Säkerhetsuppdateringar från Apple (3 oktober 2003 till 11 januari 2005)

I det här dokumentet beskrivs säkerhetsuppdateringar för Apple-produkter som släppts mellan 3 oktober 2003 till 11 januari 2005.

Viktigt! Mer information om senare (nyare) säkerhetsuppdateringar finns i Apples säkerhetssläpp.

Mer information om tidigare säkerhetsuppdateringar finns i Apples säkerhetssläpp: augusti 2003 och tidigare.

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga buggfixar eller utgåvor är tillgängliga. Mer information om Apple Product Security finns på Apple Inc.-webbplatsen Product Security Incident Response.

PGP-nyckel för Apple Product Security

Mer information finns i Så här använder du en PGP-nyckel från Apple Product Security.

Säkerhetsuppdateringar

Säkerhetsuppdateringar anges nedan efter den mjukvaruversion där de först visades. Om möjligt används CVE-ID:n som referenser till ytterligare information om säkerhetsproblem.

iTunes 4.7.1

Tillgänglig för: Mac OS X, Microsoft Windows XP, Microsoft Windows 2000

CVE-ID: CAN-2005-0043

Effekt: Skadliga spellistor kan få iTunes att krascha och skulle kunna köra opålitlig kod.

Beskrivning: iTunes har stöd för flera vanliga spellisteformat. Med iTunes 4.7.1 åtgärdas ett buffertspill i tolkningen av m3u- och pls-spellistefiler som kunde göra det möjligt för tidigare versioner av iTunes att krascha och köra opålitlig kod. Tack till Sean de Regge (seanderegge[snabel-a]hotmail.com) som upptäckte problemet och iDEFENSE Labs som rapporterade det till oss.

Säkerhetsuppdatering 2004-12-02

Apache

Tillgänglig för: Mac OS X Server 10.3.6, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1082

Effekt: Autentisering med Apache mod_digest_apple är sårbar för repetitionsattacker.

Beskrivning: Mac OS X Server-specifika mod_digest_apple baseras på Apaches mod_digest. Flera åtgärder angående ett repetitionsproblem i mod_digest gjordes i versionerna 1.3.31 och 1.3.32 av Apache (CAN-2003-0987). Med uppdateringen åtgärdas repetitionsproblemet vid autentisering med mod_digest_apple med hjälp av ändringarna som gjorts i Apache 1.3.32.

Apache

Tillgänglig för: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2003-0020, CAN-2003-0987, CAN-2004-0174, CAN-2004-0488, CAN-2004-0492, CAN-2004-0885, CAN-2004-0940

Effekt: Flera sårbarheter i Apache och mod_ssl, bland annat lokal behörighetseskalering, fjärröverbelastningsangrepp och, i vissa modifierade konfigurationer, körning av opålitlig kod.

Beskrivning: Apache Group åtgärdade ett antal sårbarheter mellan version 1.3.29 och 1.3.33. Apache Groups säkerhetssida för Apache 1.3 finns på http://www.apacheweek.com/features/security-13. Den tidigare installerade versionen av Apache var 1.3.29. I standardinstallationen av Apache aktiveras inte mod_ssl. Med uppdateringen åtgärdas alla tillämpliga problem genom uppdatering av Apache till version 1.3.33 och tillhörande mod_ssl till version 2.8.22.

Apache

Tillgänglig för: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1083

Effekt: Åtkomsten till .DS_Store-filer och filer som börjar med .ht blockerades inte helt i Apache-konfigurationer.

Beskrivning: I en Apache-standardkonfiguration blockeras åtkomst till filer som börjar med .ht på ett skiftlägeskänsligt sätt. Filåtkomsten i filsystemet Apple HFS+ är inte skiftlägeskänslig. Det kan också skapas .DS_Store-filer i Finder som innehåller namnen på filer på platser som används för att visa webbsidor. Med uppdateringen ändras Apache-konfigurationen så att åtkomsten till alla filer som börjar med .ht eller .DS_S begränsas, oavsett skiftläge. Mer …

Apache

Tillgänglig för: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1084

Effekt: Fildata och resursfildelsinnehåll kan hämtas via HTTP, vilket kringgår Apaches vanliga filhanterare.

Beskrivning: I filsystemet Apple HFS+ kan filer ha flera dataströmmar. Dessa dataströmmar kan nås direkt med hjälp av särskilda filnamn. Apaches filhanterare kan kringgås genom en specifikt utformad HTTP-förfrågan, vilket ger direkt åtkomst till fildata eller resursfildelsinnehåll. Med uppdateringen ändras Apache-konfigurationen så att förfrågningar om fildata eller resursfildelsinnehåll via deras särskilda filnamn nekas. Mer information finns i det här dokumentet. Tack till NetSec som rapporterade problemet.

Apache 2

Tillgänglig för: Mac OS X Server 10.3.6, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0747, CAN-2004-0786, CAN-2004-0751, CAN-2004-0748

Effekt: En behörighetseskalering för lokala användare och fjärröverbelastningsangrepp kunde tillåtas i modifierade Apache 2-konfigurationer.

Beskrivning: I en kundmodifierad Apache 2-konfiguration, där AllowOverride har aktiverats, kunde det vara möjligt för en lokal användare att köra opålitlig kod som Apache-användaren (www-användaren). En icke-modifierad konfiguration är inte sårbar för det här problemet. Med uppdateringen åtgärdas även fel i Apache där vissa typer av förfrågningar att krascha servern kunde tillåtas. Apache uppdateras till version 2.0.52. Apache 2 levereras endast med Mac OS X Server och är avaktiverad som standard.

Appkit

Tillgänglig för: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1081

Effekt: Tecken som anges i ett säkert textfält kan läsas av andra program i samma fönstersession.

Beskrivning: I vissa fall aktiveras inte säker inmatning på ett korrekt sätt för ett säkert textinmatningsfält. På grund av detta kan vissa inmatningstecken och tangentbordshändelser visas för andra program i samma fönstersession. Inmatning i säkra textfält är nu aktiverat på ett sätt som förhindrar läckage av viktig knapptryckningsinformation.

Appkit

Tillgänglig för: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0803, CAN-2004-0804, CAN-2004-0886

Effekt: Körning av opålitlig kod eller överbelastningsangrepp kunde tillåtas genom heltalsspill och dålig kontroll av intervall vid tiff-hantering.

Beskrivning: Säkerhetsbrister vid avkodning av tiff-bilder kunde leda till överskrivning av minnet, beräkningsfel som resulterar i en krasch eller körning av opålitlig kod. Med uppdateringen åtgärdas problemen vid hanteringen av tiff-bilder.

Cyrus IMAP

Tillgänglig för: Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1089

Effekt: När Kerberos-autentisering med Cyrus IMAP användes kunde en autentiserad användare få obehörig åtkomst till andra brevlådor i samma system.

Beskrivning: När en Kerberos-autentiseringsmekanismen användes med Cyrus IMAP-servern kunde en användare byta brevlåda efter autentisering och få åtkomst till andra brevlådor i samma system. Med uppdateringen binds brevlådan till den autentiserade användaren. Det här serverspecifika problemet finns inte på Mac OS X Server 10.2.8. Tack till johan.gradvall@gothia.se som rapporterade problemet.

HIToolbox

Tillgänglig för: Mac OS X 10.3.6, Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1085

Effekt: Användare kan avsluta program i kioskläge.

Beskrivning: En särskild tangentkombination gjorde det möjligt för användare att få upp fönstret Tvångsavsluta trots att enheten var i kioskläge. Med uppdateringen blockeras alla tangentkombinationer för att få upp fönstret Tvångsavsluta i kioskläge. Problemet finns inte på Mac OS X 10.2.8 eller Mac OS X Server 10.2.8. Tack till Glenn Blauvelt på University of Colorado i Boulder som rapporterade problemet.

