Aggiornamenti di sicurezza Apple (agosto 2003 e versioni precedenti)

In questo documento vengono illustrati gli aggiornamenti di sicurezza per i prodotti Apple. Nota: per proteggere la propria clientela, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari.

Importante: in questo documento sono descritti gli aggiornamenti e le versioni di agosto 2003 (2003-08) e precedenti, come Mac OS X 10.1, 10.2, 10.2.6 e l'aggiornamento di sicurezza 2003-08-14. Per informazioni sugli aggiornamenti di sicurezza più recenti, consulta uno dei seguenti documenti:

Ottenere Mac OS X

Le informazioni su come ottenere Mac OS X sono disponibili sul sito web di Mac OS X (http://www.apple.com/it/macosx/).

Le informazioni su come ottenere Mac OS X sono disponibili sul sito web di Mac OS X (www.apple.com/it/macosx/server/).

Le informazioni sulla chiave PGP per la sicurezza dei prodotti Apple sono disponibili nel documento tecnico 25314, "Come usare la chiave PGP per la sicurezza dei prodotti Apple".

Gli aggiornamenti software sono disponibili tramite:

Aggiornamenti di sicurezza: 2003-08 e precedenti

Gli aggiornamenti di sicurezza sono elencati di seguito in base alla versione software in cui sono stati pubblicati per la prima volta. Quando possibile, vengono utilizzati gli ID CVE (http://cve.mitre.org/cve/) per fornire ulteriori informazioni sulle vulnerabilità.

Per informazioni sugli aggiornamenti di sicurezza più recenti, consulta il documento tecnico 61798, "Aggiornamenti di sicurezza Apple".

Aggiornamento di sicurezza 2003-08-14

  • fb_realpath(): risolve CAN-2003-0466, una potenziale vulnerabilità nella funzione fb_realpath(), in particolare nei progetti FTPServer e Libc, che poteva consentire a un utente locale o remoto di ottenere privilegi di root non autorizzati su un sistema.

Aggiornamento di sicurezza 2003-07-23

  • Corregge CAN-2003-0601 per migliorare la sicurezza del sistema assegnando una password "disabilitata" a un nuovo account creato da Workgroup Manager finché quell'account non viene salvato per la prima volta, impedendo l'accesso a persone non autorizzate.

Aggiornamento di sicurezza 2003-07-14

  • Screen Effects Password: corregge CAN-2003-0518, una potenziale vulnerabilità per cui viene richiesta la password dopo la riattivazione dalla funzione Effetti a tutto schermo. Ciò potrebbe consentire a un utente non autorizzato di accedere alla scrivania dell'utente collegato. Ringraziamo Denis Ahrens per aver segnalato questo problema.

Aggiornamento di sicurezza 2003-06-12 (solo Mac OS X Server)

  • Apache 2.0: corregge CAN-2003-0245 aggiornando Apache dalla versione 2.0.45 alla versione 2.0.46 per risolvere una falla nella sicurezza del modulo mod_dav module che potrebbe essere sfruttata in remoto causando l'arresto anomalo di un processo del server web Apache. Apache 1.3 non è interessato ed è il server web principale su Mac OS X Server. Apache 2.0 è installato con Mac OS X Server, ma è disattivato per impostazione predefinita.

  • dsimportexport: corregge CAN-2003-0420, in cui un utente collegato poteva potenzialmente visualizzare il nome e la password dell'account che eseguiva lo strumento dsimportexport

Aggiornamento di sicurezza 2003-06-09 (versione 2.0)

  • AFP: corregge CAN-2003-0379. Quando Apple File Service (AFP Server) in Mac OS X Server serve file su un volume UFS o NFS ricondiviso, esiste una potenziale vulnerabilità che può consentire a un utente remoto di sovrascrivere file arbitrari.

  • Directory Services: corregge CAN-2003-0378. Quando si accede tramite Kerberos su un server LDAPv3, la password dell'account potrebbe essere inviata in chiaro quando la finestra di accesso tenta nuovamente di effettuare un'associazione semplice al server.

Safari 1.0 Beta 2 (v74)

Mac OS X 10.2.6

  • IPSec: corregge CAN-2003-0242, in cui le policy di sicurezza in entrata che effettuano le corrispondenze per porta non riuscivano a far corrispondere il traffico corretto.

