Aggiornamenti di sicurezza Apple (dal 3 ottobre 2003 all'11 gennaio 2005)

In questo documento vengono descritti gli aggiornamenti di sicurezza per i prodotti Apple rilasciati tra il 3 ottobre 2003 e l'11 gennaio 2005.

Importante: per informazioni sugli aggiornamenti di sicurezza successivi (più recenti), consulta la sezione “Aggiornamenti di sicurezza Apple”.

Per informazioni sugli aggiornamenti di sicurezza precedenti, consulta la sezione “Aggiornamenti di sicurezza: agosto 2003 e versioni precedenti”.

Per proteggere la propria clientela, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Per saperne di più sulla sicurezza dei prodotti Apple, visita il sito web Product Security Incident Response di Apple Inc.

Chiave PGP per la sicurezza dei prodotti Apple

Per informazioni, consulta “Come usare la chiave PGP per la sicurezza dei prodotti Apple”.

Aggiornamenti di sicurezza

Gli aggiornamenti di sicurezza sono elencati di seguito in base alla versione software in cui sono stati pubblicati per la prima volta. Quando possibile, vengono utilizzati i CVE-ID per fornire ulteriori informazioni sulle vulnerabilità.

iTunes 4.7.1

Disponibile per: Mac OS X, Microsoft Windows XP, Microsoft Windows 2000

CVE-ID: CAN-2005-0043

Impatto: le playlist dannose possono causare un arresto anomalo di iTunes ed eseguire codice arbitrario.

Descrizione: iTunes supporta diversi formati di playlist comuni. ITunes 4.7.1 corregge un overflow del buffer nell'analisi dei file delle playlist m3u e pls che potrebbe consentire alle versioni precedenti di iTunes di bloccarsi ed eseguire codice arbitrario. Ringraziamo Sean de Regge (seanderegge[at]hotmail.com) per aver scoperto il problema e iDEFENSE Labs per averci segnalato il problema.

Aggiornamento di sicurezza 2004-12-02

Apache

Disponibile per: Mac OS X Server 10.3.6, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1082

Impatto: l'autenticazione di Apache mod_digest_Apple è vulnerabile agli attacchi di tipo replay.

Descrizione: il mod_digest_Apple specifico per Mac OS X Server si basa sul mod_digest di Apache. Le correzioni multiple per un problema di riproduzione in mod_digest sono state apportate nelle versioni 1.3.31 e 1.3.32 di Apache (CAN-2003-0987). Questo aggiornamento corregge il problema di riproduzione nell'autenticazione mod_digest_Apple utilizzando le modifiche apportate ad Apache 1.3.32.

Apache

Disponibile per: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X v10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2003-0020, CAN-2003-0987, CAN-2004-0174, CAN-2004-0488, CAN-2004-0492, CAN-2004-0885, CAN-2004-0940

Impatto: diverse vulnerabilità in Apache e mod_ssl, tra cui escalation dei privilegi locali, negazione remota del servizio e, in alcune configurazioni modificate, esecuzione di codice arbitrario.

Descrizione: Apache Group ha risolto una serie di vulnerabilità tra le versioni 1.3.29 e 1.3.33. La pagina di sicurezza di Apache Group per Apache 1.3 si trova all'indirizzo http://www.apacheweek.com/features/security-13. La versione di Apache installata in precedenza era la 1.3.29. L'installazione predefinita di Apache non abilita mod_ssl. Questo aggiornamento risolve tutti i problemi applicabili aggiornando Apache alla versione 1.3.33 e il relativo mod_ssl alla versione 2.8.22.

Apache

Disponibile per: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X v10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1083

Impatto: le configurazioni di Apache non hanno bloccato completamente l'accesso ai file “.DS_Store” o a quelli che iniziano con “.ht”.

Descrizione: una configurazione predefinita di Apache blocca l'accesso ai file che iniziano con “.ht” facendo distinzione tra maiuscole e minuscole. Il file system HFS+ di Apple esegue l'accesso ai file senza distinzione tra maiuscole e minuscole. Il Finder può anche creare file .DS_Store contenenti i nomi dei file nelle posizioni utilizzate per visualizzare le pagine web. Questo aggiornamento modifica la configurazione di Apache per limitare l'accesso a tutti i file che iniziano con “.ht” o “.DS_S” indipendentemente da maiuscole e minuscole. Altro...

Apache

Disponibile per: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X v10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1084

Impatto: i dati dei file e i contenuti delle fork delle risorse possono essere recuperati tramite HTTP bypassando i normali gestori di file di Apache.

Descrizione: il file system HFS+ di Apple consente ai file di avere più flussi di dati. È possibile accedere direttamente a questi flussi di dati utilizzando nomi di file speciali. Una richiesta HTTP appositamente predisposta può bypassare un gestore di file di Apache e accedere direttamente ai dati dei file o ai contenuti della fork delle risorse. Questo aggiornamento modifica la configurazione di Apache per rifiutare le richieste di dati di file o contenuti della fork delle risorse tramite i loro nomi di file speciali. Per ulteriori informazioni, consulta questo documento. Ringraziamo NetSec per aver segnalato il problema.

Apache 2

Disponibile per: Mac OS X Server 10.3.6, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0747, CAN-2004-0786, CAN-2004-0751, CAN-2004-0748

Impatto: le configurazioni modificate di Apache 2 potrebbero consentire un'escalation dei privilegi per gli utenti locali e un'interruzione del servizio da remoto.

Descrizione: una configurazione di Apache 2 modificata dal cliente, in cui è stato abilitato AllowOverride, potrebbe consentire a un utente locale di eseguire codice arbitrario come utente di Apache (www). Una configurazione non modificata non è vulnerabile a questo problema. Questo aggiornamento risolve anche i bug in Apache che potrebbero consentire a determinati tipi di richieste di arrestare il server. Apache è aggiornato alla versione 2.0.52. La versione 2 di Apache viene fornita solo con Mac OS X Server ed è disattivata di default.

AppKit

Disponibile per: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X v10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1081

Impatto: i caratteri inseriti in un campo di testo protetto possono essere letti da altre applicazioni nella stessa sessione di finestra.

Descrizione: in alcune circostanze, un campo di immissione testo sicuro non abilita correttamente l'immissione sicura. In questo modo, altre applicazioni nella stessa sessione di finestra possono visualizzare alcuni caratteri di input ed eventi della tastiera. L'inserimento di campi di testo protetti è ora abilitato per evitare la perdita di informazioni sulla pressione dei tasti.

AppKit

Disponibile per: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X v10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0803, CAN-2004-0804, CAN-2004-0886

Impatto: gli overflow di numeri interi e il controllo dell'intervallo insufficiente nella gestione di tiff potrebbero consentire l'esecuzione di codice arbitrario o un'interruzione del servizio.

Descrizione: i difetti nella decodifica delle immagini tiff potrebbero sovrascrivere la memoria, causare errori aritmetici con conseguente arresto anomalo o consentire l'esecuzione di codice arbitrario. Questo aggiornamento corregge i problemi nella gestione delle immagini tiff.

Cyrus IMAP

Disponibile per: Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1089

Impatto: quando si utilizza l'autenticazione Kerberos con Cyrus IMAP, un utente autenticato potrebbe ottenere accesso non autorizzato ad altre caselle sullo stesso sistema.

Descrizione: quando si utilizza il meccanismo di autenticazione Kerberos con il server Cyrus IMAP, un utente può cambiare casella di posta dopo l'autenticazione e accedere ad altre caselle sullo stesso sistema. Questo aggiornamento associa la casella di posta all'utente autenticato. Questo problema specifico del server non è presente in Mac OS X Server 10.2.8. Ringraziamo johan.gradvall@gothia.se per aver segnalato il problema.

HIToolbox

Disponibile per: Mac OS X 10.3.6, Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1085

Impatto: gli utenti possono uscire dalle applicazioni in modalità chiosco.

