Mises à jour de sécurité Apple (jusqu’à août 2003)

Ce document décrit les mises à jour de sécurité pour les produits Apple. Remarque : Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles.

Important : Ce document décrit les mises à jour et les versions jusqu’à août 20023 (08/2003) ainsi que les versions antérieures, telles que Mac OS X 10.1, 10.2, 10.2.6 et la mise à jour de sécurité du 14 août 2003. Pour en savoir plus sur les plus récentes mises à jour de sécurité, consultez l’un de ces documents :

Obtention de Mac OS X

Des informations sur l’obtention de Mac OS X sont disponibles sur le site Web de Mac OS X (http://www.apple.com/ca/fr/macosx).

Des informations sur l’obtention de Mac OS X Server sont disponibles sur le site Web de Mac OS X Server (http://www.apple.com/ca/fr/macosx/server/).

Des informations sur la clé PGP du groupe de sécurité produit d’Apple sont disponibles dans le document technique 25314, « Comment utiliser la clé PGP du groupe de sécurité produit d’Apple ».

Des mises à jour de logiciels sont disponibles dans :

Mises à jour de sécurité : jusqu’à 08/2003

Les mises à jour de sécurité sont répertoriées ci-après en fonction de la version du logiciel dans lequel elles ont été intégrées pour la première fois. Des références CVE (http://cve.mitre.org/cve/) sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.

Pour plus d’informations sur les nouvelles mises à jour de sécurité, voir le document technique 61798, « Mises à jour de sécurité Apple ».

Mise à jour de sécurité 2003-08-14

  • fb_realpath() : corrige CAN-2003-0466, une potentielle vulnérabilité de la fonction fb_realpath(), plus précisément dans les projets FTPServer et Libc, qui pouvait permettre à un utilisateur local ou distant d’obtenir des privilèges racine non autorisés sur un système.

Mise à jour de sécurité 2003-07-23

  • Corrige CAN-2003-0601 pour améliorer la sécurité de votre système en attribuant un mot de passe « désactivé » à un nouveau compte créé par le gestionnaire du groupe de travail jusqu’à ce que ce compte ait été enregistré pour la première fois. Cela permet de s’assurer qu’une personne non autorisée ne peut pas accéder au nouveau compte.

Mise à jour de sécurité 2003-07-14

  • Screen Effects Password : corrige CAN-2003-0518, une potentielle vulnérabilité lorsqu’un mot de passe est requis au réveil de la fonction Effets d’écran, ce qui pourrait permettre à un utilisateur non autorisé d’accéder au bureau de l’utilisateur connecté. Nous remercions Denis Ahrens d’avoir signalé ce problème.

Mise à jour de sécurité 2003-06-12 (Mac OS X Server seulement)

  • Apache 2.0 : corrige CAN-2003-0245 en mettant à jour Apache 2.0.45 à 2.0.46 pour combler un trou de sécurité dans le module mod_dav qui pourrait être exploité à distance, ce qui causerait le plantage d’un processus de serveur Web Apache. Apache 1.3 n’est pas affecté et est le principal serveur Web sur Mac OS X Server. Apache 2.0 est installé avec Mac OS X Server, mais désactivé par défaut.

  • dsimportexport : corrige CAN-2003-0420, dans lequel un utilisateur connecté pourrait potentiellement afficher le nom et le mot de passe du compte exécutant l’outil importedsxport

Mise à jour de sécurité 2003-06-09 (version 2.0)

  • AFP : corrige CAN-2003-0379. Lorsque Service de fichiers Apple (AFP Server) dans Mac OS X Server sert des fichiers sur un volume UFS ou NFS partagé, il existe une vulnérabilité potentielle qui peut permettre à un utilisateur distant d’écraser des fichiers arbitraires.

  • Directory Services : corrige CAN-2003-0378. Lors d’une connexion via Kerberos sur un serveur LDAPv3, le mot de passe du compte peut être envoyé en texte clair lorsque la fenêtre de connexion revient à l’essai d’un simple lien sur le serveur.

Safari 1.0 bêta 2 (v74)

Mac OS X 10.2.6

  • IPSec : corrige CAN-2003-0242, lorsque les politiques de sûreté entrantes qui correspondent par port ne correspondent pas au bon trafic.

