Informationen zum Sicherheitsinhalt von OS X Yosemite v10.10.5 und Sicherheitsupdate 2015-006
Dieses Dokument beschreibt den Sicherheitsinhalt von OS X Yosemite v10.10.5 und Sicherheitsupdate 2015-006.
Zum Schutz unserer Kunden offenbart, diskutiert oder bestätigt Apple keine Sicherheitsprobleme, bis eine vollständige Untersuchung durchgeführt wurde und alle erforderlichen Patches oder Versionen verfügbar sind. Weitere Informationen zur Apple-Produktsicherheit finden Sie auf der Apple-Produktsicherheits- Website.
Informationen zum PGP-Schlüssel für die Apple-Produktsicherheit finden Sie unter Verwendung des PGP -Schlüssels für die Apple-Produktsicherheit .
Wo möglich, werden CVE-IDs verwendet, um auf die Schwachstellen für weitere Informationen zu verweisen.
Informationen zu anderen Sicherheitsupdates finden Sie unter Apple-Sicherheitsupdates .
OS X Yosemite v10.10.5 und Sicherheitsupdate 2015-006
Apache
Verfügbar für: OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: In Apache 2.4.16 bestanden mehrere Sicherheitslücken, von denen die schwerwiegendste es einem entfernten Angreifer ermöglichen könnte, einen Denial-of-Service zu verursachen.
Beschreibung: In Apache-Versionen vor 2.4.16 bestanden mehrere Schwachstellen. Diese wurden behoben, indem Apache auf Version 2.4.16 aktualisiert wurde.
CVE-ID
CVE-2014-3581
CVE-2014-3583
CVE-2014-8109
CVE-2015-0228
CVE-2015-0253
CVE-2015-3183
CVE-2015-3185
apache_mod_php
Verfügbar für: OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: In PHP 5.5.20 bestanden mehrere Sicherheitslücken, von denen die schwerwiegendste zur Ausführung willkürlichen Codes führen kann.
Beschreibung: In PHP-Versionen vor 5.5.20 bestanden mehrere Schwachstellen. Diese wurden behoben, indem Apache auf Version 5.5.27 aktualisiert wurde.
CVE-ID
CVE-2015-2783
CVE-2015-2787
CVE-2015-3307
CVE-2015-3329
CVE-2015-3330
CVE-2015-4021
CVE-2015-4022
CVE-2015-4024
CVE-2015-4025
CVE-2015-4026
CVE-2015-4147
CVE-2015-4148
Apple ID OD-Plug-in
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Eine bösartige Anwendung kann möglicherweise das Kennwort eines lokalen Benutzers ändern
Beschreibung: Unter bestimmten Umständen bestand ein Statusverwaltungsproblem bei der Passwortauthentifizierung. Das Problem wurde durch eine verbesserte Zustandsverwaltung behoben.
CVE-ID
CVE-2015-3799: ein anonymer Forscher, der mit der Zero Day Initiative von HP zusammenarbeitet
AppleGraphicsControl
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Eine bösartige Anwendung kann möglicherweise das Kernel-Speicherlayout ermitteln
Beschreibung: In AppleGraphicsControl bestand ein Problem, das zur Offenlegung des Kernel-Speicherlayouts hätte führen können. Dieses Problem wurde durch eine verbesserte Begrenzungsprüfung behoben.
CVE-ID
CVE-2015-5768: JieTao Yang von KeenTeam
Bluetooth
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise beliebigen Code mit Systemberechtigungen ausführen
Beschreibung: In IOBluetoothHCIController bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-3779: Teddy Reed von Facebook Security
Bluetooth
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Eine bösartige Anwendung kann möglicherweise das Kernel-Speicherlayout ermitteln
Beschreibung: Ein Speicherverwaltungsproblem könnte zur Offenlegung des Kernel-Speicherlayouts geführt haben. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-3780: Roberto Paleari und Aristide Fattori von Emaze Networks
Bluetooth
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Eine schädliche App kann möglicherweise auf Benachrichtigungen von anderen iCloud-Geräten zugreifen
Beschreibung: Es bestand ein Problem, bei dem eine bösartige App über den Apple Notification Center-Dienst auf die Benachrichtigungscenter-Benachrichtigungen eines mit Bluetooth gekoppelten Macs oder iOS-Geräts zugreifen konnte. Das Problem betraf Geräte, die Handoff verwendeten und bei demselben iCloud-Konto angemeldet waren. Dieses Problem wurde behoben, indem der Zugriff auf den Apple Notification Center-Dienst widerrufen wurde.
CVE-ID
CVE-2015-3786: Xiaolong Bai (Tsinghua University), Luyi Xing (System Security Lab der Indiana University), Tongxin Li (Peking University), XiaoFeng Wang (Indiana University)
Bluetooth
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein Angreifer mit privilegierter Netzwerkposition kann möglicherweise einen Denial-of-Service-Angriff mit fehlerhaften Bluetooth-Paketen durchführen
Beschreibung: Beim Analysieren von Bluetooth-ACL-Paketen bestand ein Problem mit der Eingabevalidierung. Dieses Problem wurde durch eine verbesserte Eingabevalidierung behoben.
CVE-ID
CVE-2015-3787: moony li von Trend Micro
Bluetooth
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein lokaler Angreifer kann möglicherweise eine unerwartete Beendigung der Anwendung oder die Ausführung willkürlichen Codes verursachen
Beschreibung: Bei der Verarbeitung von XPC-Meldungen durch blued bestanden mehrere Pufferüberlaufprobleme. Diese Probleme wurden durch eine verbesserte Begrenzungsprüfung behoben.
CVE-ID
CVE-2015-3777: mitp0sh von [PDX]
bootp
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein Angreifer kann möglicherweise Wi-Fi-Netzwerke ermitteln, auf die ein Gerät zuvor zugegriffen hat
Beschreibung: Beim Verbinden mit einem Wi-Fi-Netzwerk wurden möglicherweise MAC-Adressen von Netzwerken übertragen, auf die zuvor zugegriffen wurde. Dieses Problem wurde behoben, indem nur MAC-Adressen übertragen wurden, die der aktuellen SSID zugeordnet sind.
CVE-ID
CVE-2015-3778: Piers O'Hanlon vom Oxford Internet Institute, University of Oxford (im Rahmen des EPSRC Being There-Projekts)
CloudKit
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Eine bösartige Anwendung kann möglicherweise auf den iCloud-Benutzerdatensatz eines zuvor angemeldeten Benutzers zugreifen
Beschreibung: Beim Abmelden von Benutzern bestand in CloudKit eine Statusinkonsistenz. Dieses Problem wurde durch eine verbesserte Zustandsbehandlung behoben.
CVE-ID
CVE-2015-3782: Deepkanwal Plaha von der University of Toronto
CoreMedia-Wiedergabe
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Das Anzeigen einer in böser Absicht erstellten Filmdatei kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der CoreMedia-Wiedergabe bestanden Speicherbeschädigungsprobleme. Diese wurden durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-5777: Apple
CVE-2015-5778: Apple
CoreText
Verfügbar für: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Schriftartdatei kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Schriftartdateien bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Eingabevalidierung behoben.
CVE-ID
CVE-2015-5761: John Villamil (@day6reak), Yahoo Pentest-Team
CoreText
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Schriftartdatei kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Schriftartdateien bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Eingabevalidierung behoben.
CVE-ID
CVE-2015-5755: John Villamil (@day6reak), Yahoo Pentest-Team
kräuseln
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Mehrere Schwachstellen in cURL und libcurl vor 7.38.0, von denen eine Angreifern aus der Ferne ermöglichen könnte, die Same Origin Policy zu umgehen.
Beschreibung: Vor 7.38.0 bestanden mehrere Sicherheitslücken in cURL und libcurl. Diese Probleme wurden durch die Aktualisierung von cURL auf Version 7.43.0 behoben.
CVE-ID
CVE-2014-3613
CVE-2014-3620
CVE-2014-3707
CVE-2014-8150
CVE-2014-8151
CVE-2015-3143
CVE-2015-3144
CVE-2015-3145
CVE-2015-3148
CVE-2015-3153
Datenerkennungs-Engine
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Die Verarbeitung einer Folge von Unicode-Zeichen kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Unicode-Zeichen traten Speicherbeschädigungsprobleme auf. Diese Probleme wurden durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-5750: M1x7e1 des Safeye-Teams (www.safeye.org)
Voreinstellungsfenster für Datum und Uhrzeit
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Anwendungen, die auf die Systemzeit angewiesen sind, können ein unerwartetes Verhalten aufweisen
Beschreibung: Beim Ändern der Datums- und Uhrzeiteinstellungen des Systems bestand ein Autorisierungsproblem. Dieses Problem wurde durch zusätzliche Autorisierungsprüfungen behoben.
CVE-ID
CVE-2015-3757: Mark SC Smith
Wörterbuch-Anwendung
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein Angreifer mit einer privilegierten Netzwerkposition kann möglicherweise die Abfragen der Dictionary-App von Benutzern abfangen
Beschreibung: In der Wörterbuch-App bestand ein Problem, das die Benutzerkommunikation nicht ordnungsgemäß sicherte. Dieses Problem wurde behoben, indem Wörterbuchabfragen auf HTTPS verschoben wurden.
CVE-ID
CVE-2015-3774: Jeffrey Paul von EEQJ, Jan Bee vom Google-Sicherheitsteam
DiskImages
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten DMG-Datei kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes mit Systemrechten führen
Beschreibung: Beim Parsen von fehlerhaften DMG-Bildern bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-3800: Frank Graziano vom Yahoo Pentest-Team
dyld
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise beliebigen Code mit Systemberechtigungen ausführen
Beschreibung: In dyld bestand ein Problem mit der Pfadvalidierung. Dies wurde durch eine verbesserte Umgebungssanierung behoben.
CVE-ID
CVE-2015-3760: Beist of Greyhash, Stefan Esser
FontParser
Verfügbar für: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Schriftartdatei kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Schriftartdateien bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Eingabevalidierung behoben.
CVE-ID
CVE-2015-3804: Apple
CVE-2015-5775: Apple
FontParser
Verfügbar für: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Schriftartdatei kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Schriftartdateien bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Eingabevalidierung behoben.
CVE-ID
CVE-2015-5756: John Villamil (@day6reak), Yahoo Pentest-Team
groff
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Mehrere Probleme in pdfroff
Beschreibung: In pdfroff bestanden mehrere Probleme, von denen die schwerwiegendsten eine willkürliche Änderung des Dateisystems ermöglichen könnten. Diese Probleme wurden durch Entfernen von pdfroff behoben.
CVE-ID
CVE-2009-5044
CVE-2009-5078
ImageIO
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Die Verarbeitung eines in böser Absicht erstellten TIFF-Bildes kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von TIFF-Bildern bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Begrenzungsprüfung behoben.
CVE-ID
CVE-2015-5758: Apple
ImageIO
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Der Besuch einer in böser Absicht erstellten Website kann zur Offenlegung des Prozessspeichers führen
Beschreibung: Bei der Verarbeitung von PNG- und TIFF-Bildern durch ImageIO bestand ein Problem mit nicht initialisiertem Speicherzugriff. Der Besuch einer schädlichen Website kann dazu führen, dass Daten aus dem Prozessspeicher an die Website gesendet werden. Dieses Problem wird durch eine verbesserte Speicherinitialisierung und zusätzliche Validierung von PNG- und TIFF-Bildern behoben.
CVE-ID
CVE-2015-5781: Michal Zalewski
CVE-2015-5782: Michal Zalewski
Framework-Legacy installieren
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Eine bösartige Anwendung kann beliebigen Code mit Root-Rechten ausführen
Beschreibung: Es bestand ein Problem damit, wie die „Runner"-Binärdatei von Install.framework Berechtigungen verlor. Dieses Problem wurde durch eine verbesserte Berechtigungsverwaltung behoben.
CVE-ID
CVE-2015-5784: Ian Beer von Google Project Zero
Framework-Legacy installieren
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Eine bösartige Anwendung kann möglicherweise beliebigen Code mit Systemberechtigungen ausführen
Beschreibung: In der „Runner"-Binärdatei von Install.framework bestand eine Racebedingung, die dazu führte, dass Berechtigungen fälschlicherweise gelöscht wurden. Dieses Problem wurde durch eine verbesserte Objektsperre behoben.
CVE-ID
CVE-2015-5754: Ian Beer von Google Project Zero
IOFireWireFamilie
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise beliebigen Code mit Systemberechtigungen ausführen
Beschreibung: In IOFireWireFamily bestanden Speicherbeschädigungsprobleme. Diese Probleme wurden durch eine zusätzliche Überprüfung der Typeingabe behoben.
CVE-ID
CVE-2015-3769: Ilja van Sprundel
CVE-2015-3771: Ilja van Sprundel
CVE-2015-3772: Ilja van Sprundel
IOGraphics
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Eine bösartige Anwendung kann möglicherweise beliebigen Code mit Systemberechtigungen ausführen
Beschreibung: In IOGraphics bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine zusätzliche Überprüfung der Typeingabe behoben.
CVE-ID
CVE-2015-3770: Ilja van Sprundel
CVE-2015-5783: Ilja van Sprundel
IOHIDFamilie
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise beliebigen Code mit Systemberechtigungen ausführen
Beschreibung: In IOHIDFamily bestand ein Pufferüberlaufproblem. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-5774: TaiG Jailbreak-Team
Kernel
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Eine bösartige Anwendung kann möglicherweise das Kernel-Speicherlayout ermitteln
Beschreibung: In der Schnittstelle mach_port_space_info bestand ein Problem, das zur Offenlegung des Kernel-Speicherlayouts hätte führen können. Dies wurde behoben, indem die Schnittstelle mach_port_space_info deaktiviert wurde.
CVE-ID
CVE-2015-3766: Cererdlong vom Alibaba Mobile Security Team, @PanguTeam
Kernel
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Eine bösartige Anwendung kann möglicherweise beliebigen Code mit Systemberechtigungen ausführen
Beschreibung: Bei der Verarbeitung von IOKit-Funktionen trat ein Integer-Überlauf auf. Dieses Problem wurde durch eine verbesserte Validierung der IOKit-API-Argumente behoben.
CVE-ID
CVE-2015-3768: Ilja van Sprundel
Kernel
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise einen System-Denial-of-Service verursachen
Beschreibung: Im Fasttrap-Treiber bestand ein Ressourcenerschöpfungsproblem. Dies wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-5747: Der schlaue Code-Scanner (m00nbsd)
Kernel
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise einen System-Denial-of-Service verursachen
Beschreibung: Beim Mounten von HFS-Volumes bestand ein Validierungsproblem. Dies wurde durch Hinzufügen zusätzlicher Überprüfungen behoben.
CVE-ID
CVE-2015-5748: Maxime Villard von m00nbsd
Kernel
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Eine bösartige Anwendung kann möglicherweise unsignierten Code ausführen
Beschreibung: Es bestand ein Problem, durch das nicht signierter Code an signierten Code in einer speziell gestalteten ausführbaren Datei angehängt werden konnte. Dieses Problem wurde durch eine verbesserte Code-Signatur-Validierung behoben.
CVE-ID
CVE-2015-3806: TaiG-Jailbreak-Team
Kernel
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Eine speziell gestaltete ausführbare Datei könnte die Ausführung von unsigniertem, bösartigem Code ermöglichen
Beschreibung: Bei der Auswertung von ausführbaren Dateien mit mehreren Architekturen bestand ein Problem, das die Ausführung von unsigniertem Code ermöglicht haben könnte. Dieses Problem wurde durch eine verbesserte Überprüfung ausführbarer Dateien behoben.
CVE-ID
CVE-2015-3803: TaiG Jailbreak-Team
Kernel
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise unsignierten Code ausführen
Beschreibung: Bei der Verarbeitung von Mach-O-Dateien bestand ein Validierungsproblem. Dies wurde durch Hinzufügen zusätzlicher Überprüfungen behoben.
CVE-ID
CVE-2015-3802: TaiG Jailbreak-Team
CVE-2015-3805: TaiG Jailbreak-Team
Kernel
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Das Analysieren einer in böser Absicht erstellten Plist kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes mit Systemrechten führen
Beschreibung: Bei der Verarbeitung fehlerhafter Plists bestand eine Speicherbeschädigung. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-3776: Teddy Reed von Facebook Security, Patrick Stein (@jollyjinx) von Jinx Deutschland
Kernel
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise beliebigen Code mit Systemberechtigungen ausführen
Beschreibung: Es bestand ein Problem mit der Pfadvalidierung. Dies wurde durch eine verbesserte Umgebungssanierung behoben.
CVE-ID
CVE-2015-3761: Beist von gräulich
Bibliothek
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Die Verarbeitung eines in böser Absicht erstellten regulären Ausdrucks kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen
Beschreibung: In der TRE-Bibliothek bestanden Speicherbeschädigungsprobleme. Diese wurden durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-3796: Ian Beer von Google Project Zero
CVE-2015-3797: Ian Beer von Google Project Zero
CVE-2015-3798: Ian Beer von Google Project Zero
Libinfo
Verfügbar für: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein entfernter Angreifer kann möglicherweise eine unerwartete Programmbeendigung oder die Ausführung willkürlichen Codes verursachen
Beschreibung: Bei der Verarbeitung von AF_INET6-Sockets traten Speicherbeschädigungsprobleme auf. Diese wurden durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-5776: Apple
Bibliotheksthread
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Eine bösartige Anwendung kann möglicherweise beliebigen Code mit Systemberechtigungen ausführen
Beschreibung: Bei der Verarbeitung von Systemaufrufen bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Überprüfung des Sperrzustands behoben.
CVE-ID
CVE-2015-5757: Lufeng Li von Qihoo 360
libxml2
Verfügbar für: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: In libxml2-Versionen vor 2.9.2 bestanden mehrere Schwachstellen, von denen die schwerwiegendste einem entfernten Angreifer ermöglichen könnte, einen Denial-of-Service zu verursachen
Beschreibung: In libxml2-Versionen vor 2.9.2 bestanden mehrere Schwachstellen. Diese wurden behoben, indem libxml2 auf Version 2.9.2 aktualisiert wurde.
CVE-ID
CVE-2014-0191: Felix Groebert von Google
libxml2
Verfügbar für: OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Das Analysieren eines in böser Absicht erstellten XML-Dokuments kann zur Offenlegung von Benutzerinformationen führen
Beschreibung: In libxml2 bestand ein Speicherzugriffsproblem. Dies wurde durch eine verbesserte Speicherverwaltung behoben
CVE-ID
CVE-2014-3660: Felix Groebert von Google
libxml2
Verfügbar für: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Das Analysieren eines in böser Absicht erstellten XML-Dokuments kann zur Offenlegung von Benutzerinformationen führen
Beschreibung: Beim Analysieren von XML-Dateien bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-3807: Apple
libxpc
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Eine bösartige Anwendung kann möglicherweise beliebigen Code mit Systemberechtigungen ausführen
Beschreibung: Bei der Verarbeitung fehlerhafter XPC-Meldungen bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Begrenzungsprüfung behoben.
CVE-ID
CVE-2015-3795: Mathew Rowley
mail_cmds
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise beliebige Shell-Befehle ausführen
Beschreibung: Beim mailx-Parsing von E-Mail-Adressen bestand ein Validierungsproblem. Dies wurde durch eine verbesserte Desinfektion behoben.
CVE-ID
CVE-2014-7844
Benachrichtigungszentrum OSX
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Eine bösartige Anwendung kann möglicherweise auf alle Benachrichtigungen zugreifen, die Benutzern zuvor angezeigt wurden
Beschreibung: Im Benachrichtigungszentrum bestand ein Problem, das Benutzerbenachrichtigungen nicht ordnungsgemäß löschte. Dieses Problem wurde behoben, indem von Benutzern verworfene Benachrichtigungen korrekt gelöscht wurden.
CVE-ID
CVE-2015-3764: Jonathan Zdziarski
ntfs
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein lokaler Benutzer kann möglicherweise beliebigen Code mit Systemberechtigungen ausführen
Beschreibung: In NTFS bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-5763: Roberto Paleari und Aristide Fattori von Emaze Networks
OpenSSH
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Remote-Angreifer können möglicherweise eine Zeitverzögerung für fehlgeschlagene Anmeldeversuche umgehen und Brute-Force-Angriffe durchführen
Beschreibung: Bei der Verarbeitung von tastaturinteraktiven Geräten bestand ein Problem. Dieses Problem wurde durch eine verbesserte Überprüfung der Authentifizierungsanforderung behoben.
CVE-ID
CVE-2015-5600
OpenSSL
Verfügbar für: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: In OpenSSL-Versionen vor 0.9.8zg bestanden mehrere Schwachstellen, von denen die schwerwiegendste einem entfernten Angreifer ermöglichen könnte, einen Denial-of-Service zu verursachen.
Beschreibung: In OpenSSL-Versionen vor 0.9.8zg bestanden mehrere Schwachstellen. Diese wurden behoben, indem OpenSSL auf Version 0.9.8zg aktualisiert wurde.
CVE-ID
CVE-2015-1788
CVE-2015-1789
CVE-2015-1790
CVE-2015-1791
CVE-2015-1792
Perl
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Das Analysieren eines in böser Absicht erstellten regulären Ausdrucks kann zur Offenlegung einer unerwarteten Programmbeendigung oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Art und Weise, wie Perl reguläre Ausdrücke analysierte, bestand ein Ganzzahl-Unterlaufproblem. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2013-7422
PostgreSQL
Verfügbar für: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein Angreifer kann möglicherweise eine unerwartete Anwendungsbeendigung verursachen oder ohne ordnungsgemäße Authentifizierung auf Daten zugreifen
Beschreibung: In PostgreSQL 9.2.4 bestanden mehrere Probleme. Diese Probleme wurden durch die Aktualisierung von PostgreSQL auf 9.2.13 behoben.
CVE-ID
CVE-2014-0067
CVE-2014-8161
CVE-2015-0241
CVE-2015-0242
CVE-2015-0243
CVE-2015-0244
Python
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: In Python 2.7.6 bestanden mehrere Sicherheitslücken, von denen die schwerwiegendste zur Ausführung willkürlichen Codes führen kann
Beschreibung: In Python-Versionen vor 2.7.6 bestanden mehrere Schwachstellen. Diese wurden behoben, indem Python auf Version 2.7.10 aktualisiert wurde.
CVE-ID
CVE-2013-7040
CVE-2013-7338
CVE-2014-1912
CVE-2014-7185
CVE-2014-9365
QL-Büro
Verfügbar für: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Das Analysieren eines in böser Absicht erstellten Office-Dokuments kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen
Beschreibung: Beim Analysieren von Office-Dokumenten bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-5773: Apple
QL-Büro
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Das Analysieren einer in böser Absicht erstellten XML-Datei kann zur Offenlegung von Benutzerinformationen führen
Beschreibung: Beim Analysieren von XML-Dateien bestand ein Problem mit Verweisen auf externe Entitäten. Dieses Problem wurde durch eine verbesserte Analyse behoben.
CVE-ID
CVE-2015-3784: Bruno Morisson von INTEGRITY SA
Quartz Composer-Framework
Verfügbar für: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Das Analysieren einer in böser Absicht erstellten QuickTime-Datei kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen
Beschreibung: Beim Analysieren von QuickTime-Dateien bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-5771: Apple
Schneller Blick
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Die Suche nach einer zuvor angezeigten Website kann den Webbrowser starten und diese Website rendern
Beschreibung: Es bestand ein Problem, bei dem QuickLook JavaScript ausführen konnte. Das Problem wurde behoben, indem die Ausführung von JavaScript nicht zugelassen wurde.
CVE-ID
CVE-2015-3781: Andrew Pouliot von Facebook, Anto Loyola von Qubole
Quick Time 7
Verfügbar für: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Datei kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen
Beschreibung: In QuickTime bestanden mehrere Speicherbeschädigungsprobleme. Diese Probleme wurden durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-3779
CVE-2015-5753: Apple
CVE-2015-5779: Apple
Quick Time 7
Verfügbar für: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Datei kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen
Beschreibung: In QuickTime bestanden mehrere Speicherbeschädigungsprobleme. Diese Probleme wurden durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-3765: Joe Burnett von Audio Poison
CVE-2015-3788: Ryan Pentney und Richard Johnson von Cisco Talos
CVE-2015-3789: Ryan Pentney und Richard Johnson von Cisco Talos
CVE-2015-3790: Ryan Pentney und Richard Johnson von Cisco Talos
CVE-2015-3791: Ryan Pentney und Richard Johnson von Cisco Talos
CVE-2015-3792: Ryan Pentney und Richard Johnson von Cisco Talos
CVE-2015-5751: WalkerFuz
SceneKit
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Das Anzeigen einer in böser Absicht erstellten Collada-Datei kann zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Collada-Dateien in SceneKit kam es zu einem Heap-Pufferüberlauf. Dieses Problem wurde durch eine verbesserte Eingabevalidierung behoben.
CVE-ID
CVE-2015-5772: Apple
SceneKit
Verfügbar für: OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5, OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein entfernter Angreifer kann möglicherweise eine unerwartete Programmbeendigung oder die Ausführung willkürlichen Codes verursachen
Beschreibung: In SceneKit bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-3783: Haris Andrianakis vom Google-Sicherheitsteam
Sicherheit
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein Standardbenutzer kann möglicherweise ohne ordnungsgemäße Authentifizierung auf Administratorrechte zugreifen
Beschreibung: Bei der Handhabung der Benutzerauthentifizierung bestand ein Problem. Dieses Problem wurde durch verbesserte Authentifizierungsprüfungen behoben.
CVE-ID
CVE-2015-3775: [Eldon Ahrold]
SMB-Client
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Ein entfernter Angreifer kann möglicherweise eine unerwartete Programmbeendigung oder die Ausführung willkürlichen Codes verursachen
Beschreibung: Im SMB-Client bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-3773: Ilja van Sprundel
Sprach-UI
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Das Analysieren einer in böser Absicht erstellten Unicode-Zeichenfolge mit aktivierten Sprachwarnungen kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes führen
Beschreibung: Bei der Verarbeitung von Unicode-Strings bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-3794: Adam Greenbaum von Refinitive
sudo
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: In sudo-Versionen vor 1.7.10p9 bestanden mehrere Sicherheitslücken, von denen die schwerwiegendste einem Angreifer den Zugriff auf beliebige Dateien ermöglichen könnte
Beschreibung: In sudo-Versionen vor 1.7.10p9 bestanden mehrere Schwachstellen. Diese wurden behoben, indem sudo auf Version 1.7.10p9 aktualisiert wurde.
CVE-ID
CVE-2013-1775
CVE-2013-1776
CVE-2013-2776
CVE-2013-2777
CVE-2014-0106
CVE-2014-9680
tcpdump
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: In tcpdump 4.7.3 bestanden mehrere Sicherheitslücken, von denen die schwerwiegendste es einem entfernten Angreifer ermöglichen könnte, einen Denial-of-Service zu verursachen.
Beschreibung: In tcpdump-Versionen vor 4.7.3 bestanden mehrere Schwachstellen. Diese wurden durch die Aktualisierung von tcpdump auf Version 4.7.3 behoben.
CVE-ID
CVE-2014-8767
CVE-2014-8769
CVE-2014-9140
Textformate
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Das Analysieren einer in böser Absicht erstellten Textdatei kann zur Offenlegung von Benutzerinformationen führen
Beschreibung: Beim TextEdit-Parsing bestand ein Problem mit Verweisen auf externe XML-Entitäten. Dieses Problem wurde durch eine verbesserte Analyse behoben.
CVE-ID
CVE-2015-3762: Xiaoyong Wu vom Evernote-Sicherheitsteam
udf
Verfügbar für: OS X Yosemite v10.10 bis v10.10.4
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten DMG-Datei kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung willkürlichen Codes mit Systemrechten führen
Beschreibung: Beim Analysieren von fehlerhaften DMG-Bildern bestand ein Speicherbeschädigungsproblem. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-ID
CVE-2015-3767: Beist von Greyhash
OS X Yosemite v10.10.5 enthält die Sicherheitsinhalte von Safari 8.0.8 .
Informationen über Produkte, die nicht von Apple hergestellt wurden, oder unabhängige Websites, die nicht von Apple kontrolliert oder getestet wurden, werden ohne Empfehlung oder Billigung bereitgestellt. Apple übernimmt keine Verantwortung in Bezug auf die Auswahl, Leistung oder Verwendung von Websites oder Produkten von Drittanbietern. Apple macht keine Zusicherungen bezüglich der Genauigkeit oder Zuverlässigkeit von Websites Dritter. Wenden Sie sich an den Anbieter , um weitere Informationen zu erhalten.
No comments:
Post a Comment