Descrizione: una speciale combinazione di tasti ha consentito agli utenti di visualizzare la finestra di uscita forzata anche in modalità chiosco. Questo aggiornamento bloccherà il mancato funzionamento di tutte le combinazioni di tasti di uscita forzata in modalità chiosco. Questo problema non è presente in Mac OS X 10.2.8 o Mac OS X Server 10.2.8. Ringraziamo Glenn Blauvelt della University of Colorado di Boulder per aver segnalato il problema.

Kerberos

Disponibile per: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X v10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0642, CAN-2004-0643, CAN-2004-0644, CAN-2004-0772

Impatto: esposizione a una potenziale interruzione del servizio quando viene utilizzata l'autenticazione Kerberos.

Descrizione: il MIT ha rilasciato una nuova versione di Kerberos che risolve un problema di interruzione del servizio e tre errori double free. Mac OS X protegge da errori double free. Questo aggiornamento applica la correzione per il problema di interruzione del servizio. A titolo precauzionale, sono state applicate anche le patch double free. Ringraziamo il MIT Kerberos Development Team per aver segnalato il problema e aver fornito le correzioni necessarie.

Postfix

Disponibile per: Mac OS X 10.3.6, Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1088

Impatto: Postfix con CRAM-MD5 può consentire a un utente remoto di inviare email senza autenticarsi correttamente.

Descrizione: i server Postfix che usano CRAM-MD5 per autenticare i mittenti erano vulnerabili a un attacco di tipo replay. In alcune circostanze, le credenziali utilizzate per autenticare correttamente un utente potrebbero essere riutilizzate per un breve periodo di tempo. L'algoritmo CRAM-MD5 utilizzato per autenticare gli utenti è stato aggiornato per impedire la finestra di riproduzione. Questo problema non è presente in Mac OS X 10.2.8 o Mac OS X Server 10.2.8. Ringraziamo David Duchovni di Morgan Stanley per aver segnalato il problema.

PSNormalizer

Disponibile per: Mac OS X 10.3.6, Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1086

Impatto: un overflow del buffer nella conversione da PostScript a PDF potrebbe consentire l'esecuzione di codice arbitrario.

Descrizione: un overflow del buffer nella gestione della conversione da PostScript a PDF potrebbe potenzialmente consentire l'esecuzione di codice arbitrario. Questo aggiornamento corregge il codice di conversione da PostScript a PDF per evitare l'overflow del buffer. Questo problema non è presente in Mac OS X 10.2.8 o Mac OS X Server 10.2.8.

QuickTime Streaming Server

Disponibile per: Mac OS X Server 10.3.6, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1123

Impatto: le richieste appositamente predisposte possono causare un attacco di tipo Denial of Service.

Descrizione: QuickTime Streaming Server era vulnerabile a un attacco di tipo Denial of Service durante la gestione delle richieste DESCRIBE. Questo aggiornamento corregge la gestione di queste richieste. Ringraziamo iDEFENSE per aver segnalato il problema.

Safari

Disponibile per: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X v10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1121

Impatto: il codice HTML appositamente predisposto può mostrare un URI fuorviante nella barra di stato di Safari.

Descrizione: Safari potrebbe essere indotto a visualizzare un URI nella barra di stato diverso dalla destinazione di un link. Questo aggiornamento corregge Safari in modo che ora visualizzi l'URI che verrà attivato quando selezionato.

Safari

Disponibile per: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X v10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1122

Impatto: con più finestre del browser attive, gli utenti di Safari potrebbero non sapere quale finestra ha attivato una finestra a comparsa.

Descrizione: quando sono aperte più finestre di Safari, una finestra a comparsa attentamente programmata potrebbe indurre l'utente a pensare che sia stata attivata da un altro sito. In questo aggiornamento Safari ora posiziona una finestra che attiva una finestra a comparsa davanti a tutte le altre finestre del browser. Ringraziamo Secunia Research per aver segnalato il problema.

Terminal

Disponibile per: Mac OS X 10.3.6 e Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1087

Impatto: Terminal potrebbe indicare che la funzione Secure Keyboard Entry (Immissione protetta da tastiera) è attiva quando non lo è.

Descrizione: l'impostazione del menu Secure Keyboard Entry (Immissione protetta da tastiera) non è stata ripristinata correttamente quando si avvia Terminal.app. Accanto a Secure Keyboard Entry (Immissione protetta da tastiera) viene visualizzato un segno di spunta anche se la funzione non è stata abilitata. Questo aggiornamento corregge il comportamento della funzione Secure Keyboard Entry (Immissione protetta da tastiera). Questo problema non è presente in Mac OS X 10.2.8 o Mac OS X Server 10.2.8. Ringraziamo Jonathan “Wolf” Rentzsch di Red Shed Software per aver segnalato il problema.

iCal 1.5.4

CVE-ID: CAN-2004-1021

Impatto: i nuovi calendari iCal possono aggiungere avvisi senza approvazione.

Descrizione: i calendari iCal possono includere notifiche di eventi tramite avvisi. Questi avvisi possono aprire programmi e inviare email. iCal è stato aggiornato per mostrare una finestra di avviso quando si importano o si aprono calendari contenenti avvisi. iCal 1.5.4 è disponibile per Mac OS X 10.2.3 o versioni successive. Ringraziamo aaron@vtty.com per aver segnalato il problema.

Aggiornamento di sicurezza 2004-10-27

Apple Remote Desktop

Disponibile per: client Apple Remote Desktop 1.2.4 con Mac OS X 10.3.x

CVE-ID: CAN-2004-0962

Impatto: un'applicazione può essere avviata dietro la finestra di login e verrà eseguita come root.

Descrizione: per un sistema con le seguenti condizioni:

• Client Apple Remote Desktop installato

• Un utente sul sistema client è stato abilitato con il privilegio Open and quit applications (Apri e chiudi applicazioni)

• Il nome utente e la password dell'utente ARD sono noti

• È stato abilitato il passaggio rapido da un utente all'altro

• L'utente ha effettuato l'accesso e la finestra di login è attiva tramite il cambio utente rapido

Se l'applicazione Apple Remote Desktop Administrator su un altro sistema viene utilizzata per avviare un'applicazione grafica sul client, l'applicazione grafica verrà eseguita come root dietro la finestra di login. Questo aggiornamento impedisce a Apple Remote Desktop di avviare le applicazioni quando la finestra di login è attiva. Questo miglioramento della sicurezza è presente anche in Apple Remote Desktop v2.1. Questo problema non interessa i sistemi precedenti a Mac OS X 10.3. Ringraziamo Andrew Nakhla e Secunia Research per aver segnalato il problema.

QuickTime 6.5.2

CVE-ID: CAN-2004-0988

Disponibile per: Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME e Microsoft Windows 98

Impatto: un overflow di numeri interi può essere sfruttato in un ambiente HTML.

Descrizione: un'estensione del segno di un piccolo numero intero in overflow può portare a un numero molto elevato che viene passato a una funzione di spostamento della memoria. La correzione impedisce l'overflow del numero intero piccolo. Questo problema non esiste in QuickTime per Mac OS X. Ringraziamo John Heasman di Next Generation Security Software Ltd. per aver segnalato il problema.

CVE-ID: CAN-2004-0926

Disponibile per: Mac OS X 10.3.x, Mac OS X Server 10.3.x, Mac OS X 10.2.8, Mac OS X Server 10.2.8, Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME e Microsoft Windows 98

Impatto: un overflow del buffer di heap potrebbe consentire a chi esegue attacchi di eseguire codice arbitrario.

