Bezpečnostní aktualizace Mac OS X 2008-005

Apple vypustil bezpečnostní aktualizaci vhodnou pro systémy Mac OS X Server 10.4, Mac OS X 10.4.11, Mac OS X Server 10.5, Mac OS X 10.5.4. Ale podívejme se na něj podrobněji.

• Open Scripting Architecture
  • CVE-ID: CVE-2008-2830
  • Pro: Mac OS X Server i Klient - 10.4.11,10.5.4
  • Dopad: Lokální uživatel může provést příkaz, kterým si zvýší práva.
  • Popis: Chyba v návrhu Open Scripting Architecture knihoven při určován zda nahrát skriptovací doplněk do aplikaci běžící se zvýšenými právy. Odesláním příkazu pro skriptovací doplněkmůžýe spustit nežádoucí kód s právy aplikace, která doplněk spouští. Nedávno ohlášené chyby s ARDAgentem a SecuirtyAgentem jsou touto aktualizací vyřešeny. Poděkování patří Charlesi Srstkovi.
• Bind
  • CVE-ID: CVE-2008-1447
  • Pro: Mac OS X Server i Klient - 10.4.11,10.5.4
  • Dopad: BIND je náchylný k otrávení DNS cache a může vrace špatné informace
  • Popis: Berkeley Intenret Name Domain (BIND) server je dodáván s Mac OS X a v základním nastavení není spouštěn. Pokud je spouštěn, BIND provádí překlad mezi jmény počítačů a IP adresami. Chyba v DNS protokolu dovoluje útčoníků provést útoky které ovlivní DNS cache. Výsledkem je pak, že systémy, které spoléhají na BIND server mohou získat chybné výsledky. Tato aktualizace řeší problém implementací náhodného zdrojového portu ke zvýšení odonlnosti vůči útokům tohoto typu. Pro Mac OS X 10.4.11, BIND je aktualizován na verzi 9.3.5-P1. Pro Mac OS X 10.5.4 je BIND aktualizován na verzi 9.4.2-P1. Poděkování za nahlášení patří Danovi Kaminskému z IOActive.
• CarbonCore
  • CVE-ID: CVE-2008-2320
  • Pro: Mac OS X Serve i Klient: 10.4.11,10.5.4
  • Dopad: Zpracování dlouhých jmen souborů může vést k neočekávanému ukončení aplikace nebo spuštění nežádoucího kódu.
  • Popis: Ve zpracování dlouhých jmen souborů byla objevena chyba přetečení bufferu. Práce s dlouhými názvy souborů může vést k neočekávanému ukončení aplikace nebo spuštění nežádoucího kódu. Aktualizace řeší problém lepší kontrolou názvů souborů. Poděkování za nahlášení patří Thomasi Raffetsederovi z Internationl Secure Systems Lab a Sergio 'shadow' Alverzi.
• CoreGraphics
  • CVE-ID: CVE-2008-2321
  • Pro: Mac OS X Server i Klient - 10.4.11,10.5.4
  • Dopad: Navštívení upravené www stránky může vést k ukončení aplikace nebo spuštění nežádoucího kódu.
  • Popis: CoreGraphics obsahovalo chybu způsoboující poškození paměti. Posláním nedůvěryhodného vstupu do CoreGraphics pomocí aplikací, jako například www prohlížeče, mohlo vést k ukončení aplikace nebo spuštění nežádoucího kódu. Aktualizace řešeí problém lepší kontrolou vstupů. Poděkování za nahlášení patří Michalovi Zalewskimu z Google.
• CoreGraphics
  • CVE-ID: CVE-2008-2322
  • Pro: Mac OS X Server i Klient - 10.4.11,10.5.4
  • Dopad: Zobrazení upraveného PDF souboru může vést k neočekávanému ukončení aplikace a spuštění nežádoucího kódu.
  • Popis: Ve zpracování PDF souborů se mohla objevit chyba přetečení integeru, což může způsobit ukončení aplikace nebo spuštění nežádoucího kódu. Aktualizace řeší problém lepší kontrolou PDF souborů. Poděkování za ohlášení chyby patří Pariente Kobi pracující v iDefence VCP.
• Data Detectors Engine
  • CVE-ID: CVE-2008-2323
  • Pro: Mac OS X Server a Klient 10.5.4
  • Dopad: Zobrazením upravené zprávy s Data Detektory může vést k ukončení aplikace
  • Popis: Data Detektory jsou používány pro extrahování referenčních informací z textového obsahu archívů. Objevil se problém při práci se zdroji v Data Detektorech. Zobrazením upraveného obsahuje v aplikaci způsobí v Data Detektorech přerušení služby, nikoliv však spuštění nežádoucího kódu. Tento problém není v systémech před Mac OS 10.5.
• Disk Utility
  • CVE-ID: CVE-2008-2324
  • Pro: Mac OS X Server i Klient - 10.4.11
  • Dopad: Lokální uživatel může získat systémová práva
  • Popis: Nástroj Oprava přístupových práv v Diskových Nástrojích nastavuje /usr/sbin/emacs se setuid. Po té co se spustí Repair Permissions, lokální uživatel může použít emacs pro spuštění příkazů se systémovými právy. Tato aktualizace opravuje problém opravení práv nastavovavných emacu. Chyba se neobjevuje v systému 10.5 a vyšším. Poděkování za nahlášení cyhby patří Antonu Rangovi a Brianovi Timearemu.
• OpenLDAP
  • CVE-ID: CVE-2008-2952
  • Pro: Mac OS X Server i Klient - 10.4.11,10.5.4
  • Dopad: Vzdálený útočník může způsobit ukončení aplikace
  • Popis: V dekódování ASN.1 BER v OpenLDAPu je chyba. Při zpracování upravené LDAP zprávy, se může ukončit OpenLDAP démon - slapd. Aktualizace řeší problém lepší kontrolou LDAP zpráv.
• OpenSSL
  • CVE-ID: CVE-2007-5135
  • Pro: Mac OS X Server i Klient - 10.4.11,10.5.4
  • Dopad: Vzdálený útočník může způsobit neočekávané ukočení aplikace nebo spuštění nežádoucího kódu.
  • Popis: Funkce SSL_get_shared_ciphers() v OpenSSL špatně kontroluje rozsahy parametrů. Pokud aplikace, která používá tuto funkci zpracovává upravené pakety, může to vést k pádu aplikace a spuštění nežádoucího kódu. Aktualizace řeší problém vylepšení kontrol.
• PHP
  • CVE-ID: CVE-2008-2051,CVE-2008-2050,CVE-2008-4850,CVE-2008-0599,CVE-2008-0674
  • Pro: Mac OS X Server i Klient - 10.5.4
  • Dopad: Více chyb v PHP 5.2.5
  • Popis: PHP je aktualiyov8n na verzi 5.2.6, čímž se vyřešila řada chyb, nejvážnější vedla ke spuštění nežádoucího kódu. Další informace je dostupná na stránkách PHP projektu. Verze 5.2.x je distribuovaná pouze v systémech Mac OS X 10.5.x
• QuickLook
  • CVE-ID: SVE-2008-2325
  • Pro: Mac OS X Server i Klient: 10.5.4
  • Dopad: Stažení upraveného souboru Microsoft Office vede k ukončení aplikace nebo spuštění nežádoucího kódu.
  • Popis: Několik poškození paměti bylo odhleno při zpracování MS Office souborů aplikací QuickLook. Stažení upraveného MS Office souboru může vést k ukončení aplikace nebo spuštění nežádoucího kódu. Aktualizace opravuje chybu lepší kontrolou souboru. Problém se neobjevuje na systémech před Mac OS X 10.5
• rsync
  • CVE-ID: CVE-2007-6199, CVE-2007-6200
  • Pro: Mac OS X Server i Klient: 10.4.11,10.5.4
  • Dopad: Soubory mimo modul root mohou být přepsány nebo načteny
  • Popis: Pokud je rsync spuštěn jako démon, mohou nastat problémy s ověřování cesty kvůli symbolickým odkazů. Umístěním symbolického odkazů do rsync modulu může způsobit přepsání root modulu. Aktualizace řeší problém vylepšením kontroly symbolických odkazů. Další informace o opravě jsou dostupné na stránkách rsync projektu.

Jako vždy je aktualizace dostupná na stránkách Apple, případně mohou uživatelé využít aplikaci Software update. Aktualizace Mac OS X Serveru má ve verzi PPC procesory 135 MB, ve verzi pro Intel 180 MB. Klientská verze má ve verzi pro PPC 88 MB a 143 MB ve verzi pro Intel.

Nešlo si nevšimnout článku na palluxo.com, který opravoval svá tvrzení okolo neserióznosti Apple. Hlavní pointou článku bylo, že Apple v této aktualizaci sice upravil BIND server, ale klientskou část ponechal bez úprav. Teprve po korekci uvedl na pravou věc na pravou míru. Chybná byla pochopitelně pouze serverová část, akčkoliv by bylo dobré upravit i klientskou část, ta výše zmiňovanou bezpečností chybu neobsahuje a tak nezapadá do rozsahu této bezpečnostní aktualizace.

Publikováno 30.11.2007