Mac OS X 10.2.5

  • Apache 2.0 : corrige CAN-2003-0132, une vulnérabilité relative au déni de service dans les versions Apache 2.0 à 2.0.44. Apache 2.0 est distribué uniquement avec Mac OS X Server et n’est pas activé par défaut.

  • Directory Services : corrige CAN-2003-0171 Escalade du privilège DirectoryServices et attaque DoS. DirectoryServices fait partie du sous-système d’information de Mac OS X et Mac OS X Server. Il est lancé au démarrage, setuid root et installé par défaut. Il est possible pour un attaquant local de modifier une variable d’environnement qui permettrait l’exécution de commandes arbitraires en tant que racine. Nous remercions Dave G. de @stake, Inc. pour la découverte de cette vulnérabilité.

  • File Sharing/Service : corrige CAN-2003-0198 où le contenu du dossier Dropbox en écriture seulement peut être révélé. Lorsqu’il est activé, Partage de fichiers personnel sur Mac OS X ou Service de fichiers Apple sur Mac OS X Server, un dossier « Dropbox » est disponible par défaut pour permettre aux gens de déposer des fichiers. Cette mise à jour ne permet plus à un invité de modifier les autorisations du dossier « Dropbox ».

  • OpenSSL : corrige CAN-2003-0131 l’attaque Klima-Pokorny-Rosa sur le remplissage PKCS#1 v1.5. Le correctif de l’équipe OpenSSL, qui corrige cette vulnérabilité, est appliqué à Mac OS X et Mac OS X Server.

  • Samba : corrige CAN-2003-0201 qui pouvait permettre à un utilisateur anonyme d’accéder à la racine à distance en raison d’un problème de dépassement de tampon. Le partage de fichiers Windows intégré est basé sur la technologie à code source libre appelée Samba et est désactivé par défaut dans Mac OS X.

  • sendmail : corrige CAN-2003-0161 où le code d’analyse des adresses dans sendmail ne vérifie pas adéquatement la longueur des adresses électroniques. Seul le correctif de l’équipe sendmail est appliqué à la version actuellement expédiée de sendmail dans Mac OS X et Mac OS X Server.

QuickTime 6.1 pour Windows

  • Corrige CAN-2003-0168, une vulnérabilité potentielle dans QuickTime Player pour Windows qui pourrait permettre à un attaquant à distance de compromettre un système cible. Cet exploit n’est possible que si l’attaquant peut convaincre un utilisateur de charger une URL QuickTime spécialement conçue. Une fois l’exploitation réussie, le code arbitraire peut être exécuté sous les privilèges de l’utilisateur QuickTime.

Mise à jour de sécurité 2003-03-24

  • Samba : corrige CAN-2003-0085 et CAN-2003-0086, qui pourraient permettre un accès à distance non autorisé au système hôte. Le partage de fichiers Windows intégré est basé sur la technologie à code source libre appelée Samba et est désactivé par défaut dans Mac OS X. Cette mise à jour ne s’applique qu’à la version 2.2.3 actuellement expédiée de Samba sur Mac OS X 10.2.4, et la version de Samba reste inchangée.

  • OpenSSL : corrige CAN-2003-0147, pour résoudre un problème dans lequel des clés privées RSA peuvent être compromises lors de la communication par réseau local, Internet2/Abilene, et de la communication interprocessus sur une machine locale.

Mise à jour de sécurité 2003-03-03

  • Sendmail : corrige CAN-2002-1337 dans lequel un attaquant distant pourrait obtenir des privilèges élevés sur les hôtes affectés. Sendmail n’est pas activé par défaut sur Mac OS X, de sorte que seuls les systèmes qui ont explicitement activé sendmail sont vulnérables. Tous les utilisateurs de Mac OS X sont toutefois encouragés à appliquer cette mise à jour. Le correctif sendmail est disponible dans la Mise à jour de sécurité 2003-03-03.