Descrizione: i difetti nella decodifica del tipo di immagine BMP potrebbero sovrascrivere la memoria heap e potenzialmente consentire l'esecuzione di codice arbitrario nascosto in un'immagine. Questo è lo stesso miglioramento di sicurezza reso disponibile nell'aggiornamento di sicurezza 2004-09-30 e può essere distribuito sulle configurazioni di sistema aggiuntive coperte da questo aggiornamento di QuickTime.

Aggiornamento di sicurezza 2004-09-30 (rilasciato il 4 ottobre 2004)

AFP Server

Disponibile per: Mac OS X 10.3.5 e Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0921

Impatto: un'interruzione del servizio consente a un ospite di disconnettere i volumi AFP.

Descrizione: è possibile utilizzare un volume AFP montato da un ospite per terminare le attivazioni degli utenti autenticati dallo stesso server modificando i pacchetti di SessionDestroy. Questo problema non interessa i sistemi precedenti a Mac OS X 10.3 o Mac OS X Server 10.3.

AFP Server

Disponibile per: Mac OS X 10.3.5 e Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0922

Impatto: è possibile impostare come lettura-scrittura la Drop Box AFP di sola scrittura.

Descrizione: a volte una Drop Box di sola scrittura su un volume AFP montato da un ospite potrebbe essere in lettura-scrittura a causa di un'impostazione errata dell'ID del gruppo di ospiti. Questo problema non interessa i sistemi precedenti a Mac OS X 10.3 o Mac OS X Server 10.3.

CUPS

Disponibile per: Mac OS X 10.3.5, Mac OS X Server 10.3.5, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0558

Impatto: un'interruzione del servizio causa il blocco del sistema di stampa.

Descrizione: l'implementazione del protocollo IPP (Internet Print Protocol) in CUPS può bloccarsi quando un determinato pacchetto UDP viene inviato alla porta IPP.

CUPS

Disponibile per: Mac OS X 10.3.5, Mac OS X Server 10.3.5, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0923

Impatto: divulgazione locale delle password utente.

Descrizione: alcuni metodi di stampa remota autenticata potrebbero rivelare le password utente nei file di log del sistema di stampa. Ringraziamo Gary Smith del reparto servizi IT della Caledonian University di Glasgow per aver segnalato il problema.

NetInfo Manager

Disponibile per: Mac OS X 10.3.5 e Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0924

Impatto: indicazione errata dello stato dell'account.

Descrizione: l'utility NetInfo Manager può abilitare l'account “root”, ma dopo un singolo login “root” non è più possibile usare NetInfo Manager per disabilitare l'account, che erroneamente sembra disabilitato. Questo problema non interessa i sistemi precedenti a Mac OS X 10.3 o Mac OS X Server 10.3.

postfix

Disponibile per: Mac OS X 10.3.5 e Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0925

Impatto: si verifica un'interruzione del servizio quando è abilitata la funzione SMTPD AUTH

Descrizione: quando SMTPD AUTH è abilitata in postfix, un buffer contenente il nome utente non viene eliminato correttamente tra i tentativi di autenticazione. Solo gli utenti con i nomi utente più lunghi saranno in grado di autenticarsi. Questo problema non interessa i sistemi precedenti a Mac OS X 10.3 o Mac OS X Server 10.3. Ringraziamo Michael Rondinelli di EyeSee360 per aver segnalato il problema.

QuickTime

Disponibile per: Mac OS X 10.3.5, Mac OS X Server 10.3.5, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0926

Impatto: un overflow del buffer di heap potrebbe consentire a chi esegue attacchi di eseguire codice arbitrario.

Descrizione: i difetti nella decodifica del tipo di immagine BMP potrebbero sovrascrivere la memoria heap e potenzialmente consentire l'esecuzione di codice arbitrario nascosto in un'immagine.

ServerAdmin

Disponibile per: Mac OS X Server 10.3.5 e Mac OS X Server v10.2.8

CVE-ID: CAN-2004-0927

Impatto: la comunicazione client-server con ServerAdmin può essere letta decodificando le sessioni acquisite.

Descrizione: la comunicazione client-server con ServerAdmin utilizza SSL. Tutti i sistemi vengono forniti con lo stesso certificato con firma automatica di esempio. Se tale certificato non è stato sostituito, la comunicazione con ServerAdmin potrebbe essere decrittografata. La correzione sostituisce il certificato con firma automatica esistente con un certificato generato localmente e in modo univoco. Ringraziamo Michael Bartosh di 4am Media, Inc. Per aver segnalato il problema.

Aggiornamento di sicurezza 2004-09-16

iChat

CVE-ID: CAN-2004-0873

Impatto: i partecipanti di iChat remoto possono inviare “link” che possono avviare programmi locali se si fa clic su di essi.

Descrizione: un partecipante di iChat remoto può inviare un “link” che fa riferimento a un programma sul sistema locale. Se il “link” viene attivato facendo clic su di esso e il “link” punta a un programma locale, il programma verrà eseguito. iChat è stato modificato in modo che i “link” di questo tipo aprano una finestra del Finder che mostra il programma invece di eseguirlo. Ringraziamo aaron@vtty.com per aver segnalato il problema.

Disponibilità: questo aggiornamento è disponibile per le seguenti versioni di iChat:

- iChat AV 2.1 (Mac OS X 10.3.5 o versioni successive)

- iChat AV 2.0 (Mac OS X 10.2.8)

- iChat 1.0.1 (Mac OS X 10.2.8)

Aggiornamento di sicurezza 2004-09-07

Questo aggiornamento per la sicurezza è disponibile per le seguenti versioni di sistema:

- Mac OS X 10.3.4

- Mac OS X 10.3.5

- Mac OS X Server 10.3.4

- Mac OS X Server 10.3.5

- Mac OS X 10.2.8

- Mac OS X Server 10.2.8

Suggerimento: per ulteriori informazioni sui CVE-ID indicati di seguito, consulta http://www.cve.mitre.org/.

Componente: Apache 2

CVE-ID: CAN-2004-0493, CAN-2004-0488

Disponibile per: Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Impatto: esposizione a una potenziale interruzione del servizio.

Descrizione: Apache ha rilasciato la versione 2.0.50. Questa versione corregge una serie di vulnerabilità ad attacchi di tipo Denial of Service. Abbiamo aggiornato Apache alla versione 2.0.50, che viene fornita solo con Mac OS X Server ed è disattivata di default.

Componente: CoreFoundation

CVE-ID: CAN-2004-0821

Disponibile per: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Impatto: i programmi con privilegi che utilizzano CoreFoundation possono essere creati per caricare una libreria fornita dall'utente.

Descrizione: i pacchetti che utilizzano le funzioni CFPlugIn di CoreFoundation possono includere istruzioni per caricare automaticamente gli eseguibili dei plugin. Con un pacchetto appositamente predisposto, questo potrebbe verificarsi anche per i programmi con privilegi, consentendo un'escalation locale dei privilegi. CoreFoundation ora impedisce il caricamento automatico dei file eseguibili per i pacchetti che hanno già un file eseguibile caricato. Ringraziamo Kikuchi Masashi (kik@ms.u-tokyo.ac.jp) per aver segnalato il problema.

Componente: CoreFoundation

CVE-ID: CAN-2004-0822

Disponibile per: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Impatto: una variabile di ambiente può essere manipolata per causare un overflow del buffer che può causare un'escalation dei privilegi.

Descrizione: manipolando una variabile di ambiente, un programma potrebbe potenzialmente essere in grado di eseguire codice arbitrario da parte di un utente locale che esegue attacchi. Questa funzione può essere sfruttata solo con l'accesso a un account locale. Ora vengono eseguiti controlli di validità più severi per questa variabile di ambiente. Ringraziamo aaron@vtty.com per aver segnalato il problema.

Componente: IPSec

CVE-ID: CAN-2004-0607

Disponibile per: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Impatto: quando si utilizzano i certificati, gli host non autenticati possono essere in grado di negoziare una connessione IPSec.

