Mac OS X Security Update 2007-007

Apple v úterý vypustil sedmou bezpečnostní aktualizaci v roce 2007 a uvolnil je pro systém 10.3 (klient i server) a 10.4 (klient i server)

Většina oprav vylepšuje zabezpečení obou platforem a zavírá potenciální chyby přetečení, zneužívání upravených odkazu, které mohou vést ke spuštění kódu v open source kompontech Mac OS jako jsou bzip2, gnuzip, Kerberos, PHP a Samba. Chyba přetečení paměti v iChatu stejně jako v Javě při přístupu ke CoreAudio platformě byly také opraveny.

Několik chyb ve WebCore a WebKitu, které mohly být zneužity byly opraveny nejen v aktulizaci pro Mac OS X, ale také pro iPhone. Patche byly také aplikovány na specifické problémy v Tygrovi jako je mDNSResponder, PDFKit a Quartz Composer. Uživatelé serverové edici získali opravu pro SwuirrelMail a Tomcat.

Apple vydal bezpečnostní aktualizaci systému Mac OS X 10.4. Takže zde uvádím podrobnosti, které se týkají změn v systému.

• bzip2
  • CVE-ID: CVE-2005-0758
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Spuštění bzgrep u souboru s upraveným jménem může vést ke spuštění kódu.
  • Příčina: bzgrep má problémy se zpracováváním jmen souboru. Vyzváním uživatele aby spustil bzgrep na souboru s upraveným jménem může spustit nežádoucí kód. Aktualizace řeší problém opravením práce se jmény souborů.
• CFNetwork
  • CVE-ID: CVE-2007-2403
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Klepnutím na FTP URI může spustit nežádoucí FTP příkazy.
  • Příčina: Využitím toho, že uživatele klepl na upravené FTP URI, útočník může vyslat FTP příkazy k jakémukoliv dostupnému FTP serveru s použitím přihlašovacích údajů uživatele. Aktualizace řeší problém další kontrolou FTP URI.
• CFNetwork
  • CVE-ID: CVE-2007-2404
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Aplikace které používají CFNetwork pro HTTP dotazy mohou být náchylné k útokům.
  • Příčina: V CFNetwork byla chyba, které umožňovala přijmout upravenou odpověď www serveru a reagovat na ni bez vědomí uživatele, což vede ke cross-site skripting chybě. Klient nyní řádně ověřuje odpovědi HTTP serveru. Poděkování patří Stevenu Kramerovi ze sprintteam.nl za nahlášení chyby.
• CoreAudio
  • CVE-ID: CVE-2007-3745
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Návštěvou upravené stránky můžete spustit nežádoucí kód.
  • Příčina: V Java rozhraní ke CoreAudio byla chyba. JDirect odhaloval interface, který mohl dovolit uvolnit nadbytečnou paměti. Vyzváním uživatele k návštěvě upravené stránky s Java appletem, útočník mohl chybu zneužít ke spuštění vlastního kódu. Chyba byla opravena tím, že se provádí bezpečnostní kontrola v Java rozhraní.
• CoreAudio
  • CVE-ID: CVE-2007-3746
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Návštěvou upravené stránky můžete spustit nežádoucí kód.
  • Příčina: V Java rozhraní ke CoreAudiu byla chyba, které umožňovala čtení a zápis mimo hranice definované paměti. Vyzváním uživatele k návštěvě stránky s java appletem může pak způsobit spuštění kódu. Aktualizace řeší problém prováděním větších kontrol.
• CoreAudio
  • CVE-ID: CVE-2007-3747
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Návštěvou upravené stránky můžete spustit nežádoucí kód.
  • Příčina: V Java rozhraní ke COreAudiu byla chyba, které umožňovala instalaci a manipulaci s objekty mimo hranice alokované paměti. Vyzváním uživatele k návštěvě stránky s java appletem může pak způsobit sputění kódu. Aktualizace řeší problém prováděním větších kontrol.
• cscope
  • CVE-ID: CVE-2004-0996, CVE-2004-2541
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: vícenásobné chyby v Cscope.
  • Příčina: Cscope byl aktualizován na verzi 15.6 která řeší několik chyb. Nejzávažnější je přetečení bufferu a nezabezpečené vytváření dočasných souborů. Další informace jsou k dispozici přes stránky Cscope v http://cscope.sourceforge.net/.
• gnuzip
  • CVE-ID: CVE-2005-0758
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Spuštěním zgrep na soubor s upraveným jménem vede ke spuštění kódu.
  • Příčina: zgrep má problémy se zpracováváním jmen souboru. Vyzváním uživatele, aby spustil bzgrep na souboru s upraveným jménem může spustit nežádoucí kód. Aktualizace řeší problém opravením práce se jmény souborů.
• iChat
  • CVE-ID: CVE-2007-3748
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Útočník na lokální síti může způsobit přerušení služby na spuštění kódu.
  • Příčina: V protokolu UPnP IGD (Internet Gateway Device Standardized Device Control Protocol) je chyba přetečení bufferu. Odesláním upraveného paketu může útočník na lokální síti spustit toto přetečení což může vést k neočekávanému ukončení aplikace či spuštění kódu. Aktualizace řeší problém provedením další kontrol při zpracováník UPnP paketů v iChatu.
• Kerberos
  • CVE-ID: CVE-2007-2442, CVE-2007-2443, CVE-2007-2798
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Větší množství chyb v MIT krb5 Kerberos administračním démonu.
  • Příčina: V MIT Kerberovi (kadmind) bylo několik chyb, které mohly vést k neočekávanému ukončení aplikace nebo spuštění nežádoucího kódu se systémovými právy. Další informace o problému a aplikovaných patchí je k dispozici na stránky MIT Kerberos http://web.mit.edui/Kerberos/. Poděkování patří MIT Kerberos teamu za nahlášení těchto problémů, které byly původně objeveny Wei Wang z McAfee Avert Labs.
• mDNSResponder
  • CVE-ID: CVE-2007-3744
  • Dostupný pro: Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Útočník na lokální síti může zastavit službu nebo spustit nežádoucí kód.
  • Příčina: Chyba přetečení bufferu v UPnP IGD protokolu způsobuje, že upravený paket může spustit přetečení které vede k pádu aplikace nebo spuštění kódu. Aktualizace řeší problém odstraněním UPnP IGD podpory. Problém se nevyskytuje na systémech před Mac OS X verze 10.4.
• PDFKit
  • CVE-ID: CVE-2007-2405
  • Dostupný pro: Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Otevřením upraveného PDF dokumentu může vést k pádu aplikace nebo spuštění kódu.
  • Příčina: V aplikaci Preview je chyba přetečení integeru při zpracování PDF souborů. Vyzvání uživatele ke spuštění upraveného PDF dokumentu může způsobit pád aplikace nebo spuštění nežádoucího kódu. Aktualizace problém řeší prováděním dalších kontrol PDF dokumentů.
• PHP
  • CVE-ID: CVE-2007-1001, CVE-2007-1287, CVE-2007-1460, CVE-2007-1461, CVE-2007-1484, CVE-2007-1521, CVE-2007- 1583, CVE-2007-1711, CVE-2007-1717
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Vícenásobné chyby v PHP 4.4.4.
  • Příčina: PHP je aktualizováno na verzi 4.4.7 aby opravilo několik chyb. Další informace jsou dostupné přes stránky PHP na http://www.php.net/
• Quartz Composer
  • CVE-ID: CVE-2007-2406
  • Dostupný pro: Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Zobrazením upraveného souboru pro Quartz Composer může vést k pádu aplikace nebo spuštění kódu.
  • Příčina: Neinicializovaný ukazatel na objekt v Quartz Composeru způsobuje, že pokud uživatel zobrazí upravený soubor, útočník může zneužít chyby vedoucí až ke spuštění kódu.Aktualizace řeší problém správnou incializací ukazatelů. Problém se objevil až v systému Mac OS X 10.4.
• Samba
  • CVE-ID: CVE-2007-2446
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Pokud je povoleno sdílení souborů přes protokol Windows, neautorizovaný útočník může ukončit aplikaci či spustit kód.
  • Příčina: Několik přetečení bufferu existují v Samba démonovi. Odesláním upravených MS-RPC požadavků, vzdálený útočník může spustit přetečení vedoucí až ke spuštění kódu. Aktualizace řeší problém další kontrolou MS-RPC požadavků.
• Samba
  • CVE-ID:CVE-2007-2447
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Pokud je povoleno sdílení souborů přes protokol Windows, neautorizovaný útočník může spouštět příkazy shellu.
  • Příčina: Samba démon má chybu které umožňuje vložit příkazy shellu přes MS-RPC pakety. Problém je vyřešen provedením dalších kontrol MS-RPC paketů. Problém se neobjevuje, pokud používáte základní konfiguraci Samby.
• Samba
  • CVE-ID: CVE-2007-2407
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Pokud je povoleno sdílení souborů přes protokol Windows, uživatel může překročit systémové kvóty.
  • Příčina: Problém v Sambě díky nesnižování práv. To dovoluje překročit nastavené diskové kvóty. Aktualizace opravuje problém snížením prav démona. Poděkování patří Mikovi Matzovi z Wyomissing Area School za nahlášení problému.
• SquirrelMail
  • CVE-ID: CVE-2005-3128, CVE-2006-2842, CVE-2006-3174, CVE-2006-4019, CVE-2006-6142, CVE-2007-1262, CVE-2007- 2589
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10 serverové verze
  • Důsledky: Několik chyb v SquirrelMailu 1.4.5.
  • Příčina: SquirrelMail byl aktualizován na verzi 1.4.10 aby vyřešil několik chyb. Nejzávažnější je cross-site scripting spuštěný zobrazením HTML mailu. Další informace jsou k dispozici na stránkách SquirrelMailu http://www.squirrelmail.org/.
• Tomcat
  • CVE-ID: CVE-2005-2090, CVE-2007-0450, CVE-2007-1358, CVE-2007-1860
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10 serverové verze
  • Důsledky: Několik chyb v SquirrelMailu 1.4.5.
  • Příčina: Tomcat byl aktualizován na verzi 4.1.36 aby vyřešil několik problému, nejzávažnější je cross-site scripting a odhalení informací. Další informace jsou k dispozici na stránkách Tomcatu http://tomcat.apache.org/. Chyba se neobjevuje na systémech před Mac OS X 10.4.
• WebCore
  • CVE-ID: CVE-2007-2408
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Některé stránky umožňovaly spuštění Java appletů, přestože byly zakázány.
  • Příčina: Safari poskytuje nastavení "Povolit Javu", které pokud je nezaškrtnuté by mělo zakázat nahrávání Java appletu. V základním nastavení jsou Java applety povoleny. Stránky však mohly obejít toto nastavení. Aktualizace řeší problém lepší kontrolou nastavení Javy. Poděkování patří Scottovi Wildovi za nahlášení chyby.
• WebCore
  • CVE-ID: CVE-2007-0478
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Do HTML komentářů se mohl dostat obsah,vedoucí ke cross-site skriptování.
  • Příčina: WebCore špatně zpracovávalakomentáře uvntř HTML titulku. To vedlo k možnosti vložit skript do www stránky. Aktualizace řeší problém správným zpracováním komentářů.
• WebCore
  • CVE-ID: CVE-2007-2409
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Návštěva stránek může vést k prozrazení obsahu URL.
  • Příčina: Chyba ve WebCore umožňuje aby pop-up okno mohlo číst URL které je zobrazeno v rodičovském okně. Vyzváním uživatele k návštěvě upravené stránky může útočník zjistit informace z URL obsahuj. Aktualizace řeší problém přes vylepšení bezpečnostních kontrol. Poděkování patří Secunia Research za nahlášení chyby.
• WebCore
  • CVE-ID: CVE-2007-2410
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Návštěvou upravené stránky dovolíte cross-site scripting.
  • Příčina: V Safari nebyly některé globální objekty vyčištěny při navigaci na nové URL ve stejném okně. Vyzváním uživatele k návštěvě upravené stránky, útočník může zneužít chyby ke cross-site scriptingu. Aktualizace řeší problém správným vyčištěním globálních objektů.
• WebKit
  • CVE-ID: CVE-2007-3742
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Znaky v UTF-8 kódování mohou maskovat ww stránky.
  • Příčina: Mezinárodní doménové jméno (IDN) a unikódový font umístění v Safari může být použit v k vytvoření URL, které obsahuje skryté znaky. Tyto pak mohou být použity na podvržené stránce, která vizuelně vypadá jako legitimní doména. Aktualizace řeší problém vylepšenou kontrolou adres.
• WebKit
  • CVE-ID: CVE-2007-3944
  • Dostupný pro: Mac OS X 10.3.9, Mac OS X 10.4.10, klientské i serverové verze
  • Důsledky: Prohlížení upravené stránky vede ke spuštění kódu.
  • Příčina: Přetečení bufferu v knihovně pro perlovské regulární výrazy (PCRE) použité v JavaScript enginu Safari může vést ke spuštění kódu. Aktulizace řeší problém další kontrolou regulárních výrazů JavaScriptu. Poděkování patří Charlie Millerovi a Jakovi Honoroffovi z Independent Security Evaluators za nahlášení chyby.

Publikováno 30.11.2006