Mac OS X 10.2.5

  • Apache 2.0: corregge CAN-2003-0132, una vulnerabilità che comporta l'interruzione del servizio in Apache dalla versione 2.0 alla versione 2.0.44. Apache 2.0 è distribuito solo conMac OS X Server e non è abilitato per impostazione predefinita.

  • Directory Services: corregge CAN-2003-0171. Escalation dei privilegi DirectoryServices e attacco DoS. DirectoryServices fa parte del sottosistema dei servizi di informazione di Mac OS X e Mac OS X Server. Viene lanciato all'avvio, eseguito come setuid root ed è installato per impostazione predefinita. È possibile che un utente malintenzionato locale modifichi una variabile ambientale in modo da consentire l'esecuzione di comandi arbitrari come root. Ringraziamo Dave G. di @stake, Inc. per aver scoperto questa vulnerabilità.

  • File Sharing/Service: corregge CAN-2003-0198, in cui il contenuto della cartella DropBox in sola scrittura può essere rivelato. Quando la Condivisione file personale su Mac OS X o Apple File Service su Mac OS X Server sono abilitati, per impostazione predefinita è disponibile una cartella "DropBox" che consente alle persone di depositare file. Questo aggiornamento non consente più la modifica dei permessi della cartella "DropBox" da parte di un ospite.

  • OpenSSL: corregge CAN-2003-0131: attacco Klima-Pokorny-Rosa sul padding PKCS #1 v1.5. La patch del team OpenSSL, che risolve questa vulnerabilità, è stata applicata a Mac OS X e Mac OS X Server.

  • Samba: corregge CAN-2003-0201, che poteva consentire a un utente anonimo di ottenere l'accesso root remoto a causa di un overflow del buffer. La condivisione file integrata di Windows si basa sulla tecnologia open source chiamata Samba ed è disattivata per impostazione predefinita in Mac OS X.

  • sendmail: corregge CAN-2003-0161, in cui il codice di analisi dell'indirizzo in sendmail non controlla adeguatamente la lunghezza degli indirizzi email. Alla versione di sendmail attualmente disponibile in Mac OS X e Mac OS X Server viene applicata solo la patch del team sendmail.

QuickTime 6.1 per Windows

  • Corregge CAN-2003-0168, una potenziale vulnerabilità in QuickTime Player per Windows che potrebbe consentire a un utente malintenzionato collegato in remoto di compromettere un sistema di destinazione. Questa violazione può essere sfruttata solo se l'utente malintenzionato riesce a convincere un utente a caricare un URL QuickTime appositamente predisposto. Se ciò avviene, è possibile eseguire codice arbitrario con i privilegi dell'utente di QuickTime.

Aggiornamento di sicurezza 2003-03-24

  • Samba: corregge CAN-2003-0085 e CAN-2003-0086, che potrebbe consentire l'accesso remoto non autorizzato al sistema host. La condivisione file integrata di Windows si basa sulla tecnologia open source chiamata Samba ed è disattivata per impostazione predefinita in Mac OS X. Questo aggiornamento applica le correzioni di sicurezza solo alla versione 2.2.3 di Samba attualmente disponibile su Mac OS X 10.2.4; per il resto, la versione di Samba rimane invariata.

  • OpenSSL: corregge CAN-2003-0147 per risolvere un problema in cui le chiavi private RSA possono essere compromesse durante la comunicazione su LAN, Internet2/Abilene e la comunicazione interprocesso sul computer locale.

Aggiornamento di sicurezza 2003-03-03

  • Sendmail: corregge CAN-2002-1337, in cui un utente malintenzionato remoto poteva ottenere privilegi elevati sugli host interessati. Sendmail non è abilitato per impostazione predefinita su Mac OS X, quindi solo i sistemi che hanno esplicitamente abilitato sendmail sono vulnerabili. Tutti gli utenti Mac OS X, tuttavia, sono invitati ad applicare questo aggiornamento. La correzione di sendmail è disponibile nell'aggiornamento di sicurezza 2003-03-03.

  • OpenSSL: corregge CAN-2003-0078, in cui una terza parte può teoricamente estrarre il testo in chiaro originale dei messaggi crittografati inviati su una rete. L'aggiornamento di sicurezza 2003-03-03 applica questa correzione per Mac OS X 10.2.4; coloro che hanno versioni precedenti di Mac OS X possono ottenere la versione più recente di openssl direttamente dal sito web di OpenSSL: http://www.openssl.org/

Mac OS X 10.2.4 (client)

  • Sendmail: corregge CAN-2002-0906. L'overflow del buffer in Sendmail prima della versione 8.12.5, se configurato per utilizzare una mappa DNS personalizzata per eseguire query nei record TXT, poteva consentire un'interruzione del servizio e potenzialmente consentire l'esecuzione di codice arbitrario. Mac OS X 10.2.4 contiene Sendmail 8.12.6 con la correzione SMRSH applicata per risolvere CAN-2002-1165.

  • AFP: corregge il problema CAN-2003-0049 "Permessi di accesso AFP per l'amministratore di sistema". Fornisce un'opzione in base alla quale un amministratore di sistema può o meno essere autorizzato ad accedere come utente autenticandosi tramite la propria password amministratore. In precedenza, gli amministratori potevano sempre effettuare l'accesso come utenti autenticandosi tramite la propria password amministratore.

  • Classic: corregge CAN-2003-0088, in cui un utente malintenzionato può modificare una variabile ambientale per creare file arbitrari o sovrascrivere file esistenti, ottenendo potenzialmente dei privilegi elevati. Ringraziamo Dave G. di @stake, Inc. per aver scoperto questo problema.

  • Samba: le versioni precedenti di Mac OS X non sono vulnerabili a CAN-2002-1318, un problema nel controllo dei limiti di lunghezza di Samba per la modifica delle password crittografate. Mac OS X attualmente utilizza i servizi di directory per l'autenticazione e non chiama la funzione Samba vulnerabile. Tuttavia, per evitare possibili future vulnerabilità tramite questa funzione, è stata applicata la patch di Samba 2.2.7, sebbene la versione di Samba non sia stata modificata per questa versione di aggiornamento. Ulteriori informazioni sono disponibili qui: http://samba.org/

Mac OS X 10.2.4 Server

  • QuickTime Streaming Server: corregge il problema CAN-2003-0050 relativo all'esecuzione arbitraria di comandi QTSS. QuickTime Streaming Administration Server utilizza l'applicazione parse_xml.cgi per eseguire l'autenticazione e interfacciarsi con l'utente. Questo CGI può passare input non convalidati che potrebbero consentire a un utente malintenzionato remoto di eseguire codice arbitrario sul server e di ottenere privilegi di root. Ringraziamo Dave G. di @stake, Inc. per aver rilevato questa vulnerabilità.

  • QuickTime Streaming Server: corregge il problema CAN-2003-0051 relativo alla rivelazione del percorso fisico QTSS. QuickTime Streaming Administration Server utilizza l'applicazione parse_xml.cgi per eseguire l'autenticazione e interfacciarsi con l'utente. Questo CGI potrebbe essere utilizzato per rivelare il percorso fisico all'interno del quale sono installati i server di amministrazione Darwin/Quicktime. Ringraziamo @stake, Inc. per aver rilevato questa vulnerabilità.

  • QuickTime Streaming Server: corregge il problema CAN-2003-0052 relativo agli elenchi di directory QTSS. QuickTime Streaming Administration Server utilizza l'applicazione parse_xml.cgi per eseguire l'autenticazione e interfacciarsi con l'utente. Questo CGI potrebbe essere utilizzato per rivelare elenchi di directory arbitrari a causa della mancanza di convalida dell'input dell'utente all'interno dell'applicazione. Ringraziamo Ollie Whitehouse di @stake, Inc. per aver rilevato questa vulnerabilità.

  • QuickTime Streaming Server: corregge il problema CAN-2003-0053 relativo alle credenziali di accesso QTSS. QuickTime Streaming Administration Server utilizza l'applicazione parse_xml.cgi per eseguire l'autenticazione e interfacciarsi con l'utente. Una vulnerabilità nella gestione dei messaggi di errore provenienti da questo CGI potrebbe essere utilizzata in un attacco di cross-site scripting per ottenere credenziali di accesso valide. Ringraziamo Ollie Whitehouse di @stake, Inc. per aver rilevato questa vulnerabilità.

  • QuickTime Streaming Server: corregge il problema CAN-2003-0054 relativo all'esecuzione arbitraria di codice quando si visualizzano i log QTSS. Se un utente non autenticato di QuickTime Streaming Server effettua una richiesta alla porta di streaming, la richiesta viene scritta nel file di log. È possibile predisporre la richiesta in modo tale che il codice arbitrario possa essere eseguito quando i log vengono visualizzati dall'amministratore di sistema tramite un browser. Ringraziamo Ollie Whitehouse di @stake, Inc. per aver rilevato questa vulnerabilità.

  • QuickTime Streaming Server: corregge il problema CAN-2003-0055 relativo all'overflow del buffer nell'applicazione MP3 Broadcasting. Si verifica un overflow del buffer nell'applicazione MP3Broadcaster indipendente. Un file MP3 con un nome file superiore a 256 byte causa un overflow del buffer. Ciò potrebbe essere utilizzato dagli utenti locali/ftp per ottenere privilegi elevati. Ringraziamo Ollie Whitehouse di @stake, Inc. per aver rilevato questa vulnerabilità.

  • Sendmail: corregge CAN-2002-0906. L'overflow del buffer in Sendmail prima della versione 8.12.5, se configurato per utilizzare una mappa DNS personalizzata per eseguire query nei record TXT, poteva consentire un'interruzione del servizio ed eventualmente consentire l'esecuzione di codice arbitrario. Mac OS X 10.2.4 contiene Sendmail 8.12.6 con la correzione SMRSH applicata per risolvere CAN-2002-1165.

  • AFP: corregge il problema CAN-2003-0049 "Permessi di accesso AFP per l'amministratore di sistema". Fornisce un'opzione in base alla quale un amministratore di sistema può o meno essere autorizzato ad accedere come utente autenticandosi tramite la propria password amministratore. In precedenza, gli amministratori potevano sempre effettuare l'accesso come utenti autenticandosi tramite la propria password amministratore.

  • Classic: corregge CAN-2003-0088, in cui un utente malintenzionato può modificare una variabile ambientale per creare file arbitrari o sovrascrivere file esistenti, ottenendo potenzialmente dei privilegi elevati. Ringraziamo Dave G. di @stake, Inc. per aver scoperto questo problema.

  • Samba: le versioni precedenti di Mac OS X non sono vulnerabili a CAN-2002-1318, un problema nel controllo dei limiti di lunghezza di Samba per la modifica delle password crittografate. Mac OS X attualmente utilizza i servizi di directory per l'autenticazione e non chiama la funzione Samba vulnerabile. Tuttavia, per evitare possibili future vulnerabilità tramite questa funzione, è stata applicata la patch di Samba 2.2.7, sebbene la versione di Samba non sia stata modificata per questa versione di aggiornamento. Ulteriori informazioni sono disponibili qui: http://samba.org/

  • Integrated WebDAV Digest Authentication: è stato aggiunto il modulo mod_digest_apple di Apache per abilitare più facilmente l'autenticazione digest per un'area di autenticazione WebDAV esistente. Ciò elimina la necessità di mantenere un file digest separato contenente l'elenco degli utenti autorizzati, delle password e delle aree di autenticazione. mod_digest_apple funziona in coordinamento con Open Directory per l'autenticazione dell'utente. Per ulteriori dettagli, apri Help Viewer dopo aver installato Mac OS X Server versione 10.2.4, seleziona Mac OS X Server Help nel drawer e cerca "New: Enabling Integrated WebDAV Digest Authentication".

Mac OS X 10.2.3

  • fetchmail: corregge CAN-2002-1174 e CAN-2002-1175, che potrebbero causare una potenziale interruzione del servizio quando si utilizza lo strumento da riga di comando fetchmail. fetchmail è aggiornato alla versione 6.1.2+IMAP-GSS+SSL+INET6

  • CUPS: fornisce correzioni per i seguenti potenziali problemi che potrebbero essere sfruttati in remoto quando è abilitata la Condivisione stampante. La Condivisione stampante non è abilitata per impostazione predefinita su Mac OS X o Mac OS X Server.