  • OpenSSL : corrige CAN-2003-0078, où il est théoriquement possible pour un tiers d’extraire le texte en clair original des messages chiffrés envoyés sur un réseau. La Mise à jour de sécurité 2003-03-03 applique ce correctif pour Mac OS X 10.2.4; les clients des versions antérieures de Mac OS X peuvent obtenir la dernière version d’openssl directement sur le site Web d’OpenSSL : http://www.openssl.org/

Mac OS X 10.2.4 (client)

  • Sendmail : corrige CAN-2002-0906 Le dépassement de tampon dans Sendmail avant 8.12.5, lorsqu’il est configuré pour utiliser une carte DNS personnalisée pour interroger les enregistrements TXT, pourrait permettre une attaque par déni de service et peut-être l’exécution de code arbitraire. Mac OS X 10.2.4 contient Sendmail 8.12.6 avec le correctif SMRSH appliqué pour corriger également CAN-2002-1165.

  • AFP : corrige CAN-2003-0049 « Autorisations de connexion à l’AFP pour l’administrateur système ». Fournit une option permettant à un administrateur système d’ouvrir ou non une session en tant qu’utilisateur, en s’authentifiant via son mot de passe d’administrateur. Auparavant, les administrateurs pouvaient toujours ouvrir une session en tant qu’utilisateur, en s’authentifiant au moyen de leur propre mot de passe d’administrateur.

  • Classic : corrige CAN-2003-0088, où un attaquant peut modifier une variable d’environnement pour créer des fichiers arbitraires ou écraser des fichiers existants, ce qui pourrait mener à l’obtention de privilèges élevés. Nous remercions Dave G. de @stake, Inc. d’avoir découvert ce problème.

  • Samba : Les versions précédentes de Mac OS X ne sont pas vulnérables à CAN-2002-1318, un problème dans la longueur de Samba pour vérifier s’il y a des changements de mot de passe chiffrés. Mac OS X utilise actuellement les Services d’annuaire pour l’authentification et n’appelle pas la fonction Samba vulnérable. Cependant, pour éviter une exploitation future potentielle via cette fonction, le correctif de Samba 2.2.7 a été appliqué, bien que la version de Samba n’ait pas été modifiée pour cette mise à jour. De plus amples informations sont disponibles auprès de : http://samba.org/

Mac OS X 10.2.4 Server

  • QuickTime Streaming Server : corrige CAN-2003-0050 QTSS Exécution de commande arbitraire. Le QuickTime Streaming Administration Server s’appuie sur l’application parse_xml.cgi pour s’authentifier et interagir avec l’utilisateur. Cette CGI peut transmettre une entrée non validée, ce qui pourrait permettre à un attaquant à distance d’exécuter un code arbitraire sur le serveur et d’obtenir des privilèges racine. Nous remercions Dave G. de @stake, Inc. d’avoir découvert ce problème.

  • QuickTime Streaming Server : corrige CAN-2003-0051 Révélation du trajet physique QTSS. Le QuickTime Streaming Administration Server s’appuie sur l’application parse_xml.cgi pour s’authentifier et interagir avec l’utilisateur. Cette CGI peut être utilisée pour révéler le trajet physique sur lequel les serveurs d’administration Darwin/Quicktime sont installés. Nous remercions @stake, Inc. d’avoir découvert cette vulnérabilité.

  • QuickTime Streaming Server : corrige CAN-2003-0052 listes des annuaires de QTSS. Le QuickTime Streaming Administration Server s’appuie sur l’application parse_xml.cgi pour s’authentifier et interagir avec l’utilisateur. Cette GCI pourrait être utilisée pour révéler des listes d’annuaires arbitraires en raison du manque de validation des entrées des utilisateurs dans l’application. Nous remercions Ollie Whitehouse de @stake, Inc. d’avoir découvert cette vulnérabilité.

  • QuickTime Streaming Server : corrige CAN-2003-0053 Informations de connexion de QTSS. Le QuickTime Streaming Administration Server s’appuie sur l’application parse_xml.cgi pour s’authentifier et interagir avec l’utilisateur. Une vulnérabilité dans le traitement des messages d’erreur de cette CGI pourrait être utilisée dans une attaque de script intersite pour obtenir des identifiants de connexion valides. Nous remercions Ollie Whitehouse de @stake, Inc. d’avoir découvert cette vulnérabilité.

