Sécurité informatique

SECURINFOS.INFO - Veille en sécurité informatique

Apple Mac OS X : Mise à Jour de Sécurité pour Diverses Vulnérabilités

18/09/2008 00H39
Référence Secunia : SA318822008-09-16
Critique. Critique Niveau 4 sur 5.
Impact : Contournement de la Sécurité, Cross Site Scripting, Spoofing, Manipulation de données, Exposition d'informations systèmes, Exposition de données sensibles, DoS, Accès au système
Lieu : A distance


Solutions :
Correctif de l'éditeur

OS :
Apple Macintosh OS X


Référence CVE :
CVE-2008-0314
CVE-2008-1100
CVE-2008-1382
CVE-2008-1387
CVE-2008-1447
CVE-2008-1483
CVE-2008-1657
CVE-2008-1833
CVE-2008-1835
CVE-2008-1836
CVE-2008-1837
CVE-2008-2305
CVE-2008-2312
CVE-2008-2327
CVE-2008-2329
CVE-2008-2330
CVE-2008-2331
CVE-2008-2332
CVE-2008-2713
CVE-2008-3215
CVE-2008-3608
CVE-2008-3609
CVE-2008-3610
CVE-2008-3611
CVE-2008-3613
CVE-2008-3614
CVE-2008-3616
CVE-2008-3619
CVE-2008-3621
CVE-2008-3622

Description :
Apple a réalisé une mise à jour de sécurité pour Mac OS X, qui corrige différentes vulnérabilités.

1) Une erreur de limitation dans l'interprétation de PostScript font names dans Apple Type Services pourrait être exploitée pour causer un "heap overflow" quand a document contenant a specially crafted font est affiché.

Ce problème pourrait être exploité par un attaquant distant afin de compromettre une machine vulnérable.

2) Quelques vulnérabilités dans ClamAV pourrait être exploitée par des personnes malintentionnées pour passer outre certaines restrictions de sécurité, causer un Déni de Service (DoS), ou compromettre un système vulnérable.


Solutions :
Mettre à jour pour Mac OS X 10.5.5 ou appliquer Mise à jour de Sécurité 2008-006.

Mise à jour de sécurité 2008-006 Client (Intel):
http://www.apple.com/support/downloads/securityupdate2008006clientintel.html

Mise à jour de sécurité 2008-006 Client (PPC):
http://www.apple.com/support/downloads/securityupdate2008006clientppc.html

Mise à jour de sécurité 2008-006 Server (PPC):
http://www.apple.com/support/downloads/securityupdate2008006serverppc.html

Mise à jour de sécurité 2008-006 Server (Universel):
http://www.apple.com/support/downloads/securityupdate2008006serveruniversal.html

Mac OS X 10.5.5 Combo Update:
http://www.apple.com/support/downloads/macosx1055comboupdate.html

Mac OS X 10.5.5 Update:
http://www.apple.com/support/downloads/macosx1055mise à jour.html

Mac OS X Server 10.5.5:
http://www.apple.com/support/downloads/macosxserver1055.html

Mac OS X Server Combo 10.5.5:
http://www.apple.com/support/downloads/macosxservercombo1055.html


Vulnérabilité découverte par :

1) L'éditeur crédite Chris Ries, Carnegie Mellon University Computing Services.
3) L'éditeur crédite IT Department du West Seneca Central School District
5) L'éditeur crédite Michel Colman.
6) L'éditeur crédite Yuxuan Wang, Sogou.
8) L'éditeur crédite Robert Swiecki, Google Security Team.
11) L'éditeur crédite Nevin Liber, Thomas Pelaia of Oak Ridge National Lab, Thomas Tempelmann, et Ram Kolli.
12) Dan Kaminsky, IOActive
14) L'éditeur crédite Christopher A. Grande, Middlesex Community College
15) L'éditeur crédite une personne anonyme via iDefense VCP.
19) L'éditeur crédite Hernan Ochoa of Core Security Technologies, Tore Halset of pvv.org, et Matt Johnston du University Computer Club.
20) L'éditeur crédite Edwin McKenzie.
22) L'éditeur crédite Leon von Tippelskirch et Matthias Wieczorek du Chair pour Applied Software Engineering, TU Munich

Référence :
Apple:
http://support.apple.com/kb/HT3137


Autres références :

SA29000:
http://secunia.com/advisories/29000/

SA29522:
http://secunia.com/advisories/29522/

SA29602:
http://secunia.com/advisories/29602/

SA29792:
http://secunia.com/advisories/29792/

SA30657:
http://secunia.com/advisories/30657/

SA30924:
http://secunia.com/advisories/30924/

SA31610:
http://secunia.com/advisories/31610/

SA31821:
http://secunia.com/advisories/31821/