Kerberos

Tillgänglig för: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0642, CAN-2004-0643, CAN-2004-0644, CAN-2004-0772

Effekt: Exponering för ett potentiellt överbelastningsangrepp när Kerberos-autentisering används.

Beskrivning: MIT har släppt en ny version av Kerberos där ett överbelastningsproblem och tre double free-fel åtgärdas. I Mac OS X finns skydd mot double free-fel. I uppdateringen tillämpas lösningen för överbelastningsproblemet. Som en försiktighetsåtgärd har även programkorrigeringarna mot double free-felen tillämpats. Tack till MIT Kerberos-utvecklarteamet som rapporterade problemet och tillhandahöll lösningar.

Postfix

Tillgänglig för: Mac OS X 10.3.6, Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1088

Effekt: När Postfix används med CRAM-MD5 kan fjärranvändare tillåtas att skicka e-post utan korrekt autentisering.

Beskrivning: Postfix-servrar som använder CRAM-MD5 för att autentisera avsändare var sårbara för en repetitionsattack. Under vissa omständigheter kunde de inloggningsuppgifter som används för att autentisera en användare återanvändas under en kort tid. CRAM-MD5-algoritmen som används för att autentisera användare har uppdaterats så att tidsfönstret för repetition förhindras. Det här problemet finns inte på Mac OS X 10.2.8 eller Mac OS X Server 10.2.8. Tack till Victor Duchovni på Morgan Stanley som rapporterade problemet.

PSNormalizer

Tillgänglig för: Mac OS X 10.3.6, Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1086

Effekt: Körning av opålitlig kod kunde tillåtas genom ett buffertspill i konverteringen från PostScript till PDF.

Beskrivning: Körning av opålitlig kod kunde potentiellt tillåtas genom ett buffertspill vid hanteringen av konvertering från PostScript till PDF. Med uppdateringen korrigeras koden för konvertering från PostScript till PDF för att förhindra buffertspill. Det här problemet finns inte på Mac OS X 10.2.8 eller Mac OS X Server 10.2.8.

QuickTime Streaming Server

Tillgänglig för: Mac OS X Server 10.3.6, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1123

Effekt: Specifikt utformade förfrågningar kan orsaka överbelastning.

Beskrivning: QuickTime Streaming Server var sårbar för ett överbelastningsangrepp vid hantering av DESCRIBE-förfrågningar. Med uppdateringen åtgärdas hanteringen av de här förfrågningarna. Tack till iDEFENSE som rapporterade problemet.

Safari

Tillgänglig för: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1121

Effekt: Specifikt utformad HTML kan visa en vilseledande URI i statusfältet i Safari.

Beskrivning: Det gick att manipulera Safari till att visa en URI i statusfältet som inte var samma som målet för en länk. Med uppdateringen korrigeras Safari så att den URI som aktiveras när den väljs är den som visas.

Safari

Tillgänglig för: Mac OS X 10.3.6, Mac OS X Server 10.3.6, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-1122

Effekt: Med flera aktiva webbläsarfönster kunde Safari-användare vilseledas om vilket fönster som aktiverade ett popupfönster.

Beskrivning: När flera Safari-fönster är öppna kunde ett noggrant tajmat popupfönster vilseleda en användare att tro att det aktiverades av en annan webbplats. Med den här uppdateringen placeras nu ett fönster i Safari som aktiverar ett popupfönster framför alla andra webbläsarfönster. Tack till Secunia Research som rapporterade problemet.

Terminal

Tillgänglig för: Mac OS X 10.3.6 och Mac OS X Server 10.3.6

CVE-ID: CAN-2004-1087

Effekt: Terminal kan indikera att Säker tangentbordsinmatning är aktiv när den inte är det.

Beskrivning: Menyinställningen Säker tangentbordsinmatning återställdes inte korrekt när Terminal.app startades. En bockmarkering visades bredvid Säker tangentbordsinmatning trots att funktionen inte var aktiverad. Med uppdateringen åtgärdas beteendet hos Säker tangentbordsinmatning. Det här problemet finns inte på Mac OS X 10.2.8 eller Mac OS X Server 10.2.8. Tack till Jonathan ”Wolf” Rentzsch på Red Shed Software som rapporterade problemet.

iCal 1.5.4

CVE-ID: CAN-2004-1021

Effekt: Alarm för nya iCal-kalendrar kan läggas till utan att godkännas.

Beskrivning: iCal-kalendrar kan innehålla meddelanden om händelser via alarm. Det går att öppna program och skicka e-post genom de här alarmen. iCal har uppdaterats så att ett varningsfönster visas när kalendrar som innehåller alarm importeras eller öppnas. iCal 1.5.4 är tillgängligt för Mac OS X 10.2.3 eller senare. Tack till aaron@vtty.com som rapporterade problemet.

Säkerhetsuppdatering 2004-10-27

Apple Remote Desktop

Tillgängligt för: Apple Remote Desktop Client 1.2.4 med Mac OS X 10.3.x

CVE-ID: CAN-2004-0962

Effekt: Ett program kan startas bakom inloggningsfönstret och körs då som rot.

Beskrivning: För ett system som uppfyller följande villkor:

• Apple Remote Desktop-klient har installerats

• En användare i klientsystemet har aktiverats med behörigheten Starta och avsluta appar

• ARD-användarens användarnamn och lösenord är kända

• Snabbt användarbyte har aktiverats

• En användare är inloggad och inloggningsfönstret är aktivt via Snabbt användarbyte

GUI-programmet skulle köras som rot bakom inloggningsfönstret om administratörsprogrammet för Apple Remote Desktop på ett annat system används för att starta ett GUI-program på klienten. Med uppdateringen förhindras Apple Remote Desktop från att starta program när inloggningsfönstret är aktivt. Den här säkerhetsförbättringen finns också på Apple Remote Desktop 2.1. Problemet påverkar inte system före Mac OS X 10.3. Tack till Andrew Nakhla och Secunia Research som rapporterade problemet.

QuickTime 6.5.2

CVE-ID: CAN-2004-0988

Tillgänglig för: Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME och Microsoft Windows 98

Effekt: Ett heltalsspill som kan utnyttjas i en HTML-miljö.

Beskrivning: En teckenförlängning av ett spillt litet heltal kan leda till att ett mycket stort nummer överförs till en minnesflyttningsfunktion. Med lösningen förhindras det lilla heltalet från att spilla över. Det här problemet finns inte i QuickTime för Mac OS X-system. Tack till John Heasman på Next Generation Security Software Ltd. som rapporterade problemet.

CVE-ID: CAN-2004-0926

Tillgänglig för: Mac OS X 10.3.x, Mac OS X Server 10.3.x, Mac OS X 10.2.8, Mac OS X Server 10.2.8, Microsoft Windows XP, Microsoft Windows 2000, Microsoft Windows ME och Microsoft Windows 98

Effekt: Ett heapbuffertspill kunde göra det möjligt för angripare att köra opålitlig kod.

Beskrivning: Säkerhetsbrister vid avkodningen av bildtypen BMP kunde skriva över heapminne och potentiellt tillåta körning av opålitlig kod som döljs i en bild. Det här är samma säkerhetsförbättring som gjordes tillgänglig i Säkerhetsuppdatering 2004-09-30, och den kan driftsättas på de ytterligare systemkonfigurationer som täcks av den här QuickTime-uppdateringen.

Säkerhetsuppdatering 2004-09-30 (släpptes 2004-10-04)

AFP Server

Tillgänglig för: Mac OS X 10.3.5 och Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0921

Effekt: Ett överbelastningsangrepp gör det möjligt för en gäst att koppla bort AFP-volymer

Beskrivning: En AFP-volym som monterats av en gäst kunde användas för att avsluta autentiserade användarmonteringar från samma server genom modifiering av SessionDestroy-paket. Problemet påverkar inte system före Mac OS X 10.3 eller Mac OS X Server 10.3.

AFP Server

Tillgänglig för: Mac OS X 10.3.5 och Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0922

Effekt: Läs-/skrivåtkomst kan ges för en skrivskyddad AFP-brevlådemapp.

Beskrivning: Läs-/skrivåtkomst kan ibland ges för en skrivskyddad brevlådemapp på en AFP-volym som monterats av en gäst på grund av en felaktig inställning av gästgruppens ID. Problemet påverkar inte system före Mac OS X 10.3 eller Mac OS X Server 10.3.

CUPS

Tillgänglig för: Mac OS X 10.3.5, Mac OS X Server 10.3.5, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0558

Effekt: Ett överbelastningsangrepp får utskriftssystemet att hänga sig

Beskrivning: Implementering av IPP (Internet Printing Protocol) i CUPS kan hänga sig när ett visst UDP-paket skickas till IPP-porten.

CUPS

Tillgänglig för: Mac OS X 10.3.5, Mac OS X Server 10.3.5, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0923

Effekt: Användarlösenord avslöjas lokalt

Beskrivning: Vissa metoder för autentiserad fjärrutskrift kan leda till att användarlösenord avslöjas i utskriftssystemets loggfiler. Tack till Gary Smith på IT Services-avdelningen på Glasgow Caledonian University som rapporterade problemet.

NetInfo Manager

Tillgänglig för: Mac OS X 10.3.5 och Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0924

Effekt: Felaktig indikation på användarstatus

Beskrivning: Verktyget NetInfo Manager kan aktivera rotanvändaren, men efter en enda rotinloggning är det inte längre möjligt att använda NetInfo Manager för att avaktivera användaren och den verkar felaktigt vara avaktiverad. Problemet påverkar inte system före Mac OS X 10.3 eller Mac OS X Server 10.3.

postfix

Tillgänglig för: Mac OS X 10.3.5 och Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0925

Effekt: Ett överbelastningsangrepp när SMTPD AUTH har aktiverats

Beskrivning: När SMTPD AUTH har aktiverats i postfix raderas inte en buffert som innehåller användarnamnet korrekt mellan autentiseringsförsök. Endast användare med de längsta användarnamnen kan då autentiseras. Problemet påverkar inte system före Mac OS X 10.3 eller Mac OS X Server 10.3. Tack till Michael Rondinelli på EyeSee360 som rapporterade problemet.

QuickTime

Tillgänglig för: Mac OS X 10.3.5, Mac OS X Server 10.3.5, Mac OS X 10.2.8, Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0926

Effekt: Ett heapbuffertspill kunde göra det möjligt för angripare att köra opålitlig kod.

Beskrivning: Säkerhetsbrister vid avkodningen av bildtypen BMP kunde skriva över heapminne och potentiellt tillåta körning av opålitlig kod som döljs i en bild.

ServerAdmin

Tillgänglig för: Mac OS X Server 10.3.5 och Mac OS X Server 10.2.8

CVE-ID: CAN-2004-0927

Effekt: Kommunikation mellan klient och server med ServerAdmin kan läsas genom avkodning av inspelade sessioner.

Beskrivning: Vid kommunikation mellan klient och server med ServerAdmin används SSL. Alla system levereras med samma exempel på självsignerade exempelcertifikat installerat. Om certifikatet inte har bytts ut kan ServerAdmin-kommunikation dekrypteras. Lösningen ersätter det befintliga självsignerade certifikatet med ett som har genererats lokalt och unikt. Tack till Michael Bartosh på 4am Media, Inc. som rapporterade problemet.

Säkerhetsuppdatering 2004-09-16

iChat

CVE-ID: CAN-2004-0873

Effekt: iChat-fjärrdeltagare kan skicka ”länkar” som kan starta lokala program om de klickas på.

Beskrivning: En iChat-fjärrdeltagare kan skicka en ”länk” som hänvisar till ett program på det lokala systemet. Om ”länken” aktiveras genom ett klick och den pekar på ett lokalt program, körs programmet. iChat har modifierats så att ”länkar” av den här typen leder till att ett Finder-fönster öppnas där programmet visas istället för att det körs. Tack till aaron@vtty.com som rapporterade problemet.

Tillgänglighet: Uppdateringen är tillgänglig för följande iChat-versioner:

– iChat AV 2.1 (Mac OS X 10.3.5 eller senare)

– iChat AV 2.0 (Mac OS X 10.2.8)

– iChat 1.0.1 (Mac OS X 10.2.8)

Säkerhetsuppdatering 2004-09-07

Säkerhetsuppdateringen är tillgänglig för följande systemversioner:

- Mac OS X 10.3.4

- Mac OS X 10.3.5

– Mac OS X Server 10.3.4

– Mac OS X Server 10.3.5

– Mac OS X 10.2.8

– Mac OS X Server 10.2.8

Tips: Mer information om de CVE-ID:n som nämns nedan finns på (http://www.cve.mitre.org/).

Komponent: Apache 2

CVE-ID:n: CAN-2004-0493, CAN-2004-0488

Tillgänglig för: Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Effekt: Exponering för potentiellt överbelastningsangrepp

Beskrivning: Apache-organisationen har släppt Apache version 2.0.50. I den här versionen åtgärdas ett antal sårbarheter för överbelastningsangrepp. Vi har uppdaterat Apache till version 2.0.50 som endast levereras med Mac OS X Server och är avaktiverat som standard.

Komponent: CoreFoundation

CVE-ID: CAN-2004-0821

Tillgänglig för: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Effekt: Det går att få behöriga program där CoreFoundation används att läsa in ett bibliotek som tillhandahålls av användaren.

Beskrivning: Paket där CoreFoundations CFPlugIn-funktioner används kan innehålla anvisningar för automatisk inläsning av körbara insticksprogram. Med ett specifikt utformat paket kan det också ske för behöriga program, vilket möjliggör en lokal behörighetseskalering. I CoreFoundation förhindras nu automatisk körbar inläsning av paket som redan har en inläst körbar fil. Tack till Kikuchi Masashi (kik@ms.u-tokyo.ac.jp) som rapporterade problemet.

Komponent: CoreFoundation

CVE-ID: CAN-2004-0822

Tillgänglig för: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Effekt: En miljövariabel kan manipuleras för att orsaka ett buffertspill som kan leda till en behörighetseskalering.

Beskrivning: En lokal angripare kunde potentiellt få ett program att köra opålitlig kod genom att manipulera en miljövariabel. Detta kan endast utnyttjas med åtkomst till ett lokalt konto. Nu utförs striktare valideringskontroller för den här miljövariabeln. Tack till aaron@vtty.com som rapporterade problemet.

Komponent: IPSec

CVE-ID: CAN-2004-0607

Tillgänglig för: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Effekt: När oautentiserade värdar använder certifikat kan de kanske förhandla fram en IPSec-anslutning.

Beskrivning: När IPSec har konfigurerats för att använda X.509-certifikat för att autentisera fjärrvärdar avbryts inte nyckelutväxlingen om certifikatet inte kan verifieras. I Mac OS X används inte certifikat för IPSec som standard, så det här problemet påverkar endast konfigurationer som har konfigurerats manuellt. I IPSec verifieras och avbryts nu en nyckelutväxling om ett certifikat inte kan verifieras.

Komponent: Kerberos

CVE-ID: CAN-2004-0523

Tillgänglig för: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Effekt: Flera buffertspill i krb5_aname_to_localname för MIT Kerberos 5 (krb5) 1.3.3 och tidigare kunde göra det möjligt för fjärrangripare att köra opålitlig kod.

Beskrivning: Buffertspill kan endast utnyttjas om stödet för auth_to_local_names eller auth_to_local också är konfigurerat i filen edu.mit.Kerberos. Apple aktiverar inte detta som standard. En backport gjordes av säkerhetslösningen och användes i Mac OS X-versionerna av Kerberos. Mac OS X- och Mac OS X Server-versionen av Kerberos är inte sårbara för det senaste double free-problemet som rapporterades i CERT-säkerhetsmeddelandet VU#350792 (CAN-2004-0772). Tack till MIT Kerberos-utvecklarteamet som informerade oss om problemet.

Komponent: lukemftpd

CVE-ID: CAN-2004-0794

Tillgänglig för: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Effekt: Ett konkurrenstillstånd som kan göra det möjligt för en autentiserad fjärrangripare att orsaka överbelastningsangrepp eller köra opålitlig kod.

Beskrivning: Om FTP-tjänsten har aktiverats och en fjärrangripare kan autentiseras på korrekt sätt kan ett konkurrenstillstånd göra det möjligt för angriparen att stoppa FTP-tjänsten eller köra opålitlig kod. Lösningen är att ersätta FTP-tjänsten lukemftpd med tnftpd. lukemftp är installerat men inte aktiverat på Mac OS X Server, som istället använder xftp. Tack till Luke Mewburn på NetBSD Foundation som informerade oss om problemet.

Komponent: OpenLDAP

CVE-ID: CAN-2004-0823

Tillgänglig för: Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Effekt: Ett crypt-lösenord kan användas som om det vore lösenord i oformaterad text.

Beskrivning: På grund av bakåtkompatibilitet med äldre LDAP-implementeringar tillåts lagringen av ett crypt-lösenord i attributet userPassword. I vissa scheman för autentiseringsverifiering kan det här värdet användas som om det vore ett lösenord i oformaterad text. Med lösningen tas oklarheten bort och den här typen av fält används alltid som ett crypt-lösenord. Problemet uppstår inte på Mac OS X 10.2.8. Tack till Steve Revilak på Kayak Software Corporation som rapporterade problemet.

Komponent: OpenSSH

CVE-ID: CAN-2004-0175

Tillgänglig för: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Effekt: En skadlig ssh/scp-server kan skriva över lokala filer.

Beskrivning: En katalogtraverseringssårbarhet i scp-programmet gör det möjligt för en skadlig fjärrserver att skriva över lokala filer. En backport gjordes av säkerhetskorrigeringen och användes i Mac OS X-versionerna av OpenSSH.

Komponent: PPPDialer

CVE-ID: CAN-2004-0824

Tillgänglig för: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Effekt: En illvillig användare kan skriva över systemfiler, vilket resulterar i en lokal behörighetseskalering.

Beskrivning: PPP-komponenter gav osäker åtkomst till en fil som lagras på en plats som kan uppdateras över hela världen. Med lösningen flyttas loggfilerna till en plats som inte går att uppdatera över hela världen.

Komponent: QuickTime Streaming Server

Tillgänglig för: Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

CVE-ID: CAN-2004-0825

Effekt: Vid överbelastningsangrepp krävs en omstart av QuickTime Streaming Server

Beskrivning: En viss sekvens av klientåtgärder kan orsaka deadlock på QuickTime Streaming Server. Med lösningen uppdateras koden så att deadlock-tillståndet elimineras.

Komponent: rsync

CVE-ID: CAN-2004-0426

Tillgänglig för: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Effekt: När rsync körs i demon-läge kan en fjärrangripare skriva utanför modulsökvägen såvida inte alternativet chroot har angetts.

Beskrivning: I rsync före version 2.6.1 saneras inte sökvägar korrekt när en läs/skriv-daemon körs med alternativet chroot avaktiverat. Med lösningen uppdateras rsync till version 2.6.2.

Komponent: Safari

CVE-ID: CAN-2004-0361

Tillgängligt för: Mac OS X 10.2.8, Mac OS X Server 10.2.8

Effekt: En JavaScript-uppsättning med negativ storlek kan orsaka minnesåtkomst utanför gränsen i Safari, vilket kan leda till en programkrasch.

Beskrivning: Lagring av objekt i en JavaScript-uppsättning som tilldelats negativ storlek leda till att minnet skrivs över. Safari slutar nu att bearbeta JavaScript-program om tilldelning av en uppsättning misslyckas. Denna säkerhetsförbättring tillgängliggjordes tidigare i Safari 1.0.3 och tillämpas i operativsystemet Mac OS X 10.2.8 som ett extra skyddslager för kunder som inte har installerat den versionen av Safari. Det här är en specifik lösning för Mac OS X 10.2.8, och problemet finns inte på Mac OS X 10.3 eller senare system.

Komponent: Safari

CVE-ID: CAN-2004-0720

Tillgänglig för: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Effekt: På en obetrodd webbplats kan innehåll införas i en ram som är avsedd att användas i en annan domän.

Beskrivning: På en webbplats där flera ramar används kan några av ramarna bytas ut mot innehåll från en skadlig webbplats om användaren besöker den skadliga webbplatsen först. Med lösningen tillämpas en uppsättning överordnade/underordnade regler som förhindrar angreppet.

Komponent: SquirrelMail

CVE-ID: CAN-2004-0521

Tillgänglig för: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Effekt: Med SquirrelMail före 1.4.3 RC1 kan fjärrangripare köra otillåtna SQL-instruktioner.

Beskrivning: Squirrelmail före 1.4.3 RC1 är sårbart för SQL-införing som gör det möjligt för otillåtna SQL-instruktioner att köras. Med lösningen uppdateras SquirrelMail till version 1.4.3a

Komponent: tcpdump

CVE-IDs: CAN-2004-0183, CAN-2004-0184

Tillgänglig för: Mac OS X 10.2.8, Mac OS X 10.3.4, Mac OS X 10.3.5, Mac OS X Server 10.2.8, Mac OS X Server 10.3.4, Mac OS X Server 10.3.5

Effekt: Skadliga paket kan orsaka att en tcpdump som körs kraschar.

Beskrivning: De detaljerade utskriftsfunktionerna för ISAKMP-paket utför inte rätt kontroll av gränserna och orsakar läsning utanför gränserna som resulterar i en krasch. Med lösningen uppdateras tcpdump till version 3.8.3.

Mac OS X 10.3.5

Tips: Mer information om de CVE-ID:n som nämns nedan finns på (http://www.cve.mitre.org/).

libpng (Portable Network Graphics)

CVE-IDs: CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599

Effekt: Skadliga PNG-bilder kan leda till programkrascher och att opålitlig kod körs.

Beskrivning: Ett antal buffertspill, nullpekarreferenser och heltalsspill har upptäckts i referensbiblioteket för läsning och skrivning av PNG-bilder. Dessa sårbarheter har korrigerats i libpng som används i CoreGraphics- och AppKit-ramverken i Mac OS X. När den här uppdateringen har installerats är program som använder PNG-bildformatet via dessa ramverk skyddade mot dessa säkerhetsbrister.

Safari:

CVE-IDs: CAN-2004-0743

Effekt: I en speciell situation kan navigering med framåt/bakåtknapparna skicka om formulärdata till en GET-URL.

Beskrivning: Det här gäller en situation där ett webbformulär skickas till en server med hjälp av en POST-metod som utfärdar en HTTP-omdirigering till en URL som skapats enligt GET-metoden. Vid användning av framåt/bakåtknapparna lägger Safari upp samma formulärdata igen i GET-URL:en. Safari har ändrats så att navigering framåt/bakåt i den här situationen endast resulterar i en GET-metod. Tack till Rick Osterberg på Harvard University FAS Computer Services som rapporterade problemet.

TCP/IP Networking:

CVE-IDs: CAN-2004-0744

Effekt: För många systemresurser kan tas i anspråk genom skadliga IP-fragment, vilket förhindrar normal nätverksdrift.

Beskrivning: ”Rose-attacken” avser en specifikt konstruerad sekvens av IP-fragment som är utformade för att förbruka systemresurser. TCP/IP-implementeringen har ändrats för att begränsa de resurser som förbrukas och förhindra detta överbelastningsangrepp. Tack till Ken Hollis (gandalf@digital.net) och Chuck McAuley (chuck-at-lemure-dot-net) från en diskussion om ”Rose-attacken”.

Säkerhetsuppdatering 2004-08-09 (Mac OS X 10.3.4 och 10.2.8)

Tips: Mer information om de CVE-ID:n som nämns nedan finns på (http://www.cve.mitre.org/).

libpng (Portable Network Graphics)

CVE-IDs: CAN-2002-1363, CAN-2004-0421, CAN-2004-0597, CAN-2004-0598, CAN-2004-0599

Effekt: Skadliga PNG-bilder kan leda till programkrascher och att opålitlig kod körs.

Beskrivning: Ett antal buffertspill, nullpekarreferenser och heltalsspill har upptäckts i referensbiblioteket för läsning och skrivning av PNG-bilder. Dessa sårbarheter har korrigerats i libpng som används i CoreGraphics- och AppKit-ramverken i Mac OS X. När den här uppdateringen har installerats är program som använder PNG-bildformatet via dessa ramverk skyddade mot dessa säkerhetsbrister.

Säkerhetsuppdatering 2004-06-07 (Mac OS X 10.3.4 och 10.2.8)

Säkerhetsuppdatering 2004-06-07 tillhandahåller ett antal säkerhetsförbättringar och rekommenderas för alla Macintosh-användare. Syftet med den här uppdateringen är att öka säkerheten genom att varna dig när du öppnar ett program för första gången via dokumentmappningar eller en webbadress (URL). Mer information, inklusive en beskrivning av den nya varningsdialogrutan, finns i den här artikeln. Säkerhetsuppdatering 2004-06-07 är tillgänglig för följande systemversioner:

– Mac OS X 10.3.4 ”Panther”

– Mac OS X Server 10.3.4 ”Panther”

– Mac OS X 10.2.8 ”Jaguar”

– Mac OS X Server 10.2.8 ”Jaguar”

LaunchServices

CVE-ID: CAN-2004-0538

Effekt: LaunchServices registrerar automatiskt program, vilket kan användas för att få systemet att köra oväntade program.

Diskussion: LaunchServices är en systemkomponent som upptäcker och öppnar program. Den här systemkomponenten har ändrats så att den endast öppnar program som tidigare avsiktligt har körts i systemet. Försök att köra ett program som inte tidigare avsiktligt har körts resulterar i en användarvarning. Mer information finns i den här artikeln.

Komponent: DiskImageMounter

CVE-ID: Inget CVE-ID har reserverats eftersom detta endast är en ytterligare förebyggande åtgärd.

Effekt: Disk:// URL type monterar ett anonymt fjärrfilsystem med http-protokollet.

Diskussion: Registreringen av disk:// URL type tas bort från systemet som förebyggande åtgärd mot försök att automatiskt montera fjärrfilsystem för skivavbilder.

Safari

CVE-ID: CAN-2004-0539

Effekt: Med knappen Visa i Finder öppnas vissa hämtade filer, vilket i vissa fall leder till att hämtade program körs.

Diskussion: Med knappen Visa i Finder visas nu filer i ett Finder-fönster och inget försök görs längre att öppna dem. Den här ändringen är endast tillgänglig för system med Mac OS X 10.3.4 ”Panther” och Mac OS X Server 10.3.4 ”Panther” eftersom problemet inte gäller Mac OS X 10.2.8 ”Jaguar” eller Mac OS X Server 10.2.8 ”Jaguar”.

Terminal

CVE-ID: Inte tillämpligt

Effekt: Försök att använda en telnet:// URL med ett alternativt portnummer misslyckas.

Diskussion: En ändring har gjorts för att gör det möjligt att ange ett alternativt portnummer i en telnet:// URL. Detta återskapar funktioner som nyligen togs bort med lösningen för CAN-2004-0485.

Mac OS X 10.3.4

• NFS: Åtgärd för CAN-2004-0513 som förbättrar loggning när systemanrop spåras. Tack till David Brown (dave@spoonguard.org) som rapporterade problemet.

• LoginWindow: Åtgärd för CAN-2004-0514 som förbättrar hanteringen av sökning i katalogtjänster.

• LoginWindow: Åtgärd för CAN-2004-0515 som förbättrar hanteringen av konsolloggfiler. Tack till aaron@vtty.com som rapporterade problemet.

• Packaging: Åtgärd för CAN-2004-0516 som förbättrar paketinstallationsskript. Tack till aaron@vtty.com som rapporterade problemet.

• Packaging: Åtgärd för CAN-2004-0517 som förbättrar hanteringen av process-ID:n under paketinstallation. Tack till aaron@vtty.com som rapporterade problemet.

• TCP/IP: Åtgärd för CAN-2004-0171 som förbättrar hanteringen av TCP-paket som inte är i följd.

• AppleFileServer: Åtgärd för CAN-2004-0518 som förbättrar användningen av SSH och rapportering av fel.

• Terminal: Åtgärd för CAN-2004-0485 som förbättrar hanteringen av URL:er. Tack till RenÌ© Puls (rpuls@gmx.net) som rapporterade problemet.

Obs! Mac OS X 10.3.4 innehåller Säkerhetsuppdatering 2004-04-05 och Säkerhetsuppdatering 2004-05-03.

Säkerhetsuppdatering 2004-05-24 för Mac OS X 10.3.3 ”Panther” och Mac OS X 10.3.3 Server

• HelpViewer: Åtgärd för CAN-2004-0486 som säkerställer att HelpViewer endast bearbetar skript som den initierat. Tack till lixlpixel Obs! Den här uppdateringen kan också installeras på Mac OS X 10.3.4 och Mac OS X 10.3.4 Server

Säkerhetsuppdatering 2004-05-24 för Mac OS X 10.2.8 ”Jaguar” och Mac OS X 10.2.8 Server

• HelpViewer: Åtgärd för CAN-2004-0486 som säkerställer att HelpViewer endast bearbetar skript som den initierat. Tack till lixlpixel

• Terminal: Åtgärd för CAN-2004-0485 som förbättrar URL-bearbetning i Terminal. Tack till RenÌ© Puls

Säkerhetsuppdatering 2004-05-03 för Mac OS X 10.3.3 ”Panther” och Mac OS X 10.3.3 Server

• AppleFileServer: Åtgärd förCAN-2004-0430 som förbättrar hanteringen av långa lösenord. Tack till Dave G. på @stake som rapporterade problemet.

• Apache 2: Åtgärd för CAN-2003-0020, CAN-2004-0113 och CAN-2004-0174 som uppdaterar Apache 2 till version 2.0.49.

• CoreFoundation: Åtgärd för CAN-2004-0428 som förbättrar hanteringen av en miljövariabel. Tack till aaron@vtty.com som rapporterade problemet.

• IPSec: Åtgärd för CAN-2004-0155 och CAN-2004-0403 som förbättrar VPN-tunnlars säkerhet. IPSec i Mac OS X är inte sårbart för CAN-2004-0392.

Säkerhetsuppdatering 2004-04-05 har integrerats i den här säkerhetsuppdateringen.

Säkerhetsuppdatering 2004-05-03 för Mac OS X 10.2.8 ”Jaguar” och Mac OS X 10.2.8 Server

• AppleFileServer: Åtgärd för CAN-2004-0430 som förbättrar hanteringen av långa lösenord. Tack till Dave G. på @stake som rapporterade problemet.

• Apache 2: Åtgärd för CAN-2003-0020, CAN-2004-0113 och CAN-2004-0174 som uppdaterar Apache 2 till version 2.0.49.

• CoreFoundation: Åtgärd för CAN-2004-0428 som förbättrar hanteringen av en miljövariabel. Tack till aaron@vtty.com som rapporterade problemet.

• IPSec: Åtgärd för CAN-2004-0155 och CAN-2004-0403 som förbättrar VPN-tunnlars säkerhet. IPSec i Mac OS X är inte sårbara för CAN-2004-0392.

• Server Settings daemon: Åtgärd för CAN-2004-0429 som förbättrar hanteringen av stora förfrågningar.

Säkerhetsuppdatering 2004-04-05 har integrerats i den här säkerhetsuppdateringen.

QuickTime 6.5.1

• Åtgärd för CAN-2004-0431 där uppspelning av en felformaterad .mov-fil (filmfil) kan leda till att QuickTime avslutas.

Säkerhetsuppdatering 2004-04-05 för Mac OS X 10.3.3 ”Panther” och Mac OS X 10.3.3 Server

• CUPS Printing: Åtgärd för CAN-2004-0382 som förbättrar utskriftssystemets säkerhet. Det här är en ändring av konfigurationsfilen som inte påverkar det underliggande utskriftssystemet. Tack till aaron@vtty.com som rapporterade problemet.

• libxml2: Åtgärd för CAN-2004-0110 som förbättrar hanteringen av URL:er.

• Mail: Åtgärd för CAN-2004-0383 som förbättrar hanteringen av HTML-formaterad e-post. Tack till aaron@vtty.com som rapporterade problemet.

• OpenSSL: Åtgärd för CAN-2004-0079 och CAN-2004-0112 som förbättrar hanteringen av krypteringsalternativ.

Säkerhetsuppdatering 2004-04-05 för Mac OS X 10.2.8 ”Jaguar” och Mac OS X 10.2.8 Server

• CUPS Printing: Åtgärd för CAN-2004-0382 som förbättrar utskriftssystemets säkerhet. Tack till aaron@vtty.com som rapporterade problemet.

Säkerhetsuppdatering 2004-01-26 har integrerats i den här säkerhetsuppdateringen. De ytterligare säkerhetsförbättringar som tillhandahålls för Panther i Säkerhetsuppdatering 2004-04-05 påverkar inte 10.2-plattformen.

Säkerhetsuppdatering 2004-02-23 för Mac OS X 10.3.2 ”Panther” och Mac OS X 10.3.2 Server

• CoreFoundation: Åtgärd för CAN-2004-0168 som förbättrar notisloggning. Tack till aaron@vtty.com som rapporterade problemet.

• DiskArbitration: Åtgärd för CAN-2004-0167 som på ett säkrare sätt hanterar initieringen av skrivbara flyttbara medier. Tack till aaron@vtty.com som rapporterade problemet.

• IPSec: Åtgärd för CAN-2004-0164 som förbättrar kontrollen vid nyckelutväxling.

• Point-to-Point-Protocol: Åtgärd för CAN-2004-0165 som förbättrar hanteringen av felmeddelanden. Tack till Dave G. på @stake och Justin Tibbs på Secure Network Operations (SRT) som rapporterade problemet.

• tcpdump: Åtgärd för CAN-2003-0989, CAN-2004-0055 och CAN-2004-0057 som uppdaterar tcpdump till version 3.8.1 och libpcap till version 0.8.1

• QuickTime Streaming Server: Åtgärd för CAN-2004-0169 som förbättrar kontrollen av data för förfrågningar. Tack till iDEFENSE Labs som rapporterade problemet. Streaming Server-uppdateringar för andra plattformar finns på http://developer.apple.com/darwin/.

Säkerhetsuppdatering 2004-02-23 för Mac OS X 10.2.8 ”Jaguar” och Mac OS X 10.2.8 Server

• DiskArbitration: Åtgärd för CAN-2004-0167 som på ett säkrare sätt hanterar initieringen av skrivbara flyttbara medier. Tack till aaron@vtty.com som rapporterade problemet.

• IPSec: Åtgärd för CAN-2004-0164 som förbättrar kontrollen vid nyckelutväxling.

• Point-to-Point-Protocol: Åtgärd för CAN-2004-0165 som förbättrar hanteringen av felmeddelanden. Tack till Dave G. på @stake och Justin Tibbs på Secure Network Operations (SRT) som rapporterade problemet.

• Safari: Åtgärd för CAN-2004-0166 som förbättrar visningen av URL:er i statusfältet.

• QuickTime Streaming Server: Åtgärd förCAN-2004-0169 som förbättrar kontrollen av data för förfrågningar. Tack till iDEFENSE Labs som rapporterade problemet. Streaming Server-uppdateringar för andra plattformar finns på http://developer.apple.com/darwin/.

Säkerhetsuppdatering 2004-01-26 för Mac OS X 10.2.8 Server har integrerats i den här säkerhetsuppdateringen.

Säkerhetsuppdatering 2004-01-26 för Mac OS X 10.1.5 ”Puma” och Mac OS X 10.1.5 Server

• Mail: Åtgärd för CAN-2004-0085 som förbättrar säkerheten i Apples e-postprogram.

Säkerhetsuppdatering 2004-01-26 för Mac OS X 10.2.8 ”Jaguar” och Mac OS X 10.2.8 Server

• AFP Server: Förbättrar AFP genom säkerhetsuppdateringen 2003-12-19.

• Apache 1.3: Åtgärd förCAN-2003-0542, ett buffertspill i modulerna mod_alias och mod_rewrite på Apache-webbservern.

• Apache 2: (Installeras endast på Server) Åtgärd för CAN-2003-0542 och CAN-2003-0789 som uppdaterar Apache 2.0.47 till 2.0.48. Mer information om uppdateringen finns i: http://www.apache.org/dist/httpd/Announcement2.html

• Classic: Åtgärd för CAN-2004-0089 som förbättrar hanteringen av miljövariabler. Tack till Dave G. på @stake som rapporterade problemet.

• Mail: Åtgärd för CAN-2004-0085 som förbättrar säkerheten i Apples e-postprogram.

• Safari: Åtgärd för CAN-2004-0092 som förbättrar säkerheten i webbläsaren Safari.

• System Configuration: Åtgärd för CAN-2004-0087 och CAN-2004-0088. Systemkonfiguration-delsystemet gjorde det möjligt för fjärranvändare som inte är administratörer att ändra nätverksinställningar och göra konfigurationsändringar i configd. Tack till Dave G. på @stake som rapporterade problemen.

Säkerhetsuppdatering 2003-12-19 har integrerats i den här säkerhetsuppdateringen. Ytterligare säkerhetsförbättringar i Säkerhetsuppdatering 2004-01-26 för Mac OS X 10.3.2 ”Panther” finns inte i den här uppdateringen för Jaguar eftersom dessa problem inte påverkar Jaguar.

Säkerhetsuppdatering 2004-01-26 för Mac OS X 10.3.2 ”Panther” och Mac OS X Server 10.3.2

• Apache 1.3: Åtgärd för CAN-2003-0542, ett buffertspill i modulerna mod_alias och mod_rewrite på Apache-webbservern.

• Apache 2: (Installeras endast på Server) Åtgärd för CAN-2003-0542 och CAN-2003-0789 som uppdaterar Apache 2.0.47 till 2.0.48. Mer information om uppdateringen finns i http://www.apache.org/dist/httpd/Announcement2.html.

• Classic: Åtgärd för CAN-2004-0089 som förbättrar hanteringen av miljövariabler. Tack till Dave G. på @stake som rapporterade problemet.

• Mail: Åtgärd för CAN-2004-0086 som förbättrar säkerheten i Apples e-postprogram. Tack till Jim Roepcke som rapporterade problemet.

• Safari: Åtgärd för CAN-2004-0092 som förbättrar säkerheten i webbläsaren Safari.

• System Configuration: Åtgärd för CAN-2004-0087. Systemkonfiguration-delsystemet gjorde det möjligt för fjärranvändare som inte var administratörer att ändra nätverksinställningar. Tack till Dave G. på @stake som rapporterade problemen.

• Windows File Sharing: Åtgärd för CAN-2004-0090. Fildelning i Windows avslutades inte ordentligt.

• Säkerhetsuppdatering 2003-12-19 har integrerats i den här säkerhetsuppdateringen. Ytterligare säkerhetsförbättringar i Säkerhetsuppdatering 2004-01-26 för Mac OS X 10.2.8 ”Jaguar” finns inte i den här uppdateringen för Panther eftersom dessa problem inte påverkar Panther.

Säkerhetsuppdatering 2003-12-19 för Mac OS X 10.2.8 ”Jaguar” och Mac OS X 10.2.8 Server

• AppleFileServer: Åtgärd för CAN-2003-1007 som förbättrar hanteringen av felformaterade förfrågningar.

• cd9660.util: Åtgärd för CAN-2003-1006, ett problem med buffertspill i filsystemverktyget cd9660.util. Tack till KF på Secure Network Operations som rapporterade problemet.

• Directory Services: Åtgärd för CAN-2003-1009. Standardinställningarna ändras för att förhindra en oavsiktlig anslutning om en skadlig DHCP-server finns i datorns lokala delnät. Mer information finns i Apples Knowledge Base-artikel: http://docs.info.apple.com/article.html?artnum=32478. Tack till William A. Carrel som rapporterade problemet.

• Fetchmail: Åtgärd för CAN-2003-0792. Uppdateringar tillhandahålls för Fetchmail som förbättrar dess stabilitet under vissa förhållanden.

• fs_usage: Åtgärd för CAN-2003-1010. Verktyget fs_usage har förbättrats för att förhindra en sårbarhet för lokal behörighetseskalering. Det här verktyget används för att samla in information om systemprestanda och kräver administratörsbehörighet för att köras. Tack till Dave G. på @stake som rapporterade problemet.

• rsync: Åtgärd för CAN-2003-0962 som förbättrar säkerheten för rsync-servern.

• System initialization: Åtgärd för CAN-2003-1011. Systeminitieringsprocessen har förbättrats för att begränsa rotåtkomst på ett system där USB-tangentbord används.

Obs! Följande åtgärder som visas i Säkerhetsuppdatering 2003-12-19 för Panther ingår inte i Säkerhetsuppdatering 2003-12-19 för Jaguar eftersom Jaguar-versionerna av Mac OS X och Mac OS X Server inte är sårbara för dessa problem:

– CAN-2003-1005: ASN.1-avkodning för PKI

– CAN-2003-1008: Skärmsläckartextklipp

Säkerhetsuppdatering 2003-12-19 för Mac OS X 10.3.2 ”Panther” och Mac OS X 10.3.2 Server

• ASN.1 Decoding for PKI: Åtgärd för CAN-2003-1005 som kunde orsaka ett potentiellt överbelastningsangrepp när felaktigt formaterade ASN.1-sekvenser togs emot. Det är relaterat men separat från CAN-2003-0851.

• AppleFileServer: Åtgärd för CAN-2003-1007 som förbättrar hanteringen av felformaterade förfrågningar.

• cd9660.util: Åtgärd för CAN-2003-1006, en sårbarhet för buffertspill i filsystemverktyget cd9660.util. Tack till KF på Secure Network Operations som rapporterade problemet.

• Directory Services: Åtgärd för CAN-2003-1009. Standardinställningarna ändras för att förhindra en oavsiktlig anslutning om en skadlig DHCP-server finns i datorns lokala delnät. Mer information finns i Apples Knowledge Base-artikel: http://docs.info.apple.com/article.html?artnum=32478. Tack till William A. Carrel som rapporterade problemet.

• Fetchmail: Åtgärd för CAN-2003-0792. Uppdateringar tillhandahålls för Fetchmail som förbättrar dess stabilitet under vissa förhållanden.

• fs_usage: Åtgärd för CAN-2003-1010.. Verktyget fs_usage har förbättrats för att förhindra en sårbarhet för lokal behörighetseskalering. Det här verktyget används för att samla in information om systemprestanda och kräver administratörsbehörighet för att köras. Tack till Dave G. på @stake som rapporterade problemet.

• rsync: Åtgärdar CAN-2003-0962 genom att förbättra säkerheten för rsync-servern.

• Screen Saver: Åtgärd för CAN-2003-1008. När skärmsläckarens inloggningsfönster visas går det inte längre att klistra in text på skrivbordet eller i ett program. Tack till Benjamin Kelly som rapporterade problemet.

• System initialization: Åtgärd för CAN-2003-1011. Systeminitieringsprocessen har förbättrats för att begränsa rotåtkomst på ett system där USB-tangentbord används.

Säkerhetsuppdatering 2003-12-05

• Safari: Åtgärd för CAN-2003-0975 som säkerställer att Safari endast ger auktoriserade webbplatser åtkomst till en användares cookie-information. Uppdateringen är tillgänglig för både Mac OS X 10.3.1 och Mac OS X 10.2.8.

Säkerhetsuppdatering 2003-11-19 för 10.2.8

Det är Apples policy att snabbt åtgärda betydande sårbarheter i tidigare versioner av Mac OS X i den mån det är möjligt. Säkerhetsuppdatering 2003-11-19 innehåller uppdateringar av flera komponenter i Mac OS X 10.2 som uppfyller detta kriterium.

• gm4: Åtgärd för CAN-2001-1411, en formatsträngssårbarhet i verktyget gm4. Inga fasta uid-rotprogram förlitade sig på gm4, och den här åtgärden görs i förebyggande syfte mot en möjlig framtida exploatör.

• groff: Åtgärd för CVE-2001-1022, där groff-komponenten pic innehöll en formatsträngssårbarhet.

• Mail: Åtgärd för CAN-2003-0881. Mac OS X-programmet Mail återgår inte längre till oformaterad textinloggning när ett konto har konfigurerats för att använda MD5 Challenge Response.

• OpenSSL: Åtgärd för CAN-2003-0851. Tolkningen av vissa felformaterade ASN.1-sekvenser hanteras nu på ett säkrare sätt.

• Personal File Sharing: Åtgärd för CAN-2003-0878. När Personlig fildelning är aktiverad kan slpd-daemonen inte längre skapa en rotägd fil i katalogen /tmp för att få förhöjd behörighet.

• QuickTime for Java: Åtgärd för CAN-2003-0871, en potentiell sårbarhet som kan ge obehörig åtkomst till ett system.

• zlib: Åtgärd för CAN-2003-0107. Det fanns inga funktioner i MacOS X där den sårbara funktionen gzprintf() användes, men det underliggande problemet i zlib har åtgärdats för att skydda alla program från tredje part som skulle kunna använda det biblioteket.

Säkerhetsuppdatering 2003-11-19 för Panther 10.3.1

• OpenSSL: Åtgärd för CAN-2003-0851. Tolkningen av vissa felformaterade ASN.1-sekvenser hanteras nu på ett säkrare sätt.

• zlib: Åtgärd för CAN-2003-0107. Det fanns inga funktioner i MacOS X där den sårbara funktionen gzprintf() användes, men det underliggande problemet i zlib har åtgärdats för att skydda alla program från tredje part som skulle kunna använda det biblioteket.

Säkerhetsuppdatering 2003-11-04

• Terminal: Åtgärd för CAN-2003-0913, en potentiell sårbarhet i programmet Terminal i Mac OS X 10.3 och Mac OS X Server 10.3 som kunde ge obehörig åtkomst till ett system. Mac OS X-versioner tidigare än 10.3 påverkas inte.

Säkerhetsuppdatering 2003-10-28

• Åtgärd för CAN-2003-0871, en potentiell sårbarhet i implementeringen av QuickTime Java i Mac OS X 10.3 och Mac OS X Server 10.3 som kunde möjliggöra obehörig åtkomst till ett system.

Mac OS X 10.3 Panther

• Finder: Åtgärd för CAN-2003-0876 där mappbehörigheter kanske inte bevaras när en mapp kopieras från en monterad volym, till exempel en skivavbild. Tack till Dave G. på @stake, Inc. som hittade problemet.

• Kernel: Åtgärd för CAN-2003-0877 där en användare med åtkomst till den interaktiva kommandotolken kan skriva över godtyckliga filer och läsa kärnfiler som skapats med rotägda processer, om systemet körs med kärnfiler aktiverade. Det kan leda till att känslig information, till exempel autentiseringsuppgifter, utsätts för risk. Som standard är skapandet av kärnfiler avaktiverat på Mac OS X. Tack till Dave G. på @stake, Inc. som hittade problemet.

• slpd: Åtgärd för CAN-2003-0878. När Personlig fildelning är aktiverat kan slpd-daemonen skapa en rotägd fil i katalogen /tmp. Detta kan skriva över en befintlig fil och ge en användare möjlighet att få högre behörighet. Som standard är Personlig fildelning avaktiverat på Mac OS X. Tack till Dave G. på @stake, Inc. som hittade problemet.

• Kernel: Åtgärd för CAN-2003-0895 där det kan vara möjligt för en lokal användare att få Mac OS X-kerneln att krascha genom att ange ett långt kommandoradsargument. Datorn startar om på egen hand efter flera minuter. Tack till Dave G. på @stake, Inc. som hittade problemet.

• ktrace: Åtgärd för CVE-2002-0701, en teoretisk sårbarhet. När ktrace är aktiverat genom KTRACE-kernelalternativet kan en lokal användare få åtkomst till känslig information. Vi känner för närvarande inte till något specifikt verktyg som skulle vara sårbart för det här specifika problemet.

• nfs: Åtgärd för CVE-2002-0830 för Network File System där en fjärranvändare kan skicka RPC-meddelanden som gör att systemet låser sig.

• zlib: Åtgärd för CAN-2003-0107. Det fanns inga funktioner i Mac OS X där den sårbara funktionen gzprintf() användes, men det underliggande problemet i zlib har åtgärdats.

• gm4: Åtgärd för CAN-2001-1411, en formatsträngssårbarhet i verktyget gm4. Inga fasta uid-rotprogram förlitade sig på gm4, och den här åtgärden görs i förebyggande syfte mot en möjlig framtida exploatör.

• OpenSSH: Åtgärd för CAN-2003-0386 där begränsningar för from= och user@hosts potentiellt kan förfalskas via omvänd DNS för numeriskt angivna IP-adresser. Mac OS X 10.3 innehåller även tidigare korrigeringar som släppts för OpenSSH och den version av OpenSSH som hämtas via kommandot ”ssh -V” är: OpenSSH_3.6.1p1+CAN-2003-0693, SSH-protokoll 1.5/2.0, OpenSSL 0x0090702f

• nidump: Åtgärd för CAN-2001-1412 där nidump-verktyget ger åtkomst till de krypterade lösenord som används för att autentisera inloggningar.

• System Preferences: Åtgärd för CAN-2003-0883 där systemet efter autentisering med ett administratörslösenord fortsätter att ge åtkomst till säkra inställningspaneler under en kort tidsperiod. Det kan göra det möjligt för en lokal användare att komma åt inställningspaneler som användaren normalt inte skulle kunna använda. I säkerhetsinställningarna för Mac OS X 10.3 finns det nu ett alternativ för att kräva lösenord för att låsa upp varje säker systeminställning. Tack till Anthony Holder som rapporterade problemet.

• TCP timestamp: Åtgärd för CAN-2003-0882 där TCP-tidsstämpeln initieras med ett konstant nummer. Det kan göra det möjligt för någon att ta reda på hur länge systemet har körts baserat på ID:n i TCP-paket. I Mac OS X 10.3 initieras nu TCP-tidsstämpeln med ett slumpmässigt nummer. Tack till Aaron Linville som rapporterade problemet och skickade in en lösning via det öppna källkodsprogrammet Darwin.

• Mail: Åtgärd för CAN-2003-0881. I Mac OS X-programmet Mail kommer ett inloggningsförsök att göras med CRAM-MD5 om ett konto är konfigurerat för att använda MD5 Challenge Response, men programmet kommer utan notis att gå tillbaka till att använda oformaterad text om den hashade inloggningen misslyckas. Tack till Chris Adams som rapporterade problemet.

• Dock: Åtgärd för CAN-2003-0880. När Tangentbordstjänster är aktiverat via panelen Tangentbord i Systeminställningar kan Dock-funktioner nås utan att visas bakom skärmeffekter.

MAC OS X 10.2.8

• OpenSSL: Åtgärd för CAN-2003-0543, CAN-2003-0544, CAN-2003-0545 som åtgärdar potentiella problem i vissa ASN.1-strukturer och i certifikatverifieringskoden. För att kunna leverera uppdateringen på ett snabbt och tillförlitligt sätt har endast de programkorrigeringar för de CVE-ID:n som anges ovan tillämpats och inte hela det senaste OpenSSL-biblioteket. OpenSSL-versionen i Mac OS X 10.2.8, som hämtas via kommandot openssl-version, är därmed: OpenSSL 0.9.6i 19 februari 2003

• OpenSSH: Åtgärd för CAN-2003-0693, CAN-2003-0695 och CAN-2003-0682 som åtgärdar bufferthanteringsfel i OpenSSH:s sshd-versioner före 3.7.1. För att kunna leverera uppdateringen på ett snabbt och tillförlitligt sätt har endast de programkorrigeringar för de CVE-ID:n som anges ovan tillämpats och inte hela uppsättningen programkorrigeringar för OpenSSH 3.7.1. OpenSSH-versionen i Mac OS X 10.2.8, som hämtas via kommandot ssh -V, är därmed: OpenSSH_3.4p1+CAN-2003-0693, SSH-protokoll 1.5/2.0, OpenSSL 0x0090609f

• sendmail: Åtgärd för CAN-2003-0694 och CAN-2003-0681 som åtgärdar ett buffertspill i adresstolkning samt ett potentiellt buffertspill i tolkningen av regeluppsättningar.

• fb_realpath(): Åtgärd för CAN-2003-0466 som är ett off-by-one-fel i funktionen fb_realpath() som kan göra det möjligt för angripare att köra opålitlig kod.

• arpookup(): Åtgärd för CAN-2003-0804. Med funktionen arpookup() cachelagras ARP-förfrågningar om rutter på en lokal länk. Endast på ett lokalt delnät är det möjligt för en angripare att skicka ett tillräckligt stort antal falska ARP-förfrågningar som tar slut på kernelminnet, vilket leder till överbelastning.

Mer information om tidigare säkerhetsuppdateringar finns i Apples säkerhetssläpp: augusti 2003 och tidigare.