Descrizione: se configurato per utilizzare i certificati X.509 per autenticare gli host remoti, un errore di verifica dei certificati non interrompe lo scambio delle chiavi. Mac OS X non utilizza i certificati per IPSec di default, quindi questo problema riguarda solo le configurazioni configurate manualmente. IPSec ora verifica e interrompe uno scambio di chiavi se si verifica un errore di verifica del certificato.

Componente: Kerberos

CVE-ID: CAN-2004-0523

Disponibile per: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Impatto: più overflow del buffer in krb5_aname_to_localname per MIT Kerberos 5 (krb5) 1.3.3 e versioni precedenti potrebbero consentire a utenti malintenzionati remoti di eseguire codice arbitrario.

Descrizione: l'overflow del buffer può essere sfruttato solo se il supporto “auth_to_local_names” o “auth_to_local” è configurato anche nel file edu.mit.Kerberos. Apple non lo abilita di default. La correzione di sicurezza è stata reindirizzata e applicata alle versioni di Kerberos per Mac OS X. La versione di Mac OS X e Mac OS X Server di Kerberos non è soggetta al recente problema “double free” segnalato nella nota sulla vulnerabilità CERT VU#350792 (CAN-2004-0772). Ringraziamo il MIT Kerberos Development Team per averci informato di questo problema.

Componente: lukemftpd

CVE-ID: CAN-2004-0794

Disponibile per: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Impatto: una race condition può consentire a un utente malintenzionato remoto autenticato di causare un attacco di tipo Denial of Service o di eseguire codice arbitrario.

Descrizione: se il servizio FTP è stato abilitato e un utente malintenzionato remoto può autenticarsi correttamente, una race condition consente di interrompere il servizio FTP o eseguire codice arbitrario. La soluzione è sostituire il servizio FTP lukemftpd con tnftpd. lukemftp è installato ma non attivato in Mac OS X Server, che usa invece xftp. Ringraziamo Luke Mewburn della NetBSD Foundation per averci informato di questo problema.

Componente: OpenLDAP

CVE-ID: CAN-2004-0823

Disponibile per: Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Impatto: una password crittografica può essere usata come se fosse una password di testo normale.

Descrizione: la compatibilità con le versioni precedenti delle implementazioni LDAP consente di archiviare una password crittografica nell'attributo userPassword. Alcuni schemi di convalida dell'autenticazione possono utilizzare questo valore come se fosse una password di testo normale. La correzione elimina l'ambiguità e usa sempre questo tipo di campo come password crittografica. Questo problema non si verifica in Mac OS X 10.2.8. Ringraziamo Steve Revilak di Kayak Software Corporation per aver segnalato il problema.

Componente: OpenSSH

CVE-ID: CAN-2004-0175

Disponibile per: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Impatto: un server ssh/SCP dannoso può sovrascrivere i file locali.

Descrizione: una vulnerabilità di transito delle directory nel programma SCP consente a un server remoto dannoso di sovrascrivere i file locali. La correzione di sicurezza è stata sottoposta a backport e applicata alle versioni di OpenSSH per Mac OS X.

Componente: PPPDialer

CVE-ID: CAN-2004-0824

Disponibile per: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Impatto: un utente malintenzionato può sovrascrivere i file di sistema con conseguente escalation dei privilegi locali.

Descrizione: i componenti PPP hanno eseguito accessi non sicuri a un file archiviato in una posizione scrivibile in tutto il mondo. La correzione sposta i file di log in una posizione non scrivibile in tutto il mondo.

Componente: QuickTime Streaming Server

Disponibile per: Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0825

Impatto: un'interruzione del servizio richiede il riavvio di QuickTime Streaming Server.

Descrizione: una particolare sequenza di operazioni client può causare un deadlock su QuickTime Streaming Server. La correzione aggiorna il codice per eliminare questa condizione di deadlock.

Componente: rsync

CVE-ID: CAN-2004-0426

Disponibile per: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Impatto: quando rsync viene eseguito in modalità daemon, un utente malintenzionato remoto può scrivere al di fuori del percorso del modulo, a meno che non sia stata impostata l'opzione chroot.

Descrizione: rsync precedente alla versione 2.6.1 non sanifica correttamente i percorsi quando si esegue un daemon di lettura/scrittura con l'opzione chroot disattivata. La correzione aggiorna rsync alla versione 2.6.2.

Componente: Safari

CVE-ID: CAN-2004-0361

Disponibile per: Mac OS X 10.2.8, Mac OS X Server 10.2.8

Impatto: un array JavaScript di dimensioni negative può causare l'accesso di Safari alla memoria fuori dai limiti, causando un arresto anomalo dell'applicazione.

Descrizione: la memorizzazione di oggetti in un array JavaScript allocato con dimensioni negative può sovrascrivere la memoria. Safari ora smette di elaborare i programmi JavaScript se l'assegnazione di un array non riesce. Questo miglioramento della sicurezza è stato precedentemente reso disponibile in Safari 1.0.3 e viene applicato all'interno del sistema operativo Mac OS X 10.2.8 come ulteriore livello di protezione per chi non ha installato quella versione di Safari. Si tratta di una correzione specifica per Mac OS X 10.2.8 e il problema non esiste in Mac OS X 10.3 o sistemi successivi.

Componente: Safari

CVE-ID: CAN-2004-0720

Disponibile per: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Impatto: un sito web non attendibile può inserire contenuti in un frame destinato a essere utilizzato da un altro dominio.

Descrizione: un sito web che utilizza più frame può sostituire alcuni dei frame con contenuti di un sito dannoso se il sito dannoso viene visitato per primo. La correzione impone una serie di regole genitore/figlio che impediscono l'attacco.

Componente: SquirrelMail

CVE-ID: CAN-2004-0521

Disponibile per: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Impatto: SquirrelMail prima della versione 1.4.3 RC1 consente a utenti malintenzionati remoti di eseguire istruzioni SQL non autorizzate.

Descrizione: SquirrelMail prima del 1.4.3 RC1 è vulnerabile a SQL injection che consente l'esecuzione di istruzioni SQL non autorizzate. La correzione aggiorna SquirrellMail alla versione 1.4.3a

Componente: tcpdump

CVE-ID: CAN-2004-0183, CAN-2004-0184

Disponibile per: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Impatto: i pacchetti pericolosi possono causare un arresto anomalo di un tcpdump in esecuzione.

Descrizione: le funzioni di stampa dettagliate per i pacchetti ISAkMP non eseguono il controllo dei limiti corretti e causano una lettura fuori dai limiti che causa un arresto anomalo. La correzione aggiorna tcpdump alla versione 3.8.3.

Mac OS X 10.3.5

Suggerimento: per ulteriori informazioni sui CVE-ID indicati di seguito, consulta http://www.cve.mitre.org/.

libpng (Portable Network Graphics)

CVE-ID: CAN-2002-1363, CAN-2004-0599-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004

Impatto: le immagini PNG dannose possono causare arresti anomali delle applicazioni ed eseguire codice arbitrario.

Descrizione: nella libreria di riferimento sono stati rilevati diversi overflow del buffer, dereferenziazioni di un puntatore nullo e overflow di interi per la lettura e la scrittura di immagini PNG. Queste vulnerabilità sono state corrette in libpng, che viene utilizzato dai framework CoreGraphics e AppKit in Mac OS X. Dopo aver installato questo aggiornamento, le applicazioni che utilizzano il formato immagine PNG tramite questi framework saranno protette da questi difetti.

Safari:

CVE-ID: CAN-2004-0743

Impatto: in una situazione speciale, la navigazione con i pulsanti avanti/indietro può inviare nuovamente i dati del modulo a un URL GET.

Descrizione: si tratta di una situazione in cui un modulo web viene inviato a un server utilizzando un metodo POST che invia un reindirizzamento HTTP a un URL del metodo GET. Utilizzando i pulsanti avanti/indietro, Safari riutilizzerà POST per inviare nuovamente i dati del modulo all'URL GET. Safari è stato modificato in modo che, in questa situazione, la navigazione avanti/indietro determini solo un metodo GET. Ringraziamo Rick Osterberg di Harvard University FAS Computer Services per aver segnalato il problema.

TCP/IP Networking:

ID CVE: CAN-2004-0744

Impatto: i frammenti IP pericolosi possono utilizzare troppe risorse di sistema impedendo il normale funzionamento della rete.

Descrizione: Il “Rose Attack” descrive una sequenza di frammenti IP appositamente creata per utilizzare le risorse di sistema. L'implementazione TCP/IP è stata modificata per limitare le risorse consumate e impedire questo attacco di tipo Denial of Service. Ringraziamo Ken Hollis (gandalf@digital.net) e Chuck McAuley (chuck-at-lemure-point-net), da una discussione sul “Rose Attack”.

Aggiornamento di sicurezza 2004-08-09 (Mac OS X 10.3.4 e 10.2.8)

Suggerimento: per ulteriori informazioni sui CVE-ID indicati di seguito, consulta http://www.cve.mitre.org/.

libpng (Portable Network Graphics)

CVE-ID: CAN-2002-1363, CAN-2004-0599-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004

Impatto: le immagini PNG dannose possono causare arresti anomali delle applicazioni ed eseguire codice arbitrario.

Descrizione: nella libreria di riferimento sono stati rilevati diversi overflow del buffer, dereferenziazioni di un puntatore nullo e overflow di interi per la lettura e la scrittura di immagini PNG. Queste vulnerabilità sono state corrette in libpng, che viene utilizzato dai framework CoreGraphics e AppKit in Mac OS X. Dopo aver installato questo aggiornamento, le applicazioni che utilizzano il formato immagine PNG tramite questi framework saranno protette da questi difetti.

Aggiornamento di sicurezza 2004-06-07 (Mac OS X 10.3.4 e 10.2.8)

L'aggiornamento di sicurezza 2004-06-07 offre una serie di miglioramenti alla sicurezza ed è consigliato a tutti gli utenti Macintosh. Lo scopo di questo aggiornamento è aumentare la sicurezza avvisando l'utente quando apre un'applicazione per la prima volta tramite mappature di documenti o un indirizzo web (URL). Consulta questo articolo per maggiori dettagli, inclusa una descrizione della nuova finestra di dialogo di avviso. L'aggiornamento di sicurezza 2004-06-07 è disponibile per le seguenti versioni di sistema:

- Mac OS X 10.3.4 “Panther”

- Mac OS X Server 10.3.4 “Panther”

- Mac OS X 10.2.8 “Jaguar”

- Mac OS X Server 10.2.8 “Jaguar”

LaunchServices

CVE-ID: CAN-2004-0538

Impatto: LaunchServices registra automaticamente le applicazioni, il che potrebbe far sì che il sistema esegua applicazioni impreviste.

Discussione: LaunchServices è un componente di sistema che rileva e apre le applicazioni. Questo componente di sistema è stato modificato in modo da aprire solo le applicazioni che sono state precedentemente eseguite esplicitamente sul sistema. I tentativi di eseguire un'applicazione che non è stata eseguita esplicitamente in precedenza genereranno un avviso per l'utente. Ulteriori informazioni sono disponibili in questo articolo.

Componente: DiskImageMounter

CVE-ID: non è stato riservato nessun CVE-ID, poiché si tratta solo di una misura preventiva aggiuntiva.

Impatto: il tipo di URL disk:// attiva un file system remoto anonimo utilizzando il protocollo http.

Discussione: la registrazione del tipo di URL disk:// viene rimossa dal sistema come misura preventiva contro i tentativi di attivare automaticamente i file system di immagine del disco remoto.

Safari

CVE-ID: CAN-2004-0539

Impatto: il pulsante “Mostra nel Finder” apre alcuni file scaricati, in alcuni casi eseguendo le applicazioni scaricate.

Discussione: il pulsante “Mostra nel Finder” ora mostrerà i file in una finestra del Finder e non tenterà più di aprirli. Questa modifica è disponibile solo per i sistemi Mac OS X 10.3.4 “Panther” e Mac OS X Server 10.3.4 “Panther”, poiché il problema non si applica a Mac OS X 10.2.8 “Jaguar” o Mac OS X Server 10.2.8 “Jaguar”.

Terminal

CVE-ID: non applicabile

Impatto: i tentativi di usare un URL telnet:// con un numero di porta alternativo non riescono.

Discussione: è stata apportata una modifica per consentire la specifica di un numero di porta alternativo in un URL telnet://. Questa operazione ripristina la funzionalità rimossa con la correzione recente per CAN-2004-0485.

Mac OS X 10.3.4

• NFS: Corregge CAN-2004-0513 per migliorare la registrazione quando si tracciano le chiamate di sistema. Ringraziamo David Brown (dave@spoonguard.org) per aver segnalato il problema.

• LoginWindow: corregge CAN-2004-0514 per migliorare la gestione delle ricerche nei servizi di directory.

• LoginWindow: corregge CAN-2004-0515 per migliorare la gestione dei file di log della console. Ringraziamo aaron@vtty.com per aver segnalato il problema.

• Packaging: corregge CAN-2004-0516 per migliorare gli script di installazione dei pacchetti. Ringraziamo aaron@vtty.com per aver segnalato il problema.

• Packaging: corregge CAN-2004-0517 per migliorare la gestione degli ID processo durante l'installazione del pacchetto. Ringraziamo aaron@vtty.com per aver segnalato il problema.

• TCP/IP: corregge CAN-2004-0171 per migliorare la gestione dei pacchetti TCP fuori sequenza.

• AppleFileServer: corregge CAN-2004-0518 per migliorare l'utilizzo di SSH e segnalare errori.

• Terminal: corregge CAN-2004-0485 per migliorare la gestione degli URL. Ringraziamo RenÌ© Puls (rpuls@gmx.net) per aver segnalato il problema.

Nota: Mac OS X 10.3.4 include gli aggiornamenti di sicurezza 2004-04-05 e 2004-05-03.

Aggiornamento di sicurezza 2004-05-24 per Mac OS X 10.3.3 “Panther” e Mac OS X 10.3.3 Server

• HelpViewer: corregge CAN-2004-0486 per garantire che HelpViewer elabori solo gli script che ha avviato. Ringraziamo lixlpixel Nota: questo aggiornamento può essere installato anche su Mac OS X 10.3.4 e Mac OS X 10.3.4 Server.

Aggiornamento di sicurezza 2004-05-24 per Mac OS X 10.2.8 “Jaguar” e Mac OS X 10.2.8 Server

• HelpViewer: corregge CAN-2004-0486 per garantire che HelpViewer elabori solo gli script che ha avviato. Ringraziamo lixlpixel

• Terminal: corregge CAN-2004-0485 per migliorare l'elaborazione degli URL all'interno di Terminal. Ringraziamo RenÌ© Puls

Aggiornamento di sicurezza 2004-05-03 per Mac OS X 10.3.3 “Panther” e Mac OS X 10.3.3 Server

• AppleFileServer: corregge CAN-2004-0430 per migliorare la gestione delle password lunghe. Ringraziamo Dave G. di @stake per aver segnalato il problema.

• Apache 2: corregge CAN-2003-0020, CAN-2004-0113 e CAN-2004-0174 aggiornando Apache 2 alla versione 2.0.49.

• CoreFoundation: corregge CAN-2004-0428 per migliorare la gestione di una variabile di ambiente. Ringraziamo aaron@vtty.com per aver segnalato il problema.

• IPSec: corregge CAN-2004-0155 e CAN-2004-0403 per migliorare la sicurezza dei tunnel VPN. IPSec in Mac OS X non è vulnerabile a CAN-2004-0392.

L'aggiornamento di sicurezza 2004-04-05 è stato integrato in questo aggiornamento di sicurezza.

Aggiornamento di sicurezza 2004-05-03 per Mac OS X 10.2.8 “Jaguar” e Mac OS X 10.2.8 Server

• AppleFileServer: corregge CAN-2004-0430 per migliorare la gestione delle password lunghe. Ringraziamo Dave G. di @stake per aver segnalato il problema.

• Apache 2: corregge CAN-2003-0020, CAN-2004-0113 e CAN-2004-0174 aggiornando Apache 2 alla versione 2.0.49.

• CoreFoundation: corregge CAN-2004-0428 per migliorare la gestione di una variabile di ambiente. Ringraziamo aaron@vtty.com per aver segnalato il problema.

• IPSec: corregge CAN-2004-0155 e CAN-2004-0403 per migliorare la sicurezza dei tunnel VPN. IPSec in Mac OS X non è vulnerabile a CAN-2004-0392.

• Server Settings daemon: corregge CAN-2004-0429 per migliorare la gestione di richieste di grandi dimensioni.

L'aggiornamento di sicurezza 2004-04-05 è stato integrato in questo aggiornamento di sicurezza.

QuickTime 6.5.1

• Corregge CAN-2004-0431 in cui la riproduzione di un file .mov (filmato) non valido potrebbe causare l'interruzione di QuickTime.

Aggiornamento di sicurezza 2004-04-05 per Mac OS X 10.3.3 “Panther” e Mac OS X 10.3.3 Server

• CUPS Printing: corregge CAN-2004-0382 per migliorare la sicurezza del sistema di stampa. Si tratta di una modifica al file di configurazione che non influisce sul sistema di stampa sottostante. Ringraziamo aaron@vtty.com per aver segnalato il problema.

• libxml2: corregge CAN-2004-0110 per migliorare la gestione di localizzatori di risorse uniformi.

• Mail: corregge CAN-2004-0383 per migliorare la gestione delle email in formato HTML. Ringraziamo aaron@vtty.com per aver segnalato il problema.

• OpenSSL: corregge CAN-2004-0079 e CAN-2004-0112 per migliorare la gestione delle scelte di crittografia.

Aggiornamento di sicurezza 2004-04-05 per Mac OS X 10.2.8 “Jaguar” e Mac OS X 10.2.8 Server

• CUPS Printing: corregge CAN-2004-0382 per migliorare la sicurezza del sistema di stampa. Ringraziamo aaron@vtty.com per aver segnalato il problema.

L'aggiornamento di sicurezza 2004-01-26 è stato integrato in questo aggiornamento di sicurezza. I miglioramenti di sicurezza aggiuntivi forniti per Panther nell'aggiornamento di sicurezza 2004-04-05 non interessano la piattaforma 10.2.

Aggiornamento di sicurezza 2004-02-23 per Mac OS X 10.3.2 “Panther” e Mac OS X 10.3.2 Server

• CoreFoundation: corregge CAN-2004-0168 per migliorare la registrazione delle notifiche. Ringraziamo aaron@vtty.com per aver segnalato il problema.

• DiskArbitration: corregge CAN-2004-0167 per gestire in modo più sicuro l'inizializzazione dei supporti rimovibili scrivibili. Ringraziamo aaron@vtty.com per aver segnalato il problema.

• IPSec: corregge CAN-2004-0164 per migliorare il controllo dello scambio delle chiavi.

• Point-to-Point-Protocol: corregge CAN-2004-0165 per migliorare la gestione dei messaggi di errore. Ringraziamo Dave G. di @stake e Justin Tibbs di Secure Network Operations (SRT) per aver segnalato il problema.

• tcpdump: corregge CAN-2003-0989, CAN-2004-0055 e CAN-2004-0057 aggiornando tcpdump alla versione 3.8.1 e libpCAP alla versione 0.8.1

• QuickTime Streaming Server: corregge CAN-2004-0169 per migliorare il controllo dei dati delle richieste. Ringraziamo iDEFENSE Labs per aver segnalato il problema. Gli aggiornamenti di Streaming Server per altre piattaforme sono disponibili su http://developer.apple.com/darwin/.

Aggiornamento di sicurezza 2004-02-23 per Mac OS X 10.2.8 “Jaguar” e Mac OS X 10.2.8 Server

• DiskArbitration: corregge CAN-2004-0167 per gestire in modo più sicuro l'inizializzazione dei supporti rimovibili scrivibili. Ringraziamo aaron@vtty.com per aver segnalato il problema.

• IPSec: corregge CAN-2004-0164 per migliorare il controllo dello scambio delle chiavi.

• Point-to-Point-Protocol: corregge CAN-2004-0165 per migliorare la gestione dei messaggi di errore. Ringraziamo Dave G. di @stake e Justin Tibbs di Secure Network Operations (SRT) per aver segnalato il problema.

• Safari: corregge CAN-2004-0166 per migliorare la visualizzazione degli URL nella barra di stato.

• QuickTime Streaming Server: corregge CAN-2004-0169 per migliorare il controllo dei dati delle richieste. Ringraziamo iDEFENSE Labs per aver segnalato il problema. Gli aggiornamenti di Streaming Server per altre piattaforme sono disponibili su http://developer.apple.com/darwin/.

L'aggiornamento di sicurezza 2004-01-26 per Mac OS X 10.2.8 Server è stato integrato in questo aggiornamento di sicurezza.

Aggiornamento di sicurezza 2004-01-26 per Mac OS X 10.1.5 “Puma” e Mac OS X 10.1.5 Server

• Mail: corregge CAN-2004-0085 per migliorare la sicurezza dell'applicazione di posta elettronica di Apple.

Aggiornamento di sicurezza 2004-01-26 per Mac OS X 10.2.8 “Jaguar” e Mac OS X 10.2.8 Server

• AFP Server: migliora il protocollo AppleCare rispetto all'aggiornamento di sicurezza 2003-12-19.

• Apache 1.3: corregge CAN-2003-0542, un overflow del buffer nei moduli mod_alias e mod_rewrite del server web Apache.

• Apache 2: (installato solo su Server) corregge CAN-2003-0542 e CAN-2003-0789 aggiornando Apache 2.0.47 alla versione 2.0.48. Per i dettagli sull'aggiornamento, consulta http://www.apache.org/dist/httpd/Announcement2.html

• Classic: corregge CAN-2004-0089 per migliorare la gestione delle variabili di ambiente. Ringraziamo Dave G. di @stake per aver segnalato il problema.

• Mail: corregge CAN-2004-0085 per migliorare la sicurezza dell'applicazione di posta elettronica di Apple.

• Safari: corregge CAN-2004-0092 grazie a miglioramenti di sicurezza nel browser web di Safari.

• System Configuration: corregge CAN-2004-0087 e CAN-2004-0088 in cui il sottosistema System Configuration consentiva agli utenti remoti non amministratori di modificare le impostazioni di rete e apportare modifiche alla configurazione in configd. Ringraziamo Dave G. di @stake per aver segnalato questi problemi.

L'aggiornamento di sicurezza 2003-12-19 è stato integrato in questo aggiornamento di sicurezza. Ulteriori miglioramenti alla sicurezza contenuti nell'aggiornamento di sicurezza 2004-01-26 per Mac OS X 10.3.2 “Panther” non sono contenuti in questo aggiornamento per Jaguar, dal momento che non è interessato da questi problemi.

Aggiornamento di sicurezza 2004-01-26 per Mac OS X 10.3.2 “Panther” e Mac OS X Server 10.3.2

• Apache 1.3: corregge CAN-2003-0542, un overflow del buffer nei moduli mod_alias e mod_rewrite del server web Apache.

• Apache 2: (installato solo su Server) corregge CAN-2003-0542 e CAN-2003-0789 aggiornando Apache 2.0.47 alla versione 2.0.48. Per i dettagli sull'aggiornamento, consulta http://www.apache.org/dist/httpd/Announcement2.html.

• Classic: corregge CAN-2004-0089 per migliorare la gestione delle variabili di ambiente. Ringraziamo Dave G. di @stake per aver segnalato il problema.

• Mail: corregge CAN-2004-0086 per migliorare la sicurezza dell'applicazione di posta elettronica di Apple. Ringraziamo Jim Roepcke per aver segnalato il problema.

• Safari: corregge CAN-2004-0092 grazie a miglioramenti di sicurezza nel browser web di Safari.

• System Configuration: corregge CAN-2004-0087 in cui il sottosistema System Configuration consentiva agli utenti non amministratori remoti di modificare le impostazioni di rete. Ringraziamo Dave G. di @stake per aver segnalato questi problemi.

• Windows File Sharing: corregge CAN-2004-0090 in cui la condivisione file di Windows non si è interrotta correttamente.

• L'aggiornamento di sicurezza 2003-12-19 è stato integrato in questo aggiornamento di sicurezza. Ulteriori miglioramenti alla sicurezza contenuti nell'aggiornamento di sicurezza 2004-01-26 per Mac OS X 10.2.8 “Jaguar” non sono contenuti in questo aggiornamento per Panther, dal momento che non è interessato da questi problemi.

Aggiornamento di sicurezza 2003-12-19 per Mac OS X 10.2.8 “Jaguar” e Mac OS X 10.2.8 Server

• AppleFileServer: corregge CAN-2003-1007 per migliorare la gestione delle richieste non valide.

• cd9660.util: corregge CAN-2003-1006, una vulnerabilità di overflow del buffer nell'utility del file system cd9660.util. Ringraziamo KF di Secure Network Operations per aver segnalato il problema.

• Directory Services: corregge CAN-2003-1009. Le impostazioni predefinite vengono modificate per impedire una connessione involontaria in caso di server DHCP dannosi sulla sottorete locale del computer. Ulteriori informazioni sono disponibili nell'articolo della Knowledge base di Apple: http://docs.info.apple.com/article.html?artnum=32478. Ringraziamo William A. Carrel per aver segnalato il problema.

• Fetchmail: corregge CAN-2003-0792. Vengono forniti aggiornamenti per recuperare la posta che migliora la sua stabilità in determinate condizioni.

• fs_usage: corregge CAN-2003-1010. Lo strumento fs_usage è stato migliorato per evitare una vulnerabilità legata all'escalation dei privilegi locali. Questo strumento viene utilizzato per raccogliere informazioni sulle prestazioni del sistema e richiede privilegi di amministratore per essere eseguito. Ringraziamo Dave G. di @stake per aver segnalato il problema.

• rsync: risolve CAN-2003-0962 migliorando la sicurezza del server rsync.

• System initialization: corregge CAN-2003-1011. Il processo di inizializzazione del sistema è stato migliorato per limitare l'accesso root su un sistema che utilizza una tastiera USB.

Nota: le seguenti correzioni visualizzate in “aggiornamento di sicurezza 2003-12-19 per Panther” non sono incluse in “aggiornamento di sicurezza 2003-12-19 per Jaguar” poiché le versioni di Mac OS X e Mac OS X Server di Apple non sono vulnerabili a questi problemi:

- CAN-2003-1005: decodifica ASN.1 per PKI

- CAN-2003-1008: ritagli di testo salvaschermo

Aggiornamento di sicurezza 2003-12-19 per Mac OS X 10.3.2 “Panther” e Mac OS X 10.3.2 Server

• ASN.1 Decoding for PKI: corregge CAN-2003-1005 che potrebbe causare una potenziale interruzione del servizio quando si ricevono sequenze ASN.1 non valide. Questo è correlato, ma separato da CAN-2003-0851.

• AppleFileServer: corregge CAN-2003-1007 per migliorare la gestione delle richieste non valide.

• cd9660.util: corregge CAN-2003-1006, una vulnerabilità di overflow del buffer nell'utility del file system cd9660.util. Ringraziamo KF di Secure Network Operations per aver segnalato il problema.

• Directory Services: corregge CAN-2003-1009. Le impostazioni predefinite vengono modificate per impedire una connessione involontaria in caso di server DHCP dannosi sulla sottorete locale del computer. Ulteriori informazioni sono disponibili nell'articolo della Knowledge base di Apple: http://docs.info.apple.com/article.html?artnum=32478. Ringraziamo William A. Carrel per aver segnalato il problema.

• Fetchmail: corregge CAN-2003-0792. Vengono forniti aggiornamenti a fetchmail che ne migliorano la stabilità in determinate condizioni.

• fs_usage: corregge CAN-2003-1010. Lo strumento fs_usage è stato migliorato per evitare una vulnerabilità legata all'escalation dei privilegi locali. Questo strumento viene utilizzato per raccogliere informazioni sulle prestazioni del sistema e richiede privilegi di amministratore per essere eseguito. Ringraziamo Dave G. di @stake per aver segnalato il problema.

• rsync: risolve CAN-2003-0962 migliorando la sicurezza del server rsync.

• Screen Saver: corregge CAN-2003-1008. Quando è presente la finestra di login del salvaschermo, non è più possibile scrivere un ritaglio di testo sulla scrivania o su un'applicazione. Ringraziamo Benjamin Kelly per aver segnalato il problema.

• System initialization: corregge CAN-2003-1011. Il processo di inizializzazione del sistema è stato migliorato per limitare l'accesso root su un sistema che utilizza una tastiera USB.

Aggiornamento di sicurezza 2003-12-05

• Safari: corregge CAN-2003-0975 per garantire che Safari fornisca l'accesso alle informazioni sui cookie di un utente solo ai siti web autorizzati. L'aggiornamento è disponibile sia per Mac OS X 10.3.1 che per Mac OS X 10.2.8.

Aggiornamento di sicurezza 2003-11-19 per 10.2.8

La politica di Apple consiste nel risolvere rapidamente le vulnerabilità significative delle versioni precedenti di Mac OS X, ove possibile. L'aggiornamento di sicurezza 2003-11-19 include aggiornamenti a diversi componenti di Mac OS X 10.2 che soddisfano questi criteri.

• gm4: corregge CAN-2001-1411 una vulnerabilità delle stringhe di formato nell'utilità gm4. Nessun programma root con set uid si affidava a gm4 e questa correzione è una misura preventiva contro un possibile exploit futuro.

• groff: corregge CVE-2001-1022 in cui il componente pic groff conteneva una vulnerabilità legata alla stringa di formato.

• Mail: corregge CAN-2003-0881. l'applicazione Mail di Mac OS X non tornerà più al login in testo normale quando un account è configurato per usare la MD5 Challenge Response.

• OpenSSL: corregge CAN-2003-0851, particolari sequenze di analisi ASN.1 non valide sono ora gestite in modo più sicuro.

• Personal File Sharing: corregge CAN-2003-0878 quando la condivisione file personale è abilitata, il daemon slpd non può più creare un file di proprietà root nella directory /tmp per ottenere privilegi elevati.

• QuickTime for Java: corregge CAN-2003-0871, una potenziale vulnerabilità che potrebbe consentire l'accesso non autorizzato a un sistema.

• zlib: risolve CAN-2003-0107. Anche se in MacOS X non erano presenti funzioni che utilizzavano la funzione vulnerabile gzprintf(), il problema sottostante in zlib è stato risolto per proteggere qualsiasi applicazione di terze parti che potrebbe potenzialmente utilizzare questa libreria.

Aggiornamento di sicurezza 2003-11-19 per Panther 10.3.1

• OpenSSL: corregge CAN-2003-0851, particolari sequenze di analisi ASN.1 non valide sono ora gestite in modo più sicuro.

• zlib: risolve CAN-2003-0107. Anche se in MacOS X non erano presenti funzioni che utilizzavano la funzione vulnerabile gzprintf(), il problema sottostante in zlib è stato risolto per proteggere qualsiasi applicazione di terze parti che potrebbe potenzialmente utilizzare questa libreria.

Aggiornamento di sicurezza 2003-11-04

• Terminal: risolve CAN-2003-0913, una potenziale vulnerabilità dell'applicazione Terminal in Mac OS X 10.3 e Mac OS X Server 10.3 che potrebbe consentire l'accesso non autorizzato a un sistema. Le versioni di Mac OS X precedenti alla 10.3 non sono interessate.

Aggiornamento di sicurezza 2003-10-28

• Corregge CAN-2003-0871, una potenziale vulnerabilità nell'implementazione di QuickTime Java in Mac OS X 10.3 e Mac OS X Server 10.3 che potrebbe consentire l'accesso non autorizzato a un sistema.

Mac OS X 10.3 Panther

• Finder: corregge CAN-2003-0876 in cui i permessi delle cartelle potrebbero non essere conservati quando si copia una cartella da un volume attivato come un'immagine disco. Ringraziamo Dave G. di @stake, Inc. per aver rilevato questo problema.

• Kernel: corregge CAN-2003-0877 in cui, se un sistema è in esecuzione con i file principali abilitati, un utente con accesso alla shell interattiva può sovrascrivere file arbitrari e leggere i file principali creati da processi di proprietà di root. Ciò può comportare la compromissione di informazioni sensibili come le credenziali di autenticazione. La creazione dei file core è disabilitata di default su Mac OS X. Ringraziamo Dave G. di @stake, Inc. per aver rilevato questo problema.

• slpd: corregge CAN-2003-0878 quando la funzione Condivisione file personale è abilitata, il daemon slpd può creare un file di proprietà di root nella directory /tmp. Questo potrebbe sovrascrivere un file esistente e consentire a un utente di ottenere privilegi elevati. La funzione Condivisione file personale è disattivata di default in Mac OS X. Ringraziamo Dave G. di @stake, Inc. per aver rilevato questo problema.

• Kernel: corregge CAN-2003-0895 in cui un utente locale potrebbe causare il crash del kernel di Mac OS X specificando un argomento lungo della riga di comando. La macchina si riavvierà da sola dopo alcuni minuti. Ringraziamo Dave G. di @stake, Inc. per aver rilevato questo problema.

• ktrace: corregge CVE-2002-0701 un exploit teorico quando ktrace è abilitato tramite l'opzione del kernel KTRACE: un utente locale potrebbe essere in grado di ottenere informazioni sensibili. Nessuna utility specifica è attualmente nota per essere vulnerabile a questo particolare problema.

• nfs: corregge CVE-2002-0830 per Network File System, in cui un utente remoto potrebbe essere in grado di inviare messaggi RPC che causano il blocco del sistema.

• zlib: risolve CAN-2003-0107. Anche se in Mac OSX non erano presenti funzioni che utilizzavano la funzione vulnerabile gzprintf(), il problema sottostante inzlib è stato risolto.

• gm4: corregge CAN-2001-1411 una vulnerabilità delle stringhe di formato nell'utilità gm4. Nessun programma root con set uid si affidava a gm4 e questa correzione è una misura preventiva contro un possibile exploit futuro.

• OpenSSH: corregge CAN-2003-0386 in cui le restrizioni “from=” e “user@hosts” sono potenzialmente falsificabili tramite DNS inverso per gli indirizzi IP specificati numericamente. Mac OS X 10.3 incorpora anche le correzioni precedenti rilasciate per OpenSSH e la versione di OpenSSH ottenuta tramite il comando “ssh -V” è: OpenSSH_3,6.1p1+CAN-2003-0693, protocolli SSH 1,5/2,0, OpenSSL 0x0090702f

• nidump: corregge CAN-2001-1412 in cui l'utility nidump consente di accedere alle password crittografate utilizzate per autenticare gli accessi.

• System Preferences: corregge CAN-2003-0883 in cui, dopo aver autenticato il dispositivo con una password di amministratore, il sistema continuerà a consentire l'accesso ai pannelli delle preferenze protetti per un breve periodo di tempo. Ciò potrebbe consentire a un utente locale di accedere ai pannelli delle preferenze che normalmente non sarebbe in grado di utilizzare. Nelle preferenze di sicurezza di Mac OS X 10.3, è ora possibile scegliere Require password to unlock each secure system preference (Richiedi password per sbloccare ogni preferenza di sistema sicura). Ringraziamo Anthony Holder per aver segnalato il problema.

• TCP timestamp: corregge CAN-2003-0882 in cui il timestamp TCP viene inizializzato con un numero costante. In questo modo, una persona può scoprire per quanto tempo il sistema è stato attivo in base all'ID nei pacchetti TCP. In Mac OS X 10.3, il timestamp TCP è ora inizializzato con un numero casuale. Ringraziamo Aaron Linville per aver segnalato il problema e aver inviato una correzione tramite il programma open source Darwin.

• Mail: corregge CAN-2003-0881 nell'applicazione Mail di Mac OS X: se un account è configurato per utilizzare MD5 Challenge Response, tenterà di accedere utilizzando CRAM-MD5 ma tornerà automaticamente al testo normale se il login con hash non riesce. Ringraziamo Chris Adams per aver segnalato il problema.

• Dock: risolve CAN-2003-0880 quando l'accesso completo alla tastiera è attivato tramite il pannello tastiera in Preferenze di sistema, le funzioni del Dock sono accessibili senza controllo da dietro gli effetti a schermo.

Mac OS X 10.2.8

• OpenSSL: corregge problemi CAN-2003-0543, CAN-2003-0544, CAN-2003-0545 per risolvere potenziali problemi in alcune strutture ASN.1 e nel codice di verifica dei certificati. Per fornire l'aggiornamento in modo rapido e affidabile, sono state applicate solo le patch per i CVE-ID elencati sopra e non l'intera libreria OpenSSL più recente. Quindi, la versione di OpenSSL in Mac OS X 10.2.8, ottenuta tramite il comando “openssl version”, è: OpenSSL 0.9.6i feb 19 2003

• OpenSSH: risolve CAN-2003-0693, CAN-2003-0695 e CAN-2003-0682 per correggere gli errori di gestione del buffer nelle versioni sshd di OpenSSH precedenti alla 3.7.1. Per fornire l'aggiornamento in modo rapido e affidabile, sono state applicate solo le patch per i CVE-ID elencati sopra e non l'intero set di patch per OpenSSH 3.7.1. Quindi, la versione di OpenSSH in Mac OS X 10.2.8, come ottenuta tramite il comando “ssh -V”, è: OpenSSH_3.4p1+CAN-2003-0693, protocolli SSH 1.5/2.0, OpenSSL 0x0090609f

• sendmail: risolve CAN-2003-0694 e CAN-2003-0681 per correggere un overflow del buffer nell'analisi degli indirizzi, nonché un potenziale overflow del buffer nell'analisi dei set di regole.

• fb_realpath(): corregge CAN-2003-0466, che è un errore off-by-one nella funzione fb_realpath() che può consentire a utenti malintenzionati di eseguire codice arbitrario.

• arplookup(): corregge CAN-2003-0804. La funzione arplookup() memorizza nella cache le richieste ARP per le route su un link locale. Solo su una sottorete locale, è possibile che un utente malintenzionato invii un numero sufficiente di richieste ARP falsificate che esauriscono la memoria del kernel, con conseguente interruzione del servizio.

Per informazioni sugli aggiornamenti di sicurezza precedenti, consulta la sezione “Aggiornamenti di sicurezza: agosto 2003 e versioni precedenti”.