Umfangreiches Sicherheitsupdate für MacOS X

Patch beseitigt fünf als gefährlich eingestufte Sicherheitslöcher

Apple hat mit dem Security Update 2008-007 ein umfangreiches Patchpaket für MacOS X veröffentlicht, mit dem zahlreiche Sicherheitslecks geschlossen werden. Fünf Sicherheitslücken gelten als gefährlich, weil sie zum Ausführen von Schadcode missbraucht werden können. Die Updates gibt es für MacOS X 10.4.11 sowie 10.5.5.

Artikel veröffentlicht am ,

Eine Sicherheitslücke befindet sich in der Farbprofilkomponente ColorSync. Der Fehler kann zum Ausführen von Schadcode missbraucht werden, indem ein Angreifer das Opfer dazu verleitet, eine manipulierte Bilddatei mit einem eingebetteten ICC-Profil zu öffnen. Alternativ dazu kann der Fehler auch nur zu einem Programmabsturz führen.

Stellenmarkt
  1. SAP ABAP Entwickler (m/w/x)
    über duerenhoff GmbH, Raum Hannover
  2. SAP S/4 HANA Manufacturing Berater (m/w/x)
    über duerenhoff GmbH, Raum Düsseldorf
Detailsuche

Der von HP stammende HPGL-Filter für Cups weist einen Fehler auf, mit dem sich Schadcode aus der Ferne ausführen lässt, wenn Drucker-Sharing aktiviert ist. Ist die Sharing-Funktion deaktiviert, kann der Fehler von einem lokal angemeldeten Nutzer noch zur Rechteausweitung verwendet werden.

In der libxslt-Bibliothek steckt ein Programmfehler, der sich über eine speziell aufgemachte HTML-Seite ausnutzen lässt. Dann kann ein Angreifer entweder einen Programmabsturz provozieren oder auch schadhaften Programmcode ausführen. Die Komponente PSNormalizer weist ein gefährliches Sicherheitsleck auf, worüber Angreifer mittels präparierter PostScript-Datei im schlimmsten Fall beliebigen Programmcode ausführen können. Eine Rechteausweitung ist durch einen Programmfehler in den Netzwerkfunktionen sowie im Script Editor von MacOS X möglich.

Die oben genannten Sicherheitslecks stecken sowohl in MacOS X 10.4.11 als auch in 10.5.5, während die nachfolgenden Programmfehler nur in MacOS X 10.5.5 zu finden sind. Die QuickLook-Komponente verarbeitet Excel-Dokumente falsch, so dass das Öffnen oder das Herunterladen einer präparierten Datei für das Ausführen von Schadcode genutzt werden kann.

Ein Programmfehler im Finder macht den Mac-Desktop unbrauchbar, weil die Anzeige des Programmicons mit einer speziell bearbeiteten Programmdatei durcheinandergebracht werden kann. Ohne Entfernung der betreffenden Datei wäre der Finder nicht mehr nutzbar. Das Update lagert diese Funktion in einen separaten Prozess, so dass es nicht mehr zu diesem Fehler kommt. In Postfix erlaubt ein Fehler einem lokal angemeldeten Nutzer unter bestimmten Umständen den Versand einer E-Mail an andere lokal angemeldete Anwender. Auch dieser Fehler soll mit dem Update korrigiert werden.

Zahlreiche bestehende Zertifikate wurden aktualisiert und neue hinzugefügt. Außerdem liegt eine aktualisierte Version der Komponente launchd bei, die einen kleineren Programmfehler beseitigt. Auch rlogin sowie Single Sign-On wurden aktualisiert, um kleinere Programmfehler zu korrigieren.

Dem Sicherheitspatch liegt Apache in der neuen Version 2.2.9 bei, die mehrere Sicherheitslecks der Vorversion beseitigt. Gleiches gilt für den MySQL Server, der nun in der Version 5.0.67 beiliegt, sowie für PHP, das in der Version 4.4.9 integriert wurde. Auch neue Versionen von Tomcat und vim sind nun Bestandteil von MacOS X. Zudem wurde der Virenscanner ClamAV in der Version 0.94 integriert, um entsprechende Sicherheitslücken zu schließen.

Der Sicherheitspatch steht für MacOS X 10.4.11 und 10.5.5 sowohl in der Desktop- als auch der Servervariante als Download bereit. Zudem wird das Update über die Aktualisierungsfunktion des Betriebssystems verteilt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


schneckeNr1 12. Okt 2008

Nutze die Servervariante unter Virtualbox - wirklich gut!

root86.org 11. Okt 2008

Du mußt es ja wissen !

RaiseLee 10. Okt 2008

Das ist nur PR die wollen bloss in die News! Apple Software hat keine Fehler, nicht mal...

BartholoMaus 10. Okt 2008

Cool, dann können wir zusammen am Lagerfeuer sitzen und User essen. Nicht ich, die User...

iIT 10. Okt 2008

Mit Zeta wär das nicht passiert! Für Zeta kommen seit Jahren keine Updates raus weil Zeta...



Aktuell auf der Startseite von Golem.de
Corsair Sabre Pro (Wireless) im Test
Kabel oder kein Kabel, das ist die Frage

Sind kabelgebundene Mäuse wirklich noch besser? Wir zeigen Vor- und Nachteile anhand fast identischer Corsair-Mäuse mit und ohne Kabel.
Ein Test von Oliver Nickel

Corsair Sabre Pro (Wireless) im Test: Kabel oder kein Kabel, das ist die Frage
Artikel
  1. Full Self Driving: Tesla-Fahrer dürfen Beta nur bei Wohlverhalten nutzen
    Full Self Driving
    Tesla-Fahrer dürfen Beta nur bei Wohlverhalten nutzen

    Die Testversion des Full-Self-Driving-Pakets sollen nur Tesla-Fahrer nutzen dürfen, deren Fahrverhalten einwandfrei ist.

  2. Echtzeit-Strategie: Age of Empires 4 braucht nicht die schnellste Hardware
    Echtzeit-Strategie
    Age of Empires 4 braucht nicht die schnellste Hardware

    Die vollständigen Specs für den Technik-Test von Age of Empires 4 liegen vor. Spieler können ab heute Abend in die Historie eintauchen.

  3. Umweltfreundlicher Sattelschlepper: Iveco und Nikola starten E-Lastwagen-Produktion in Ulm
    Umweltfreundlicher Sattelschlepper
    Iveco und Nikola starten E-Lastwagen-Produktion in Ulm

    Die Nikola-Zugmaschine Tre mit Elektroantrieb soll zunächst für den US-Markt gefertigt werden, später auch für Europa.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Nur noch heute: MM-Club-Tage (u. a. SanDisk Ultra 3D 2 TB 142,15€) • Corsair Vengeance RGB PRO 16-GB-Kit DDR4-3200 71,39€ • Corsair RM750x 750 W 105,89€ • WD Elements Desktop 12 TB 211,65€ • Alternate (u. a. Creative SB Z SE 71,98€) • ASUS ROG Crosshair VIII Hero WiFi 269,99€ [Werbung]
    •  /