  • QuickTime Streaming Server : corrige CAN-2003-0054 Exécution de commande arbitraire lors de la visualisation des historiques de QTSS. Si un utilisateur non authentifié de QuickTime Streaming Server fait une demande au port de diffusion, la demande est alors écrite dans le fichier d’historique. Il est possible de rédiger la demande de manière à ce que le code arbitraire puisse être exécuté lorsque les journaux sont consultés par l’administrateur système via un navigateur. Nous remercions Ollie Whitehouse de @stake, Inc. d’avoir découvert cette vulnérabilité.

  • QuickTime Streaming Server : corrige CAN-2003-0055 Dépassement de capacité de la mémoire tampon dans l’application de diffusion MP3. Il y a un dépassement de tampon dans l’application autonome MP3Broadcaster. Un fichier MP3 dont le nom de fichier est supérieur à 256 octets provoquera un débordement du tampon. Les utilisateurs locaux/ftp peuvent l’utiliser pour obtenir des privilèges élevés. Nous remercions Ollie Whitehouse de @stake, Inc. d’avoir découvert cette vulnérabilité.

  • Sendmail : corrige CAN-2002-0906 Dépassement de capacité de la mémoire tampon dans Sendmail avant 8.12.5, lorsqu’il est configuré pour utiliser une carte DNS personnalisée pour interroger les enregistrements TXT, il pourrait permettre une attaque par déni de service et peut-être l’exécution de code arbitraire. Mac OS X 10.2.4 contient Sendmail 8.12.6 avec le correctif SMRSH appliqué pour corriger également CAN-2002-1165 .

  • AFP : Corrige CAN-2003-0049 « Autorisations de connexion à l’AFP pour l’administrateur système ». Fournit une option permettant à un administrateur système d’ouvrir ou non une session en tant qu’utilisateur, en s’authentifiant via son mot de passe d’administrateur. Auparavant, les administrateurs pouvaient toujours ouvrir une session en tant qu’utilisateur, en s’authentifiant au moyen de leur propre mot de passe d’administrateur.

  • Classic : corrige CAN-2003-0088, où un attaquant peut modifier une variable d’environnement pour créer des fichiers arbitraires ou écraser des fichiers existants, ce qui pourrait mener à l’obtention de privilèges élevés. Nous remercions Dave G. de @stake, Inc. d’avoir découvert ce problème.

  • Samba : Les versions précédentes de Mac OS X ne sont pas vulnérables à CAN-2002-1318, un problème dans la vérification de la longueur de Samba pour les changements de mot de passe chiffré. Mac OS X utilise actuellement les Services d’annuaire pour l’authentification et n’appelle pas la fonction Samba vulnérable. Cependant, pour éviter une exploitation future potentielle via cette fonction, le correctif de Samba 2.2.7 a été appliqué, bien que la version de Samba n’ait pas été modifiée pour cette mise à jour. De plus amples informations sont disponibles auprès de : http://samba.org/

  • Integrated WebDAV Digest Authentication : Le module mod_digest_apple Apache a été ajouté pour faciliter l’authentification du digest pour un domaine WebDAV existant. Cela élimine la nécessité de tenir à jour un fichier de digest distinct contenant la liste des utilisateurs autorisés, des mots de passe et des domaines. mod_digest_apple fonctionne en coordination avec Open Directory pour l’authentification des utilisateurs. Pour plus de détails, ouvrez le visualiseur d’aide après avoir installé la version 10.2.4 de Mac OS X Server, sélectionnez Mac OS X Server Help dans le tiroir et recherchez « New : Enabling Integrated WebDAV Digest Authentication ».

Mac OS X 10.2.3

  • fetchmail : corrige CAN-2002-1174 et CAN-2002-1175 qui pouvaient entraîner un déni de service potentiel lors de l’utilisation de l’outil de ligne de commande fetchmail. fetchmail est mis à jour à la version 6.1.2+IMAP-GSS+SSL+INET6

  • CUPS : Fournit des correctifs pour les problèmes potentiels suivants qui pourraient être exploités à distance lorsque le partage d’imprimantes est activé. Le partage d’imprimantes n’est pas activé par défaut sur Mac OS X ou Mac OS X Server.

  • CAN-2002-1383 : plusieurs problèmes de dépassement d’entier

  • CAN-2002-1366 : /etc/cups/certs/ Problème de concurrence

  • CAN-2002-1367 : Ajout d’imprimantes avec des paquets UDP

  • CAN-2002-1368 : Appels Negative Length Memcpy()

  • CAN-2002-1384 : Problèmes de dépassement d’entier dans le fichier pdftops et Xpdf

  • CAN-2002-1369 : Appel de fonction Strncat non sécuritaire dans jobs.c

  • CAN-2002-1370 : Défaut de conception du certificat racine

  • CAN-2002-1371 : Images de largeur zéro dans filters/image-gif.c

  • CAN-2002-1372 : Fuite de ressource du descripteur de fichier

Mise à jour de sécurité 2002-11-21

BIND : Mise à jour vers la version 8.3.4 afin de corriger les vulnérabilités potentielles du serveur de domaine et de la bibliothèque client d’Internet Software Consortium (ISC) fourni avec Mac OS X et Mac OS X Server. BIND n’est pas activé par défaut sur Mac OS X ou Mac OS X Server.

Références CVE : CAN-2002-1219, CAN-2002-1220, CAN-2002-1221, CAN-2002-0029

De plus amples informations sont disponibles à l’adresse :http://www.cert.org/advisories/CA-2002-31.htmlhttp://www.kb.cert.org/vuls/id/457875

Mac OS X 10.2.2Cette mise à jour traite les problèmes de sécurité potentiels suivants :

  • CAN-2002-1266 : Élévation des privilèges d’utilisateur local via le fichier d’image disque Il est possible pour un utilisateur local d’obtenir des privilèges élevés sur un système en ouvrant un fichier image sur disque créé sur un autre ordinateur avec des privilèges d’administrateur.

  • CAN-2002-0830 :C’est FreeBSD-SA-02:36.nfs, une vulnérabilité potentielle dans le système de gestion de fichiers en réseau (NFS) où un attaquant distant pourrait entraîner un déni de service.

  • IP Firewall : Dans certaines circonstances, le coupe-feu ipfw intégré dans Mac OS X peut bloquer des paquets qui sont explicitement autorisés par les règles de pare-feu. Cela ne répond pas aux exigences officielles d’une vulnérabilité de sécurité et ne permet pas d’obtenir une référence CVE.

  • CAN-2002-1267 : CUPS Printing Web Administration est accessible à distance Un utilisateur malveillant pourrait accéder au port pour exécuter l’utilitaire CUPS Printing Web Administration. Il serait alors possible de causer un déni de service à une imprimante.

  • CAN-2002-1268 : Élévation du privilège de l’utilisateur via le montage d’un CD ISO 9600 Les utilisateurs peuvent obtenir des privilèges élevés lorsqu’ils sont connectés à un système doté d’un CD ISO 9600 disponible pour le système de fichiers.

  • CAN-2002-1269 : L’application NetInfo Manager permet l’accès au système de fichiers Une vulnérabilité de sécurité dans l’application NetInfo Manager pourrait permettre à un utilisateur malveillant de naviguer dans le système de fichiers.

  • CAN-2002-1270 : L’appel du système Mach map_fd() L’appel du système Mach map_fd() peut permettre à un appelant de lire un fichier pour lequel il n’a qu’un accès en écriture.

  • CAN-2002-1265 : Problème lié à TCP dans RPC La mise en œuvre de libc basé sur RPC pourrait ne pas pouvoir lire correctement les données des connexions TCP. Par conséquent, un attaquant à distance pourrait refuser la maintenance aux démons du système. De plus amples informations sont disponibles dans le CERT VU#266817 à : http://www.kb.cert.org/vuls/id/266817

  • CAN-2002-0839, CAN-2002-0840, CAN-2002-0843 : Apache Apache est mis à jour à la version 1.3.27 pour régler un certain nombre de problèmes.

Mac OS X Server 10.2.2

  • Comprend tous les correctifs de sécurité indiqués dans Mac OS X 10.2.2, plus CAN-2002-0661, CAN-2002-0654, CAN-2002-0654 : Apache 2 Apache 2 est fourni avec Mac OS X Server, mais n’est pas activé par défaut. La version est mise à jour vers Apache 2.0.42 pour résoudre un certain nombre de problèmes.

Mise à jour de sécurité de StuffIt Expander 2002-10-15

  • Stuffit Expander : CAN-2002-0370. Cette mise à jour résout une vulnérabilité de sécurité potentielle dans les versions 6.5.2 et antérieures de Stuffit Expander. De plus amples informations sont disponibles à : http://www.kb.cert.org/vuls/id/383779 .

Mise à jour de sécurité 2002-09-20

  • Terminal : Cette mise à jour corrige une vulnérabilité potentielle introduite dans la version 1.3 du terminal (v81) livré avec Mac OS X 10.2 qui pourrait permettre à un attaquant d’exécuter à distance des commandes arbitraires sur le système de l’utilisateur. Le terminal est mis à jour vers la version 1.3.1 (v82) avec cette mise à jour de sécurité.

Mise à jour de sécurité 2002-08-23

  • Cette mise à jour de sécurité concerne Mac OS X 10.2 et applique les correctifs contenus dans la mise à jour de sécurité 2002-08-02 qui concernait Mac OS X 10.1.5.

Mise à jour de sécurité 2002-08-20

  • Secure Transport : Cette mise à jour améliore la vérification du certificat dans OS X et est maintenant entièrement conforme au certificat d’infrastructure à clé publique Internet X.509 et au profil CRL (RFC2459).

Mise à jour de sécurité 2002-08-02

Cette mise à jour corrige les vulnérabilités de sécurité suivantes, qui affectent les versions actuellement expédiées de Mac OS X Server. Ces services sont désactivés par défaut dans Mac OS X client, mais si ces services sont activés, le client devient vulnérable. Les utilisateurs Mac OS X client doivent également installer cette mise à jour.

Mise à jour de sécurité 7-18-02 (2002-07-18)

  • Software Update : Contient la mise à jour logicielle client 1.4.7, qui ajoute la vérification de la signature cryptographique à l’outil de ligne de commande Softwareupdate. Cela fournit un moyen supplémentaire d’effectuer des mises à jour logicielles de manière sécurisée, ainsi que la capacité de mise à jour logicielle existante contenue dans les préférences système.

Mise à jour de sécurité 7-12-02 (2002-07-12)

  • Software Update : Corrige la référence CVE CAN-2002-0676 pour accroître la sécurité du processus de mise à jour logicielle pour les systèmes dotés de la mise à jour logicielle 1.4.5 ou une version antérieure. Les paquets présentés via le mécanisme de mise à jour logicielle sont désormais signés de façon cryptographique, et le nouveau mise à jour logicielle de l’ordinateur client 1.4.6 vérifie si la signature est valide avant d’installer de nouveaux paquets.

Mise à jour de sécurité Juillet 2002 (2002-07)

  • Apache : Corrige la référence CVE CAN-2002-0392, permet aux attaquants distants de provoquer un déni de service et éventuellement d’exécuter du code arbitraire. Pour plus de détails, consultez : http://www.cert.org/advisories/CA-2002-17.html

  • OpenSSH : Corrige deux vulnérabilités, CAN-2002-0639 et CAN-2002-0640, où un intrus distant peut être en mesure d’exécuter du code arbitraire sur le système local. Pour plus de détails, consultez : http://www.cert.org/advisories/CA-2002-18.html

Mac OS X 10.1.5

  • sudo : Corrige CAN-2002-0184, où un problème de dépassement de tas dans sudo peut permettre aux utilisateurs locaux d’obtenir des privilèges racine via des caractères spéciaux dans l’argument -p (invite).

  • sendmail : Corrige CVE-2001-0653, où une erreur de validation d’entrée existe dans la fonctionnalité de débogage de Sendmail, ce qui pourrait entraîner une compromission du système.

Mise à jour de sécurité d’Internet Explorer 5.1 (2002-04)

  • Cela corrige une vulnérabilité qui pourrait permettre à un attaquant de prendre le contrôle de votre ordinateur. Microsoft a depuis arrêté de prendre en charge et de développer Internet Explorer pour Mac. Veuillez plutôt envisager la mise à niveau vers Safari.

Mac OS X 10.1.4

  • TCP/IP broadcast : Corrige CAN-2002-0381 de sorte que les connexions TCP/IP vérifient et bloquent maintenant les adresses de destination de diffusion ou de multidiffusion IP. Pour obtenir plus de détails, consultez : http://www.FreeBSD.org/cgi/query-pr.cgi?pr=35022

Mise à jour de sécurité Avril 2002 (2002-04)

  • Apache — mise à jour vers la version 1.3.23 afin d’intégrer le correctif de sécurité mod_ssl.

  • Apache Mod_SSL — mise à jour vers la version 2.8.7-1.3.23 pour tenir compte de la vulnérabilité au dépassement de tampon CAN-2002-0082 qui pourrait être utilisé pour exécuter du code arbitraire. Pour obtenir plus de détails, consultez : http://archives.neohapsis.com/archives/bugtraq/2002-02/0313.html

  • groff — mise à jour vers la version 1.17.2 pour tenir compte de la vulnérabilité CAN-2002-0003, où un attaquant pourrait obtenir des droits en tant qu’utilisateur « lp » à distance. Pour obtenir plus de détails, consultez : http://online.securityfocus.com/advisories/3859

  • mail_cmds — mise à jour pour corriger une vulnérabilité où des utilisateurs pourraient être ajoutés au groupe de courrier

  • OpenSSH — mise à jour vers la version 3.1p1 pour tenir compte de la vulnérabilité CAN-2002-0083, où un attaquant pourrait influencer le contenu de la mémoire. Pour obtenir plus de détails, consultez : http://www.pine.nl/advisories/pine-cert-20020301.html

  • PHP — mise à jour vers la version 4.1.2 pour tenir compte de la vulnérabilité CAN-2002-0081, qui pourrait permettre à un intrus d’exécuter du code arbitraire avec les privilèges du serveur Web. Pour obtenir plus de détails, consultez : http://www.cert.org/advisories/CA-2002-05.html

  • rsync — mise à jour vers la version 2.5.2 pour traiter la vulnérabilité CAN-2002-0048 qui pourrait conduire à la corruption de l’empilement et éventuellement à l’exécution de code arbitraire en tant qu’utilisateur racine. Pour obtenir plus de détails, consultez : ftp://ftp.FreeBSD.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-02:10.rsync.asc

  • sudo — mise à jour vers la version 1.6.5p2 pour tenir compte de la vulnérabilité CAN-2002-0043, où un utilisateur local peut obtenir des privilèges de superutilisateur. Pour obtenir plus de détails, consultez : ftp://ftp.FreeBSD.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-02:06.sudo.asc

Mac OS X 10.1.3

  • openssh — Mise à jour vers la version 3.0.2p1 pour corriger plusieurs vulnérabilités de la version précédente. Pour obtenir plus de détails, consultez : http://www.openssh.com/security.html

  • WebDAV — Extension du mode d’authentification Digest pour travailler avec des serveurs supplémentaires

Mise à jour de sécurité de Mac OS X 10.1 10-19-01 (2001-10-19)

Internet Explorer 5.1.1

Mac OS X 10.1

Mac OS X Server 10.1

  • MySQL 3.23.42 — Contient un certain nombre de correctifs de la version précédente. Voir la section 3.23.42 dans le site MySQL (http://www.mysql.com/downloads/mysql-3.23.html) pour obtenir des détails.

  • Tomcat 3.2.3 — Contient un certain nombre de correctifs de la version précédente. Voir le site Tomcat (http://jakarta.apache.org/tomcat/) pour obtenir plus de détails.

  • Apache — Corrige la vulnérabilité du dossier .DS_Store décrite dans http://securityfocus.com/bid/3324

  • Apache — Corrige la vulnérabilité potentielle où les dossiers .htaccess peuvent être visibles pour les navigateurs Web s’ils sont créés sur des volumes HFS+. La directive relative aux fichiers dans le fichier http.conf a été modifiée pour bloquer la visibilité aux navigateurs Web de tous les fichiers dont le nom commence par .ht, peu importe le cas.

Mise à jour de partage Web de Mac OS X 1.0

Mise à jour du serveur de Mac OS X 10.0.4

Mac OS X 10.0.2

Mac OS X 10.0.1

  • OpenSSH-2.3.0p1 — Les services SSH sont activés via le volet Partage des Préférences Système

Mac OS Runtime pour Java (MRJ) 2.2.5

  • MRJ 2.2.5 — Résout un problème de sécurité qui permettait l’accès non autorisé des applications au presse-papiers du système.

Date de publication: