation.

Description : les calendriers iCal peuvent inclure une notification d’événements via des alarmes. Ces alarmes peuvent ouvrir des programmes et envoyer des courriels. iCal a été mis à jour de manière à afficher une fenêtre d’alerte lors de l’importation ou de l’ouverture de calendriers contenant des alarmes. iCal 1.5.4 est disponible pour Mac OS X v10.2.3 ou version ultérieure. Nous remercions aaron@vtty.com d’avoir signalé ce problème.

Mise à jour de sécurité 2004-10-27

Apple Remote Desktop

Disponible pour : Apple Remote Desktop Client 1.2.4 avec Mac OS X 10.3.x

Référence CVE : CAN-2004-0962

Conséquence : une application peut être démarrée derrière la fenêtre d’ouverture de session et s’exécutera sous l’identité root.

Description : pour un système remplissant les conditions suivantes :

• Client Apple Remote Desktop installé

• Un utilisateur sur le système client a été activé avec les autorisations d’ouverture et de fermeture d’applications

• Le nom d’utilisateur et le mot de passe de l’utilisateur ARD sont connus

• La permutation rapide d’utilisateur a été activée

• Un utilisateur a ouvert une session et la fenêtre d’ouverture de session est active via la permutation rapide d’utilisateur

Si l’application Apple Remote Desktop Administrator d’un autre système est utilisé pour démarrer une application GUI sur le client, l’application GUI s’exécute sous l’identité root derrière la fenêtre d’ouverture de session. Cette mise à jour empêche Apple Remote Desktop de lancer des applications lorsque la fenêtre d’ouverture de session est active. Cette amélioration de la sécurité est également présente dans Apple Remote Desktop v2.1. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X 10.3. Nous remercions Andrew Nakhla et Secunia Research d’avoir signalé ce problème.

QuickTime 6.5.2

Référence CVE : CAN-2004-0988

Disponible pour : Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME et Microsoft Windows 98

Conséquence : un dépassement d’entier qui pourrait être exploitable dans un environnement HTML.

Description : une extension de signe d’un petit entier présentant un dépassement peut générer le transfert d’un très grand nombre vers une fonction de déplacement de mémoire. Le correctif empêche ce petit entier de subir un dépassement. Ce problème ne se produit pas dans QuickTime pour les systèmes Mac OS X. Nous remercions John Heasman de Next Generation Security Software Ltd. d’avoir signalé ce problème.

Référence CVE : CAN-2004-0926

Disponible pour : Mac OS X v10.3.x, Mac OS X Server v10.3.x, Mac OS X v10.2.8, Mac OS X Server v10.2.8, Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME et Microsoft Windows 98

Conséquence : un dépassement de la mémoire tampon pourrait permettre à des attaquants d’exécuter un code arbitraire.

Description : des anomalies au niveau du décodage du type d’image BMP pourraient écraser la mémoire tampon et permettre une exécution de code arbitraire dissimulé dans une image. Il s’agit de la même amélioration de sécurité qui avait été mise à disposition via la Mise à jour de sécurité 2004-09-30, et qui peut être déployée sur les configurations système couvertes par cette mise à jour QuickTime.

Mise à jour de sécurité 2004-09-30 (sortie le 04-10-2004)

AFP Server

Disponible pour : Mac OS X v10.3.5 et Mac OS X Server v10.3.5

Référence CVE : CAN-2004-0921

Conséquence : déni de service permettant à un invité de déconnecter des volumes AFP.

Description : un volume AFP monté par un invité pourrait être utilisé pour résilier les volumes montés d’un utilisateur authentifié depuis le même serveur en modifiant des paquets SessionDestroy. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X v10.3 ou à Mac OS X Server v10.3.

AFP Server

Disponible pour : Mac OS X v10.3.5 et Mac OS X Server v10.3.5

Référence CVE : CAN-2004-0922

Conséquence : une boîte de dépôt (DropBox) AFP en écriture seule est peut-être définie en lecture/écriture.

Description : une boîte de dépôt (DropBox) en écriture seule sur un volume AFP monté par un invité peut parfois être définie en lecture/écriture en raison d’un paramétrage incorrect de l’identifiant de groupe de l’invité. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X v10.3 ou à Mac OS X Server v10.3.

CUPS

Disponible pour : Mac OS X v10.3.5, Mac OS X Server v10.3.5, Mac OS X v10.2.8, Mac OS X Server v10.2.8

Référence CVE : CAN-2004-0558

Conséquence : déni de service provoquant l’interruption du système d’impression.

Description : l’implémentation du protocole d’impression Internet (Internet Printing Protocol, IPP) dans CUPS peut s’interrompre lorsqu’un paquet UDP déterminé est envoyé vers le port IPP.

CUPS

Disponible pour : Mac OS X v10.3.5, Mac OS X Server v10.3.5, Mac OS X v10.2.8, Mac OS X Server v10.2.8

Référence CVE : CAN-2004-0923

Conséquence : divulgation locale des mots de passe utilisateur.

Description : certaines méthodes d’impression à distance authentifiée peuvent divulguer les mots de passe utilisateur dans les fichiers de journalisation du système d’impression. Nous remercions Gary Smith du service informatique de l’université calédonienne de Glasgow d’avoir signalé ce problème.

NetInfo Manager

Disponible pour : Mac OS X v10.3.5 et Mac OS X Server v10.3.5

Référence CVE : CAN-2004-0924

Conséquence : indication incorrecte de l’état du compte.

Description : l’utilitaire NetInfo Manager peut activer le compte « root », mais après une authentification « root », il n’est plus possible d’utiliser NetInfo Manager pour désactiver le compte et il semble être désactivé, ce qui est incorrect. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X v10.3 ou à Mac OS X Server v10.3.

postfix

Disponible pour : Mac OS X v10.3.5 et Mac OS X Server v10.3.5

Référence CVE : CAN-2004-0925

Conséquence : déni de service lorsque SMTPD AUTH a été activé.

Description : lorsque SMTPD AUTH a été activé dans postfix, la mémoire tampon contenant le nom d’utilisateur n’est pas correctement vidée entre les tentatives d’authentification. Seuls les utilisateurs avec les noms d’utilisateur les plus longs pourront s’authentifier. Ce problème n’affecte pas les systèmes antérieurs à Mac OS X v10.3 ou à Mac OS X Server v10.3. Nous remercions Michael Rondinelli d’EyeSee360 d’avoir signalé ce problème.

QuickTime

Disponible pour : Mac OS X v10.3.5, Mac OS X Server v10.3.5, Mac OS X v10.2.8, Mac OS X Server v10.2.8

Référence CVE : CAN-2004-0926

Conséquence : un dépassement de la mémoire tampon pourrait permettre à des attaquants d’exécuter un code arbitraire.

Description : des anomalies au niveau du décodage du type d’image BMP pourraient écraser la mémoire tampon et permettre une exécution de code arbitraire dissimulé dans une image.

ServerAdmin

Disponible pour : Mac OS X Server v10.3.5 et Mac OS X Server v10.2.8

Référence CVE : CAN-2004-0927

Conséquence : les communications Client - Serveur avec ServerAdmin peuvent être lues en décodant les sessions capturées.

Description : les communications Client - Server avec ServerAdmin utilisent SSL. Tous les systèmes sont installés avec le même exemplaire de certificat auto-signé. Si ce certificat n’a pas été remplacé, il se peut que les communications ServerAdmin soient décryptées. Le correctif consiste à remplacer le certificat auto-signé existant par celui qui a été généré localement et en un seul exemplaire. Nous remercions Michael Bartosh de 4am Media, Inc. d’avoir signalé ce problème.

Mise à jour de sécurité 2004-09-16

iChat

Référence CVE : CAN-2004-0873

Conséquence : les participants distants à une session de vidéoconférence iChat peuvent envoyer des « liens » susceptibles de lancer des programmes en local si un utilisateur clique dessus.

Description : un utilisateur distant participant à une session de vidéoconférence iChat peut envoyer un « lien » référençant un programme en local. Si ce « lien » est activé par un clic et qu’il pointe effectivement vers un programme en local, ce dernier s’exécutera. Avec la modification apportée à iChat, les « liens » de ce type ouvriront une fenêtre Finder affichant le programme, mais ne l’exécutant pas. Nous remercions aaron@vtty.com d’avoir signalé ce problème.

Disponibilité : cette mise à jour est disponible pour les versions iChat suivantes :

- iChat AV v2.1 (Mac OS X 10.3.5 ou version ultérieure)

- iChat AV v2.0 (Mac OS X 10.2.8)

- iChat 1.0.1 (Mac OS X 10.2.8)

Mise à jour de sécurité 2004-09-07

Cette mise à jour de sécurité est disponible pour les versions suivantes du logiciel système :

- Mac OS X 10.3.4

- Mac OS X 10.3.5

- Mac OS X Server 10.3.4

- Mac OS X Server 10.3.5

- Mac OS X 10.2.8

- Mac OS X Server 10.2.8

Conseil : pour de plus amples informations sur les références CVE ci-après, consultez le site http://www.cve.mitre.org/.

Composant : Apache 2

Références CVE : CAN-2004-0493, CAN-2004-0488

Disponible pour : Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Conséquence : exposition à un déni de service (DoS) potentiel.

Description : l’organisation Apache Software Foundation a publié la version 2.0.50 de son logiciel Apache, qui résout un certain nombre de vulnérabilités de type DoS. Nous avons adopté cette version 2.0.50 d’Apache, exclusivement livrée avec Mac OS X Server; elle est désactivée par défaut.

Composant : CoreFoundation

Référence CVE : CAN-2004-0821

Disponible pour : Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Conséquence : des programmes prioritaires peuvent être créés via CoreFoundation pour charger une bibliothèque utilisateur.

Description : des paquets créés avec CoreFoundation CFPlugIn peuvent inclure des instructions applicables au chargement automatique d’exécutables. Un paquet spécialement conçu peut comporter les mêmes instructions pour des programmes prioritaires, permettant ainsi une élévation des privilèges pour les utilisateurs locaux. CoreFoundation empêche à présent le chargement automatique d’exécutables sur des paquets pour lesquels un exécutable est déjà chargé. Nous remercions Kikuchi Masashi (kik@ms.u-tokyo.ac.jp) d’avoir signalé ce problème.

Composant : CoreFoundation

Référence CVE : CAN-2004-0822

Disponible pour : Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Conséquence : la manipulation d’une variable d’environnement peut provoquer un dépassement de la mémoire tampon et se traduire par une élévation des privilèges.

Description : par manipulation d’une variable d’environnement, un programme peut être amené à exécuter un code arbitraire défini par un attaquant local. Cette faille ne peut être exploitée qu’en disposant d’un accès à un compte en local. Des vérifications de validité plus strictes sont désormais effectuées pour cette variable d’environnement. Nous remercions aaron@vtty.com d’avoir signalé ce problème.

Composant : IPSec

Référence CVE : CAN-2004-0607

Disponible pour : Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Conséquence : lors de l’utilisation de certificats, des hôtes non authentifiés peuvent être en mesure de négocier une connexion IPSec.

Description : si le système est configuré pour authentifier des ordinateurs distants au moyen de certificats X.509, un échec de vérification de ces derniers n’annule pas l’échange de clés. Mac OS X n’utilisant pas par défaut de certificats pour IPSec, ce problème est circonscrit aux configurations manuelles. À présent, IPSec vérifie et annule un échange de clés en cas d’échec de vérification des certificats.

Composant : Kerberos

Référence CVE : CAN-2004-0523

Disponible pour : Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Conséquence : plusieurs dépassements de la mémoire tampon sur krb5_aname_to_localname dans MIT Kerberos 5 (krb5) version 1.3.3 ou antérieure pourraient permettre une exécution de code arbitraire par des attaquants distants.

Description : le dépassement de la mémoire tampon ne peut être exploité que si « auth_to_local_names » ou « auth_to_local » est également configuré dans le fichier edu.mit.Kerberos. Apple n’active pas ce réglage par défaut. Le correctif de sécurité a été appliqué aux versions Mac OS X de Kerberos. La version Mac OS X et Mac OS X Server de Kerberos n’est pas sujette au récent problème de double libération de mémoire (« double-free ») exposé dans la note de vulnérabilité VU#350792 du CERT (CAN-2004-0772). Nous remercions la MIT Kerberos Development Team de nous avoir informés de ce problème.

Composant : lukemftpd

Référence CVE : CAN-2004-0794

Disponible pour : Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Conséquence : un problème de concurrence permettant à un attaquant distant authentifié d’opposer un déni de service ou d’exécuter un code arbitraire.

Description : si le service FTP est activé et qu’un attaquant distant parvient à s’authentifier, un problème de concurrence pourrait lui permettre de mettre fin à ce service FTP ou d’exécuter un code arbitraire. Le correctif consiste à remplacer le service FTP lukemftpd par tnftpd. lukemftp est installé, mais non activé sous Mac OS X Server, qui lui préfère xftp. Nous remercions Luke Mewburn de la NetBSD Foundation de nous avoir informés de ce problème.

Composant : OpenLDAP

Référence CVE : CAN-2004-0823

Disponible pour : Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Conséquence : un mot de passe crypté est exploitable comme s’il était en clair.

Description : la rétrocompatibilité avec d’anciennes implémentations LDAP permet le stockage d’un mot de passe crypté dans l’attribut userPassword. Certaines méthodes de validation d’authentification peuvent exploiter cette valeur comme s’il s’agissait d’un mot de passe en clair. Le correctif lève toute ambiguïté et associe systématiquement à ce type de champ un mot de passe crypté. Ce problème ne se produit pas sous Mac OS X 10.2.8. Nous remercions Steve Revilak de Kayak Software Corporation d’avoir signalé ce problème.

Composant : OpenSSH

Référence CVE : CAN-2004-0175

Disponible pour : Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Conséquence : un serveur ssh/scp malveillant peut écraser des fichiers locaux.

Description : une vulnérabilité de traversée de répertoire dans le programme scp permet à un serveur distant malveillant d’écraser les fichiers locaux. Le correctif de sécurité a été appliqué aux versions Mac OS X d’OpenSSH.

Composant : PPPDialer

Référence CVE : CAN-2004-0824

Disponible pour : Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Conséquence : un utilisateur malveillant peut remplacer des fichiers système et provoquer ainsi une élévation des privilèges en local.

Description : des composants PPP n’ont pas sécurisé les accès à un fichier stocké à un emplacement garantissant son accessibilité universelle en écriture. Le correctif déplace les fichiers journaux à un emplacement où ils ne sont plus accessibles universellement en écriture.

Composant : QuickTime Streaming Server

Disponible pour : Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Référence CVE : CAN-2004-0825

Conséquence : un déni de service impose le redémarrage de QuickTime Streaming Server.

Description : une suite particulière d’opérations clientes est susceptible de provoquer le blocage de QuickTime Streaming Server. Le correctif met à jour le code afin d’éliminer ce problème.

Composant : rsync

Référence CVE : CAN-2004-0426

Disponible pour : Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Conséquence : lors de l’exécution de rsync en mode démon, un attaquant distant peut effectuer des opérations en écriture en dehors du chemin d’accès de ce module si l’option chroot n’est pas définie.

Description : jusqu’à la version 2.6.1, rsync ne sécurise pas correctement les chemins d’accès lors de l’exécution d’un démon en lecture/écriture, une fois l’option chroot désactivée. Le correctif met à jour rsync vers la version 2.6.2.

Composant : Safari

Référence CVE : CAN-2004-0361

Disponible pour : Mac OS X 10.2.8, Mac OS X Server 10.2.8

Conséquence : en présence d’un tableau JavaScript de taille négative, les accès mémoire Safari risquent de s’effectuer en dehors des limites et provoquer un blocage de l’application.

Description : le stockage d’objets dans un tableau JavaScript de dimensions négatives risque d’écraser une zone mémoire. À présent, Safari met un terme au traitement de programmes JavaScript en cas d’échec sur une allocation de tableau. Cette amélioration de sécurité, déjà disponible sous Safari 1.0.3, est actuellement appliquée au système d’exploitation Mac OS X 10.2.8 comme couche de protection supplémentaire pour les clients n’ayant pas installé cette version de Safari. Ce correctif est spécifique à Mac OS X 10.2.8. Le problème ne se produit pas sous Mac OS X 10.3 ou version ultérieure.

Composant : Safari

Référence CVE : CAN-2004-0720

Disponible pour : Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Conséquence : un site web non authentifié peut injecter du contenu à l’intérieur d’un cadre prévu pour être utilisé par un autre domaine.

Description : certains des cadres d’un site web risquent d’être remplacés par du contenu issu d’un site malveillant si ce dernier est visité en premier. Le correctif impose une série de règles parent-enfant destinées à empêcher l’attaque.

Composant : SquirrelMail

Référence CVE : CAN-2004-0521

Disponible pour : Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Conséquence : les versions de SquirrelMail antérieures à 1.4.3 RC1 permettent à des attaquants distants d’exécuter des instructions SQL non autorisées.

Description : les versions de SquirrelMail antérieures à 1.4.3 RC1 sont vulnérables aux attaques par injection SQL, qui peuvent se solder par l’exécution d’instructions SQL non autorisées. Le correctif met à jour SquirrelMail vers la version 1.4.3a.

Composant : tcpdump

Références CVE : CAN-2004-0183, CAN-2004-0184

Disponible pour : Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Conséquence : des paquets malveillants peuvent bloquer l’exécution de tcpdump.

Description : les fonctions d’impression des paquets ISAKMP n’effectuant pas un contrôle correct des limites, les opérations de lecture hors limites qui en résultent peuvent provoquer un blocage. Le correctif met à jour tcpdump vers la version 3.8.3.

Mac OS X 10.3.5

Conseil : pour de plus amples informations sur les références CVE ci-après, consultez le site http://www.cve.mitre.org/.

libpng (Portable Network Graphics)

Références CVE : CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599

Conséquence : des images PNG malveillantes peuvent provoquer des blocages de l’application et une exécution de code arbitraire.

Description : un certain nombre de dépassements de mémoire tampon, de déréférencements de pointeurs null et de dépassements d’entiers ont été mis à jour dans la bibliothèque de référence pour les opérations de lecture et d’écriture sur des images PNG. Ces vulnérabilités sont corrigées dans libpng, utilisé par les frameworks CoreGraphics et AppKit sous Mac OS X. Après installation de cette mise à jour, les applications utilisant le format PNG via ces frameworks seront protégées contre ces failles.

Safari

Références CVE : CAN-2004-0743

Conséquence : dans certains cas, l’utilisation des boutons de navigation Précédent/Suivant peut renvoyer des données de formulaire vers une URL GET.

Description : ceci vaut lorsqu’un formulaire web est transmis à un serveur via une méthode POST redirigeant la connexion HTTP vers une URL fondée sur la méthode GET. Si les boutons Précédent/Suivant sont utilisés, Safari renverra une nouvelle fois, via la méthode POST, les données de formulaire vers l’URL GET. Des modifications ont été apportées à Safari pour que, dans ce contexte particulier, la navigation à l’aide des boutons Précédent/Suivant donne uniquement lieu à l’application d’une méthode GET. Nous remercions Rick Osterberg des services informatiques FAS de l’université de Harvard d’avoir signalé ce problème.

TCP/IP Networking:

Référence CVE : CAN-2004-0744

Conséquence : des fragments IP malveillants utilisant un trop grand nombre de ressources système empêchent le fonctionnement normal du réseau.

Description : l’intrusion baptisée « Rose Attack » désigne une séquence spécifique de fragments IP visant à consommer les ressources système. L’implémentation TCP/IP a été modifiée en vue de limiter la consommation de ces dernières et empêche dorénavant cette attaque par déni de service. Cette vulnérabilité a été découverte par Ken Hollis (gandalf@digital.net) et Chuck McAuley (chuck-at-lemure-dot-net), dans le cadre d’une discussion sur l’intrusion « Rose Attack ».

Mise à jour de sécurité 2004-08-09 (Mac OS X 10.3.4 et 10.2.8)

Conseil : pour de plus amples informations sur les références CVE ci-après, consultez le site http://www.cve.mitre.org/.

libpng (Portable Network Graphics)

Références CVE : CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599

Conséquence : des images PNG malveillantes peuvent provoquer des blocages de l’application et une exécution de code arbitraire.

Description : un certain nombre de dépassements de mémoire tampon, de déréférencements de pointeurs null et de dépassements d’entiers ont été mis à jour dans la bibliothèque de référence pour les opérations de lecture et d’écriture sur des images PNG. Ces vulnérabilités sont corrigées dans libpng, utilisé par les frameworks CoreGraphics et AppKit sous Mac OS X. Après installation de cette mise à jour, les applications utilisant le format PNG via ces frameworks seront protégées contre ces failles.

Mise à jour de sécurité 2004-06-07 (Mac OS X 10.3.4 et 10.2.8)

La Mise à jour de sécurité 2004-06-07, qui intègre maints perfectionnements, est recommandée à tous les utilisateurs de Macintosh. Elle entend renforcer la sécurité au travers d’un message d’alerte qui s’affiche dès lors que vous ouvrez une application pour la première fois en consultant un document associé à celle-ci ou une adresse web (URL). Pour de plus amples informations, y compris sur cette nouvelle zone de dialogue, reportez-vous à cet article. La Mise à jour de sécurité 2004-06-07 est disponible pour les versions suivantes du système d’exploitation :

- Mac OS X 10.3.4 « Panther »

- Mac OS X Server 10.3.4 « Panther »

- Mac OS X 10.2.8 « Jaguar »

- Mac OS X Server 10.2.8 « Jaguar »

LaunchServices

Référence CVE : CAN-2004-0538

Conséquence : LaunchServices enregistre automatiquement des applications susceptibles d’être exécutées inopinément par le système.

Description : LaunchServices est un composant système servant à la découverte et à l’ouverture d’applications. Il a été modifié pour ouvrir uniquement les applications ayant été explicitement exécutées précédemment sur le système. Si l’utilisateur tente de lancer une application n’ayant pas été explicitement exécutée précédemment, un message d’alerte s’affiche. De plus amples informations sont disponibles dans cet article.

Composant : DiskImageMounter

Référence CVE : aucune référence CVE n’a été octroyée puisqu’il s’agit uniquement d’une mesure préventive supplémentaire.

Conséquence : le type d’URL disque:// monte un système de fichiers distant anonyme à l’aide du protocole http.

Description : l’enregistrement du type d’URL disque:// est supprimé du système en vue de prévenir les tentatives de montage automatique de fichiers d’image disque distants.

Safari

Référence CVE : CAN-2004-0539

Conséquence : le bouton « Afficher dans le Finder » ouvre certains fichiers téléchargés, exécutant parfois des applications téléchargées.

Description : le bouton « Afficher dans le Finder » présentera désormais les fichiers dans une fenêtre du Finder, sans plus tenter de les ouvrir. Cette modification est uniquement disponible sous Mac OS X 10.3.4 « Panther » et Mac OS X Server 10.3.4 « Panther », puisque ce problème ne se produit ni sous Mac OS X 10.2.8 « Jaguar » ni sous Mac OS X Server 10.2.8 « Jaguar ».

Terminal

Référence CVE : sans objet

Conséquence : les tentatives d’utilisation d’une URL telnet:// avec un autre numéro de port échouent.

Discussion : une modification a été apportée pour permettre de spécifier un autre numéro de port dans une URL telnet://. Les fonctionnalités supprimées par le récent correctif pour CAN-2004-0485 sont ainsi restaurées.

Mac OS X 10.3.4

• NFS : Résout CAN-2004-0513 et améliore la journalisation des appels système. Nous remercions David Brown (dave@spoonguard.org) d’avoir signalé ce problème.

• LoginWindow : Résout CAN-2004-0514 et améliore la gestion des interrogations dans les services de répertoire.

• LoginWindow : Résout CAN-2004-0515 et améliore la gestion des fichiers d’historique de console. Nous remercions aaron@vtty.com d’avoir signalé ce problème.

• Packaging : Résout CAN-2004-0516 et améliore les scripts d’installation des logiciels. Nous remercions aaron@vtty.com d’avoir signalé ce problème.

• Packaging : Résout CAN-2004-0517 et améliore la gestion des identifiants de processus au cours de l’installation des logiciels. Nous remercions aaron@vtty.com d’avoir signalé ce problème.

• TCP/IP : Résout CAN-2004-0171 et améliore la gestion des paquets TCP hors séquence.

• AppleFileServer : Résout CAN-2004-0518 et améliore l’utilisation de SSH et le signalement des erreurs.

• Terminal : Résout CAN-2004-0485 et améliore la gestion des URL. Nous remercions RenÌ© Puls (rpuls@gmx.net) d’avoir signalé ce problème.

Remarque : Mac OS X 10.3.4 intègre les Mises à jour de sécurité 2004-04-05 et 2004-05-03.

Mise à jour de sécurité 2004-05-24 pour Mac OS X 10.3.3 « Panther » et Mac OS X 10.3.3 Server

• HelpViewer : Résout CAN-2004-0486 et garantit que l’outil Visualisation Aide ne traitera que les scripts déclenchés par lui. Nous remercions lixlpixel Remarque : cette mise à jour peut également être installée sous Mac OS X 10.3.4 et Mac OS X 10.3.4 Server.

Mise à jour de sécurité 2004-05-24 pour Mac OS X 10.2.8 « Jaguar » et Mac OS X 10.2.8 Server

• HelpViewer : Résout CAN-2004-0486 et garantit que l’outil Visualisation Aide ne traitera que les scripts déclenchés par lui. Nous remercions lixlpixel

• Terminal : Résout CAN-2004-0485 et améliore le traitement des URL dans Terminal. Nous remercions RenÌ© Puls

Mise à jour de sécurité 2004-05-03 pour Mac OS X 10.3.3 « Panther » et Mac OS X 10.3.3 Server

• AppleFileServer : Résout CAN-2004-0430 et améliore la gestion des mots de passe longs. Nous remercions Dave G. de @stake d’avoir signalé ce problème.

• Apache 2 : Résout CAN-2003-0020, CAN-2004-0113 et CAN-2004-0174 en mettant à jour Apache 2 vers la version 2.0.49.

• CoreFoundation : Résout CAN-2004-0428 et améliore la gestion d’une variable d’environnement. Nous remercions aaron@vtty.com d’avoir signalé ce problème.

• IPSec : Résout CAN-2004-0155 et CAN-2004-0403 et renforce la sécurité des tunnels VPN. IPSec sous Mac OS X n’est pas vulnérable à CAN-2004-0392.

La mise à jour de sécurité 2004-04-05 a été intégrée dans celle-ci.

Mise à jour de sécurité 2004-05-03 pour Mac OS X 10.2.8 « Jaguar » et Mac OS X 10.2.8 Server

• AppleFileServer : Résout CAN-2004-0430 et améliore la gestion des mots de passe longs. Nous remercions Dave G. de @stake d’avoir signalé ce problème.

• Apache 2 : Résout CAN-2003-0020, CAN-2004-0113 et CAN-2004-0174 en mettant à jour Apache 2 vers la version 2.0.49.

• CoreFoundation : Résout CAN-2004-0428 et améliore la gestion d’une variable d’environnement. Nous remercions aaron@vtty.com d’avoir signalé ce problème.

• IPSec : Résout CAN-2004-0155 et CAN-2004-0403 et renforce la sécurité des tunnels VPN. IPSec sous Mac OS X n’est pas vulnérable à CAN-2004-0392.

• Server Settings daemon : Résout CAN-2004-0429 et améliore la gestion des requêtes longues.

La mise à jour de sécurité 2004-04-05 a été intégrée dans celle-ci.

QuickTime 6.5.1

• Résout CAN-2004-0431 : une séquence .mov mal structurée risque de mettre fin inopinément à l’exécution de QuickTime.

Mise à jour de sécurité 2004-04-05 pour Mac OS X 10.3.3 « Panther » et Mac OS X 10.3.3 Server

• CUPS Printing : Résout CAN-2004-0382 et renforce la sécurité du système d’impression. Cette modification dans le fichier de configuration n’a aucune incidence sur le système d’impression sous-jacent. Nous remercions aaron@vtty.com d’avoir signalé ce problème.

• libxml2 : Résout CAN-2004-0110 et améliore la gestion des URL.

• Mail : Résout CAN-2004-0383 et améliore la gestion des e-mails au format HTML. Nous remercions aaron@vtty.com d’avoir signalé ce problème.

• OpenSSL : Résout CAN-2004-0079 et CAN-2004-0112 et améliore la gestion des choix de cryptage.

Mise à jour de sécurité 2004-04-05 pour Mac OS X 10.2.8 « Jaguar » et Mac OS X 10.2.8 Server

• CUPS Printing : Résout CAN-2004-0382 et renforce la sécurité du système d’impression. Nous remercions aaron@vtty.com d’avoir signalé ce problème.

La mise à jour de sécurité 2004-01-26 a été intégrée dans celle-ci. Les améliorations de sécurité supplémentaires fournies pour Panther dans la Mise à jour de sécurité 2004-04-05 n’ont pas d’incidence sur la plate-forme 10.2.

Mise à jour de sécurité 2004-02-23 pour Mac OS X 10.3.2 « Panther » et Mac OS X 10.3.2 Server

• CoreFoundation : Résout CAN-2004-0168 et améliore la journalisation des notifications. Nous remercions aaron@vtty.com d’avoir signalé ce problème.

• DiskArbitration : Résout CAN-2004-0167 et garantit une gestion plus sécurisée de l’initialisation des supports amovibles inscriptibles. Nous remercions aaron@vtty.com d’avoir signalé ce problème.

• IPSec : Résout CAN-2004-0164 et améliore le contrôle lors des échanges de clés.

• Point-to-Point-Protocol : Résout CAN-2004-0165 et améliore la gestion des messages d’erreur. Nous remercions Dave G. de @stake et Justin Tibbs de Secure Network Operations (SRT) d’avoir signalé ce problème.

• tcpdump : Résout CAN-2003-0989, CAN-2004-0055 et CAN-2004-0057 en mettant à jour tcpdump vers la version 3.8.1 et libpcap vers la version 0.8.1.

• QuickTime Streaming Server : Résout CAN-2004-0169 et améliore le contrôle des données de requête. Nous remercions iDEFENSE Labs d’avoir signalé ce problème. Des mises à jour Streaming Server pour d’autres plates-formes sont disponibles sur http://developer.apple.com/darwin/.

Mise à jour de sécurité 2004-02-23 pour Mac OS X 10.2.8 « Jaguar » et Mac OS X 10.2.8 Server

• DiskArbitration : Résout CAN-2004-0167 et garantit une gestion plus sécurisée de l’initialisation des supports amovibles inscriptibles. Nous remercions aaron@vtty.com d’avoir signalé ce problème.

• IPSec : Résout CAN-2004-0164 et améliore le contrôle lors des échanges de clés.

• Point-to-Point-Protocol : Résout CAN-2004-0165 et améliore la gestion des messages d’erreur. Nous remercions Dave G. de @stake et Justin Tibbs de Secure Network Operations (SRT) d’avoir signalé ce problème.

• Safari : Résout CAN-2004-0166 et améliore l’affichage des URL dans la barre d’état.

• QuickTime Streaming Server : Résout CAN-2004-0169 et améliore le contrôle des données de requête. Nous remercions iDEFENSE Labs d’avoir signalé ce problème. Des mises à jour Streaming Server pour d’autres plates-formes sont disponibles sur http://developer.apple.com/darwin/.

La mise à jour de sécurité 2004-01-26 pour Mac OS X 10.2.8 Server a été intégrée dans celle-ci.

Mise à jour de sécurité 2004-01-26 pour Mac OS X 10.1.5 « Puma » et Mac OS X 10.1.5 Server

• Mail : Résout CAN-2004-0085 et intègre certaines améliorations de sécurité à l’app Mail d’Apple.

Mise à jour de sécurité 2004-01-26 pour Mac OS X 10.2.8 « Jaguar » et Mac OS X 10.2.8 Server

• AFP Server : Améliore AFP par rapport à la mise à jour de sécurité 2003-12-19.

• Apache 1.3 : Résout CAN-2003-0542, à savoir un dépassement de la mémoire tampon au niveau des modules mod_alias et mod_rewrite du serveur web Apache.

• Apache 2 (installation sur Server uniquement) : Résout CAN-2003-0542 and CAN-2003-0789 en mettant à jour Apache 2.0.47 vers la version 2.0.48. Pour de plus amples détails sur cette mise à jour, consultez http://www.apache.org/dist/httpd/Announcement2.html

• Classic : Résout CAN-2004-0089 et améliore la gestion des variables d’environnement. Nous remercions Dave G. de @stake d’avoir signalé ce problème.

• Mail : Résout CAN-2004-0085 et intègre certaines améliorations de sécurité à l’app Mail d’Apple.

• Safari : Résout CAN-2004-0092 et intègre certaines améliorations de sécurité au navigateur web Safari.

• System Configuration : Résout CAN-2004-0087 et CAN-2004-0088, car le sous-système SystemConfiguration permettait à des utilisateurs non administrateurs distants de modifier les paramètres réseau et la configuration dans configd. Nous remercions Dave G. de @stake d’avoir signalé ces problèmes.

La mise à jour de sécurité 2003-12-19 a été intégrée dans celle-ci. Les améliorations de sécurité supplémentaires prévues pour Mac OS X 10.3.2 « Panther » dans la mise à jour de sécurité 2004-01-26 ne sont pas repris dans la présente mise à jour pour Jaguar, ce système d’exploitation n’étant pas concerné par ces problèmes.

Mise à jour de sécurité 2004-01-26 pour Mac OS X 10.3.2 « Panther » et Mac OS X Server 10.3.2

• Apache 1.3 : Résout CAN-2003-0542, à savoir un dépassement de la mémoire tampon au niveau des modules mod_alias et mod_rewrite du serveur web Apache.

• Apache 2 (installation sur Server uniquement) : Résout CAN-2003-0542 and CAN-2003-0789 en mettant à jour Apache 2.0.47 vers la version 2.0.48. Pour de plus amples détails sur cette mise à jour, consultez http://www.apache.org/dist/httpd/Announcement2.html.

• Classic : Résout CAN-2004-0089 et améliore la gestion des variables d’environnement. Nous remercions Dave G. de @stake d’avoir signalé ce problème.

• Mail : Résout CAN-2004-0086 et intègre certaines améliorations de sécurité à l’app Mail d’Apple. Nous remercions Jim Roepcke d’avoir signalé ce problème.

• Safari : Résout CAN-2004-0092 et intègre certaines améliorations de sécurité au navigateur web Safari.

• System Configuration : Résout CAN-2004-0087, car le sous-système SystemConfiguration permettait à des utilisateurs non administrateurs distants de modifier les paramètres réseau. Nous remercions Dave G. de @stake d’avoir signalé ces problèmes.

• Windows File Sharing : Résout CAN-2004-0090, car le partage de fichiers Windows ne s’arrêtait pas correctement.

• La mise à jour de sécurité 2003-12-19 a été intégrée dans celle-ci. Les améliorations de sécurité supplémentaires prévues pour Mac OS X 10.2.8 « Jaguar » dans la mise à jour de sécurité 2004-01-26 ne sont pas repris dans la présente mise à jour pour Panther, ce système d’exploitation n’étant pas concerné par ces problèmes.

Mise à jour de sécurité 2003-12-19 pour Mac OS X 10.2.8 « Jaguar » et Mac OS X 10.2.8 Server

• AppleFileServer : Résout CAN-2003-1007 et améliore la gestion des requêtes mal formulées.

• cd9660.util : Résout CAN-2003-1006, une vulnérabilité causée par un dépassement de la mémoire tampon au niveau de l’utilitaire filesystem cd9660.util. Nous remercions KF de Secure Network Operations d’avoir signalé ce problème.

• Directory Services : Résout CAN-2003-1009. La modification des réglages par défaut empêche toute connexion involontaire en présence d’un serveur DHCP malveillant sur le sous-réseau local de l’ordinateur. De plus amples renseignements sont fournis dans l’article de la base de connaissances d’Apple : http://docs.info.apple.com/article.html?artnum=32478. Nous remercions William A. Carrel d’avoir signalé ce problème.

• Fetchmail : Résout CAN-2003-0792. Des mises à jour améliorent la stabilité de fetchmail dans certaines conditions.

• fs_usage : Résout CAN-2003-1010. L’outil fs_usage a été amélioré pour empêcher une vulnérabilité due à une élévation des privilèges en local. Cet outil, qui permet de recueillir des informations sur les performances système, a besoin de privilèges d’administrateur pour être exécuté. Nous remercions Dave G. de @stake d’avoir signalé ce problème.

• rsync : Résout CAN-2003-0962 en renforçant la sécurité du serveur rsync.

• System initialization : Résout CAN-2003-1011. Le processus d’initialisation a été amélioré en vue de restreindre l’accès root sur un système doté d’un clavier USB.

Remarque : les correctifs suivants, intégrés dans la mise à jour de sécurité 2003-12-19 pour Panther, ne le sont pas dans la mise à jour de sécurité 2003-12-19 pour Jaguar, les versions Jaguar de Mac OS X et de Mac OS X Server n’étant pas concernées par ces problèmes :

- CAN-2003-1005 : décodage ASN.1 pour PKI

- CAN-2003-1008 : extraits de texte de l’Économiseur d’écran

Mise à jour de sécurité 2003-12-19 pour Mac OS X 10.3.2 « Panther » et Mac OS X 10.3.2 Server

• ASN.1 Decoding for PKI : Résout CAN-2003-1005, un déni de service pouvant se produire lors de la réception de séquences ASN.1 mal formulées. Cette vulnérabilité est en rapport avec CAN-2003-0851, tout en étant distincte.

• AppleFileServer : Résout CAN-2003-1007 et améliore la gestion des requêtes mal formulées.

• cd9660.util : Résout CAN-2003-1006, une vulnérabilité causée par un dépassement de la mémoire tampon au niveau de l’utilitaire filesystem cd9660.util. Nous remercions KF de Secure Network Operations d’avoir signalé ce problème.

• Directory Services : Résout CAN-2003-1009. La modification des réglages par défaut empêche toute connexion involontaire en présence d’un serveur DHCP malveillant sur le sous-réseau local de l’ordinateur. De plus amples renseignements sont fournis dans l’article de la base de connaissances d’Apple : http://docs.info.apple.com/article.html?artnum=32478. Nous remercions William A. Carrel d’avoir signalé ce problème.

• Fetchmail : Résout CAN-2003-0792. Des mises à jour améliorent la stabilité de fetchmail dans certaines conditions.

• fs_usage : Résout CAN-2003-1010. L’outil fs_usage a été amélioré pour empêcher une vulnérabilité due à une élévation des privilèges en local. Cet outil, qui permet de recueillir des informations sur les performances système, a besoin de privilèges d’administrateur pour être exécuté. Nous remercions Dave G. de @stake d’avoir signalé ce problème.

• rsync : Résout CAN-2003-0962 en renforçant la sécurité du serveur rsync.

• Screen Saver : Résout CAN-2003-1008. En présence de la fenêtre d’ouverture de session de l’Économiseur d’écran, il n’est plus possible de déposer un extrait de texte sur le bureau ou dans une application. Nous remercions Benjamin Kelly d’avoir signalé ce problème.

• System initialization : Résout CAN-2003-1011. Le processus d’initialisation a été amélioré en vue de restreindre l’accès root sur un système doté d’un clavier USB.

Mise à jour de sécurité 2003-12-05

• Safari : Résout CAN-2003-0975 et garantit que Safari permettra aux seuls sites web autorisés d’accéder aux cookies d’un utilisateur. Cette mise à jour est disponible pour Mac OS X 10.3.1 et Mac OS X 10.2.8.

Mise à jour de sécurité 2003-11-19 pour Mac OS 10.2.8

La politique d’Apple consiste à résoudre rapidement les vulnérabilités significatives découvertes dans de précédentes versions de Mac OS X et ce, chaque fois que possible. Dans cette optique, la mise à jour de sécurité 2003-11-19 actualise plusieurs composants de Mac OS X 10.2.

• gm4 : Résout CAN-2001-1411, une vulnérabilité au niveau de la chaîne de formatage dans l’utilitaire gm4. Aucun programme setuid root n’est associé à gm4 et ce correctif se veut une mesure préventive.

• groff : Résout CVE-2001-1022, une vulnérabilité au niveau de la chaîne de formatage dans le composant groff.

• Mail : Résout CAN-2003-0881 et l’application Mac OS X Mail ne reviendra plus à une connexion en clair dès lors qu’un compte est configuré pour mettre à profit le mode d’authentification par simulation/réponse MD5.

• OpenSSL : Résout CAN-2003-0851, et les séquences d’analyse ASN.1 mal formulées sont à présent gérées de manière plus sécurisée.

• Personal File Sharing : Résout CAN-2003-0878, et une fois le Partage de fichiers activé, le démon slpd ne peut plus créer un fichier root dans le répertoire /tmp pour obtenir des privilèges plus élevés.

• QuickTime for Java : Résout CAN-2003-0871, une vulnérabilité potentielle susceptible de permettre un accès non autorisé au système.

• zlib : Résout CAN-2003-0107. Bien qu’aucune fonctionnalité Mac OS X n’exploitait la fonction vulnérable gzprintf(), le problème sous-jacent dans zlib a été corrigé en vue de protéger les applications tierces susceptibles d’utiliser cette bibliothèque.

Mise à jour de sécurité 2003-11-19 pour Panther 10.3.1

• OpenSSL : Résout CAN-2003-0851, et les séquences d’analyse ASN.1 mal formulées sont à présent gérées de manière plus sécurisée.

• zlib : Résout CAN-2003-0107. Bien qu’aucune fonctionnalité Mac OS X n’exploitait la fonction vulnérable gzprintf(), le problème sous-jacent dans zlib a été corrigé en vue de protéger les applications tierces susceptibles d’utiliser cette bibliothèque.

Mise à jour de sécurité 2003-11-04

• Terminal : Résout CAN-2003-0913, une vulnérabilité potentielle de l’application Terminal sous Mac OS X 10.3 et Mac OS X Server 10.3 susceptible de permettre un accès non autorisé au système. Les versions de Mac OS X antérieures à 10.3 ne sont pas concernées.

Mise à jour de sécurité 2003-10-28

• Résout CAN-2003-0871, une vulnérabilité potentielle dans l’implémentation de QuickTime Java sous Mac OS X 10.3 et Mac OS X Server 10.3 susceptible de permettre un accès non autorisé au système.

Mac OS X 10.3 Panther

• Finder : Résout CAN-2003-0876, car les autorisations octroyées à un dossier risquent de ne pas être conservées lorsque celui-ci est copié depuis un volume monté, tel qu’une image disque. Nous remercions Dave G. de @stake, Inc. d’avoir découvert ce problème.

• Kernel : Résout CAN-2003-0877. Si un système s’exécute avec des fichiers core activés, un utilisateur disposant d’un accès interactif au shell risque d’écraser arbitrairement des fichiers et de pouvoir consulter ceux créés au moyen de processus root. La confidentialité de certaines informations (identifiants d’authentification, par exemple) est donc menacée. La création de fichiers core est désactivée par défaut sous Mac OS X. Nous remercions Dave G. de @stake, Inc. d’avoir découvert ce problème.

• slpd : Résout CAN-2003-0878. Lorsque le Partage de fichiers est activé, le démon slpd peut créer un fichier root dans le répertoire /tmp. Cela pourrait écraser un fichier existant et permettre à un utilisateur d’obtenir des privilèges élevés. Le Partage de fichiers est désactivé par défaut dans Mac OS X. Nous remercions Dave G. de @stake, Inc. d’avoir découvert ce problème.

• Kernel : Résout CAN-2003-0895. Un utilisateur local peut provoquer le blocage du noyau Mac OS X en spécifiant un long argument de ligne de commande. La machine redémarrera d’elle-même après quelques minutes. Nous remercions Dave G. de @stake, Inc. d’avoir découvert ce problème.

• ktrace : Résout CAN-2002-0701. En théorie, si ktrace est activé via l’option de noyau KTRACE, un utilisateur local devrait pouvoir accéder à des informations confidentielles. Aucun utilitaire spécifique n’est actuellement réputé concerné par ce problème particulier.

• nfs : Résout CAN-2002-0830 pour Network File System, car un utilisateur distant peut être en mesure d’envoyer des messages RPC provoquant le verrouillage du système.

• zlib : Résout CAN-2003-0107.. Bien qu’aucune fonctionnalité Mac OS X n’exploitait la fonction vulnérable gzprintf(), le problème sous-jacent dans zlib a été corrigé.

• gm4 : Résout CAN-2001-1411, une vulnérabilité au niveau de la chaîne de formatage dans l’utilitaire gm4. Aucun programme racine défini ne s’est appuyé sur gm4 et ce correctif est une mesure préventive contre une éventuelle exploitation future.

• OpenSSH : Résout CAN-2003-0386, car les restrictions « from= » et « user@hosts » peuvent être outrepassées via un DNS inversé au profit d’adresses IP numériques. Mac OS X 10.3 intègre également des correctifs antérieurs pour OpenSSH, et la version OpenSSH obtenue via la commande « ssh -V » est la suivante : OpenSSH_3.6.1p1+CAN-2003-0693, SSH protocols 1.5/2.0, OpenSSL 0x0090702f

• nidump : Résout CAN-2001-1412. L’utilitaire nidump permet d’accéder aux mots de passe cryptés servant à l’authentification des connexions.

• System Preferences : Résout CAN-2003-0883. Après authentification au moyen d’un mot de passe administrateur, le système continue à ménager un accès aux volets sécurisés des Préférences durant un court laps de temps. Cela pourrait permettre à un utilisateur local d’accéder aux volets de Préférences qu’il ne serait pas normalement en mesure d’utiliser. Les préférences Sécurité de Mac OS X 10.3 intègrent à présent une option « Mot de passe requis pour déverrouiller les préférences des systèmes sécurisés ». Nous remercions Anthony Holder d’avoir signalé ce problème.

• TCP timestamp : Résout CAN-2003-0882. L’horodatage TCP est initialisé à l’aide d’un nombre constant. Il est donc possible de déterminer depuis combien de temps fonctionne un système, à partir de l’identifiant dans les paquets TCP. Sous Mac OS X 10.3, l’horodatage TCP est désormais initialisé au moyen d’un nombre aléatoire. Nous remercions Aaron Linville d’avoir signalé ce problème et d’avoir proposé un correctif via le programme Open Source Darwin.

• Mail : Résout CAN-2003-0881. Dans l’app Mail sous Mac OS X, si un compte est configuré pour utiliser le mode d’authentification par simulation/réponse MD5, une tentative de connexion sera effectuée avec CRAM-MD5, mais la connexion s’effectuera en clair si elle échoue en mode crypté. Nous remercions Chris Adams d’avoir signalé ce problème.

• Dock : Résout CAN-2003-0880. Si l’accès au clavier complet est activé dans le volet Clavier des Préférences Système, celui aux fonctions du Dock s’effectue aveuglément via les effets d’écran.

Mac OS X 10.2.8

• OpenSSL : Résout CAN-2003-0543, CAN-2003-0544 et CAN-2003-0545 pour régler des problèmes potentiels liés à certaines structures ASN.1 et au code de vérification des certificats. Afin de fournir une mise à jour fiable dans les meilleurs délais, seuls les correctifs correspondant aux références CVE ci-dessus ont été appliqués, et non pas la dernière bibliothèque OpenSSL dans son intégralité. Par conséquent, la version OpenSSL sous Mac OS X 10.2.8, telle qu’obtenue via la commande « openssl version », est la suivante : OpenSSL 0.9.6i Feb 19 2003

• OpenSSH : Résout CAN-2003-0693, CAN-2003-0695 et CAN-2003-0682 et corrige les erreurs de gestion de la mémoire tampon dans les versions sshd d’OpenSSH antérieures à 3.7.1. Afin de fournir une mise à jour fiable dans les meilleurs délais, seuls les correctifs correspondant aux références CVE ci-dessus ont été appliqués, et non la série complète de correctifs pour OpenSSH 3.7.1. Par conséquent, la version OpenSSH sous Mac OS X 10.2.8, telle qu’obtenue via la commande « ssh -V », est la suivante : OpenSSH_3.4p1+CAN-2003-0693, SSH protocols 1.5/2.0, OpenSSL 0x0090609f

• sendmail : Résout CAN-2003-0694 et CAN-2003-0681 et corrige un dépassement de la mémoire tampon dans l’analyse d’adresses ainsi qu’un dépassement potentiel de la mémoire tampon dans l’analyse de règles.

• fb_realpath() : Résout CAN-2003-0466, une erreur sur un octet dans la fonction fb_realpath() susceptible de permettre à des attaquants d’exécuter un code arbitraire.

• arplookup() : Résout CAN-2003-0804. La fonction arplookup() met en mémoire cache des requêtes ARP à acheminer sur un lien en local. Sur un sous-réseau local uniquement, un attaquant peut envoyer un nombre suffisant de requêtes ARP usurpées qui épuiseront la mémoire du noyau et aboutiront à un déni de service.

Pour obtenir des informations sur des mises à jour de sécurité antérieures, consultez l’article Mises à jour de sécurité Apple : jusqu’à août 2003.