  • CAN-2002-1383: più overflow di numeri interi

  • CAN-2002-1366: race condition /etc/cups/certs/

  • CAN-2002-1367: aggiunta di stampanti con pacchetti UDP

  • CAN-2002-1368: chiamate Memcpy() di lunghezza negativa

  • CAN-2002-1384: overflow di numeri interi nel filtro pdftops e Xpdf

  • CAN-2002-1369: chiamata della funzione Strncat non sicura in jobs.c

  • CAN-2002-1370: difetto di progettazione del certificato root

  • CAN-2002-1371: immagini zero width in filters/image-gif.c

  • CAN-2002-1372: perdite di risorse del descrittore di file

Aggiornamento di sicurezza 2002-11-21

BIND: aggiornato alla versione 8.3.4 per correggere potenziali vulnerabilità nel server di dominio e nella libreria client di Internet Software Consortium (ISC) disponibile con Mac OS X e Mac OS X Server. BIND non è attivato di default su Mac OS X o Mac OS X Server.

CVE IDs: CAN-2002-1219, CAN-2002-1220, CAN-2002-1221, CAN-2002-0029

Ulteriori informazioni sono disponibili qui:http://www.cert.org/advisories/CA-2002-31.htmlhttp://www.kb.cert.org/vuls/id/457875

Mac OS X 10.2.2 Questo aggiornamento risolve i seguenti potenziali problemi di sicurezza:

  • CAN-2002-1266: elevazione dei privilegi dell'utente locale tramite file immagine disco. Un utente locale può ottenere privilegi elevati su un sistema aprendo un file immagine disco creato su un altro computer con privilegi di livello amministratore.

  • CAN-2002-0830: si tratta di FreeBSD-SA-02:36.nfs, una potenziale vulnerabilità in Network File System (NFS) in cui un utente malintenzionato remoto può causare un'interruzione del servizio.

  • IP Firewall: in determinate circostanze, il firewall ipfw integrato in Mac OS X potrebbe bloccare i pacchetti esplicitamente consentiti dalle regole del firewall. Ciò non soddisfa i requisiti formali di una vulnerabilità della sicurezza e non ottiene un ID CVE.

  • CAN-2002-1267: CUPS Printing Web Administration è accessibile in remoto Un utente malintenzionato potrebbe accedere alla porta per eseguire l'utilità CUPS Printing Web Administration. Sarebbe quindi possibile causare un'interruzione di servizio a una stampante.

  • CAN-2002-1268: elevazione dei privilegi utente tramite il montaggio di un CD ISO 9600. Gli utenti potrebbero ottenere privilegi elevati quando accedono a un sistema che ha un CD ISO 9600 disponibile per il file system.

  • CAN-2002-1269: l'applicazione NetInfo Manager potrebbe consentire l'accesso al file system. Una vulnerabilità di sicurezza nell'applicazione NetInfo Manager potrebbe consentire a un utente malintenzionato di esplorare il file system.

  • CAN-2002-1270: la chiamata del sistema map_fd() può far sì che un file venga letto. La chiamata del sistema map_fd() Mach può consentire a una persona che effettua una chiamata di leggere un file per il quale ha solo un accesso in scrittura.

  • CAN-2002-1265: problema TCP in RPC. L'implementazione libc basata su RPC potrebbe non riuscire a leggere correttamente i dati dalle connessioni TCP. Di conseguenza, un utente malintenzionato collegato in remoto potrebbe causare un'interruzione del servizio ai system daemon. Ulteriori informazioni sono disponibili in CERT VU#266817 qui: http://www.kb.cert.org/vuls/id/266817

  • CAN-2002-0839, CAN-2002-0840, CAN-2002-0843: Apache. Apache è stato aggiornato alla versione 1.3.27 per risolvere una serie di problemi.

Mac OS X Server 10.2.2

  • Include tutte le correzioni di sicurezza indicate in Mac OS X 10.2.2, oltre a CAN-2002-0661, CAN-2002-0654, CAN-2002-0654: Apache 2. Apache 2 viene fornito con Mac OS X Server, ma non è abilitato per impostazione predefinita. La versione è stata aggiornata ad Apache 2.0.42 per risolvere una serie di problemi.

Aggiornamento di sicurezza 2002-10-15 relativo a StuffIt Expander

  • Stuffit Expander: CAN-2002-0370. Questo aggiornamento risolve una potenziale vulnerabilità della sicurezza nella versione 6.5.2 e precedenti di Stuffit Expander. Ulteriori informazioni sono disponibili qui: http://www.kb.cert.org/vuls/id/383779.

Aggiornamento di sicurezza 2002-09-20

  • Terminal: questo aggiornamento risolve una potenziale vulnerabilità introdotta in Terminal 1.3 (v81) fornito con Mac OS X 10.2, che potrebbe consentire a un utente malintenzionato di eseguire in remoto comandi arbitrari sul sistema dell'utente. Terminal è stato aggiornato alla versione 1.3.1 (v82) con questo aggiornamento di sicurezza.

Aggiornamento di sicurezza 2002-08-23

  • Questo aggiornamento di sicurezza è per Mac OS X 10.2 e applica le correzioni contenute nell'aggiornamento di sicurezza 2002-08-02 per Mac OS X 10.1.5.

Aggiornamento di sicurezza 2002-08-20

  • Secure Transport: questo aggiornamento migliora la verifica del certificato in OS X e ora è pienamente conforme al certificato dell'infrastruttura a chiave pubblica Internet X.509 e al profilo CRL (RFC2459).

Aggiornamento di sicurezza 2002-08-02

Questo aggiornamento risolve le seguenti vulnerabilità di sicurezza, che interessano le attuali versioni di Mac OS X Server. Questi servizi sono disattivati ​​per impostazione predefinita nel client Mac OS X; tuttavia, se questi servizi sono attivati, il client diventa vulnerabile. Anche gli utenti del client Mac OS X dovrebbero installare questo aggiornamento.

Aggiornamento di sicurezza 7-18-02 (2002-07-18)

  • Software Update: contiene il client di aggiornamento software 1.4.7 che aggiunge la verifica della firma crittografica allo strumento da riga di comando softwareupdate. Ciò fornisce un mezzo aggiuntivo per eseguire gli aggiornamenti software in modo sicuro, oltre alla funzionalità di aggiornamento software esistente contenuto nelle Preferenze di Sistema.

Aggiornamento di sicurezza 7-12-02 (2002-07-12)

  • Software Update: corregge CVE ID CAN-2002-0676 per aumentare la sicurezza del processo di aggiornamento software per i sistemi con il client di aggiornamento software 1.4.5 o precedente. I pacchetti presentati tramite il meccanismo di aggiornamento software sono ora firmati crittograficamente e il nuovo client di Aggiornamento Software 1.4.6 verifica la presenza di una firma valida prima di installare nuovi pacchetti.

Aggiornamento di sicurezza di luglio 2002 (2002-07)

  • Apache: corregge CVE ID CAN-2002-0392, che consente agli utenti malintenzionati in remoto di causare un'interruzione del servizio ed eseguire codice arbitrario. Ulteriori dettagli sono disponibili qui: http://www.cert.org/advisories/CA-2002-17.html

  • OpenSSH: corregge due vulnerabilità, CAN-2002-0639 e CAN-2002-0640, in cui un intruso in remoto può essere in grado di eseguire codice arbitrario sul sistema locale. Ulteriori dettagli sono disponibili qui: http://www.cert.org/advisories/CA-2002-18.html

Mac OS X 10.1.5

  • sudo - Corregge CAN-2002-0184, in cui un overflow della memoria heap in sudo può consentire agli utenti locali di ottenere privilegi di root tramite caratteri speciali nell'argomento -p (prompt).

  • sendmail - Corregge CVE-2001-0653, in cui è presente un errore di convalida dell'input nella funzionalità di debug di Sendmail che poteva provocare una compromissione del sistema.

Aggiornamento di sicurezza di Internet Explorer 5.1 (2002-04)

  • Risolve una vulnerabilità che potrebbe consentire a un utente malintenzionato di prendere il controllo del computer. Poiché Microsoft ha interrotto il supporto e lo sviluppo di Internet Explorer per Mac, considera la possibilità di passare a Safari.

Mac OS X 10.1.4

  • TCP/IP broadcast: risolve CAN-2002-0381 in modo che le connessioni TCP/IP ora controllino e blocchino gli indirizzi di destinazione IP broadcast o multicast. Ulteriori dettagli sono disponibili qui: http://www.FreeBSD.org/cgi/query-pr.cgi?pr=35022

Aggiornamento di sicurezza di aprile 2002 (2002-04)

  • Apache - Aggiornato alla versione 1.3.23 in modo da includere la correzione mod_ssl security.

  • Apache Mod_SSL - Aggiornato alla versione 2.8.7-1.3.23 per risolvere la vulnerabilità dell'overflow del buffer CAN-2002-0082 che poteva potenzialmente essere utilizzata per eseguire codice arbitrario. Ulteriori dettagli sono disponibili qui: http://archives.neohapsis.com/archives/bugtraq/2002-02/0313.html

  • groff - Aggiornato alla versione 1.17.2 per risolvere la vulnerabilità CAN-2002-0003, a causa della quale un utente malintenzionato poteva ottenere i diritti come utente 'lp' da remoto. Ulteriori dettagli sono disponibili qui: http://online.securityfocus.com/advisories/3859

  • mail_cmds - Aggiornato per correggere una vulnerabilità a causa della quale gli utenti potevano essere aggiunti al gruppo di posta

  • OpenSSH - Aggiornato alla versione 3.1p1 per risolvere la vulnerabilità CAN-2002-0083, a causa della quale un utente malintenzionato poteva influenzare i contenuti della memoria. Ulteriori dettagli sono disponibili qui: http://www.pine.nl/advisories/pine-cert-20020301.html

  • PHP - Aggiornato alla versione 4.1.2 per risolvere la vulnerabilità CAN-2002-0081, che poteva consentire a un intruso di eseguire codice arbitrario con i privilegi del server web. Ulteriori dettagli sono disponibili qui: http://www.cert.org/advisories/CA-2002-05.html

  • rsync - Aggiornato alla versione 2.5.2 per risolvere la vulnerabilità CAN-2002-0048, che poteva causare la corruzione dello stack ed eventualmente all'esecuzione di codice arbitrario come utente root. Ulteriori dettagli sono disponibili qui: ftp://ftp.FreeBSD.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-02:10.rsync.asc

  • sudo - Aggiornato alla versione 1.6.5p2 per risolvere la vulnerabilità CAN-2002-0043, a causa della quale un utente locale poteva ottenere privilegi da superutente. Ulteriori dettagli sono disponibili qui: ftp://ftp.FreeBSD.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-02:06.sudo.asc

Mac OS X 10.1.3

  • openssh - Aggiornato alla versione 3.0.2p1 per risolvere diverse vulnerabilità nella versione precedente. Per i dettagli, consulta: http://www.openssh.com/security.html

  • WebDAV - Estesa la modalità di autenticazione digest per funzionare con altri server

Aggiornamento di sicurezza 10-19-01 per Mac OS X 10.1 (2001-10-19)

Internet Explorer 5.1.1

Mac OS X 10.1

Mac OS X Server 10.1

  • MySQL 3.23.42 - Contiene una serie di correzioni della versione precedente. Consulta la sezione 3.23.42 sul sito MySQL (http://www.mysql.com/downloads/mysql-3.23.html) per i dettagli.

  • Tomcat 3.2.3 - Contiene una serie di correzioni della versione precedente. Visita il sito di Tomcat (http://jakarta.apache.org/tomcat/) per i dettagli.

  • Apache - Corretta la vulnerabilità del file .DS_Store file descritta in http://securityfocus.com/bid/3324

  • Apache - Corretta la potenziale vulnerabilità per cui i file .htaccess potevano essere visibili ai browser web se creati su volumi HFS+. La direttiva files nel file http.conf è stata modificata per impedire la visibilità di tutti i file i cui nomi iniziano con .ht nei web browser, indipendentemente dalla distinzione tra maiuscole e minuscole.

Aggiornamento 1.0 di Condivisione web per Mac OS X

Aggiornamento di Mac OS X 10.0.4 Server

Mac OS X 10.0.2

Mac OS X 10.0.1

  • OpenSSH-2.3.0p1 - I servizi SSH sono abilitati tramite il pannello Condivisione nelle Preferenze di Sistema

Mac OS Runtime per Java (MRJ) 2.2.5

  • MRJ 2.2.5 - Corregge un problema di sicurezza che consentiva ad applet non autorizzati di accedere agli appunti di sistema.

Data di pubblicazione: