Appleは月曜日、Leopardとしても知られるMac OS X 10.5の8つの脆弱性に対処する10のパッチをリリースした。
Appleは月曜日、Leopardとしても知られるMac OS X 10.5の8つの脆弱性に対処する10のパッチをリリースした。 1 つのパッチは、ほぼ 1 年前に「Month of Apple Bugs」Web サイトで説明された Tiger の欠陥に対処しています。
ハイライトの中には:
Apple は、Mac OS X 10.4.11 とその OS X Server に影響を与える任意のコード実行の欠陥に対するパッチを発行しました。 このディレクトリ サービスの問題 (CVE-2007-0355) は、「Month of Apple Bugs」Web サイトで説明されました。 昨年 3 月、Apple は、次のように思われる多数の脆弱性を修正しました。 MOABハッカーの正当性を証明した. Apple はそのプロジェクトの 1 つの脆弱性を見逃したようです。
Appleの説明は次のとおりです。
Service Location Protocol (SLP) デーモンにはスタック バッファ オーバーフローが存在し、ローカル ユーザーがシステム権限で任意のコードを実行できる可能性があります。 このアップデートでは、境界チェックを改善することで問題を解決しました。 これについては、Month of Apple Bugs Web サイト (MOAB-17-01-2007) で説明されています。 この問題は、Mac OS X v10.5 以降を実行しているシステムには影響しません。 この問題を報告した Netragard の Kevin Finisterre の功績です。
Tiger の MOAB の欠陥は別として、Apple のパッチの大部分は Leopard を塞ぐように設計されていました。
Leopard の CVE によると:
- CVE-2008-0035: Leopard とそのサーバーに影響します。 Apple「悪意を持って作成された URL にアクセスすると、アプリケーションが終了したり、任意のコードが実行される可能性がある」 この問題は Safari の URL 処理にあります。Mac OS X より前のシステムには影響しません。 v10.5。
- CVE-2008-0038: Apple は、システムから削除されたアプリケーションが Time Machine のバックアップ経由で起動できないようにするパッチを発行しました。 Time Machine に悪意のあるプログラムが保存されている場合、これは明らかに厄介になる可能性があります。 嫌な思い出を話します。 Mac OS X v10.5 および v10.5.1、Mac OS X Server v10.5 および v10.5.1 に影響します。
- CVE-2008-0040: この欠陥は、Leopard OS X および Server の NFS 問題に対処します。 Apple は、NFS による mbuf チェーンの処理にメモリ破損の問題が存在すると指摘しました。 システムが NFS クライアントまたはサーバーとして使用されている場合、悪意のある NFS サーバーまたはクライアントにより、予期しないシステムのシャットダウンや任意のコードの実行が引き起こされる可能性があります。 このアップデートでは、mbuf チェーンの処理を改善することで問題を解決しています。 この問題は、Mac OS X v10.5 より前のシステムには影響しません。 この問題の報告は、Sun Microsystems の Oleg Drokin 氏の功績です。
- CVE-2008-0041: Apple はペアレンタル コントロールの問題にパッチを適用しました。 簡単に言うと、リモート ユーザーはペアレンタル コントロールを備えたマシンを見つけて、ブロック解除を要求し、情報をスワイプすることができます。 Leopard OS X とサーバーに影響します。
- CVE-2007-4568: Leopard の X 11 X フォント サーバーに複数の脆弱性が見つかりました。
- CVE-2008-0037: 別の X11 の問題。 この欠陥により、セキュリティ設定を変更できなくなりました。 Apple は次のように述べています: X11 サーバーは「ネットワーク クライアントからの接続を許可する」設定を正しく読み取っていません。 これにより、設定がオンになっている場合でも、X11 サーバーがネットワーク クライアントからの接続を許可する可能性があります。 オフ。 このアップデートでは、X11 サーバーが設定を正しく読み取ることを保証することで問題を解決します。 この問題は、Mac OS X v10.5 より前のシステムには影響しません。
Leopard と Tiger の両方の CVE:
- CVE-2007-6015: これは Leopard と Tiger の両方に影響します。 「特定の NetBIOS ネーム サービス要求を処理するときに、Samba でスタック バッファ オーバーフローが発生する可能性があります」と Apple は述べています。
- CVE-2008-0042: Apple はターミナル アプリにパッチを適用しました。これにより、ユーザーが悪意を持って作成された Web ページを閲覧した場合に任意のコードが実行される可能性があります。
Tiger の CVE:
CVE-2008-0039: Apple は、Mac OS X v10.4.11 および Mac OS X Server v10.4.11 用のメール アプリケーションにおける任意のコード実行の欠陥を修正しました。 アップルはこう言います：
Mail の file:// URL の処理に実装上の問題が存在し、ユーザーがメッセージ内の URL をクリックすると、警告なしで任意のアプリケーションが起動される可能性があります。