Aggiornate Mac OS X alla versione 10.6.3

La Apple ha da pochissimi giorni rilasciato un aggiornamento molto grande volto a correggere svariate falle di sicurezza anche molto critiche e a correggere alcuni problemi, con questo aggiornamento la versione del Mac OS X è adesso la 10.6.3

Si consiglia di eseguire il backup del sistema prima di procedere all’installazione; ad esempio puoi utilizzare Time Machine.

Mac OS X 10.6.3 può essere scaricato utilizzando Aggiornamento Software dal menù Apple oppure scaricare manualmente il programma di installazione.

Modifiche e miglioramenti generali del sistema operativo:

Prestazioni più efficienti di Logic Pro 9 e Main Stage 2 in modalità a 64 bit
Maggiore affidabilità di stampa
Maggiore affidabilità in fase di sospensione e riattivazione quando si utilizza la riattivazione su richiesta tramite Bonjour
Soluzione al problema di colore in iMovie con contenuto ad alta definizione
Soluzione al problema causato da pixel troppo luminosi, bloccati o scuri durante la visualizzazione di video tramite la fotocamera iSight incorporata nell’iMac (Fine 2009)
Soluzione all’errore -36 riportato dal Finder al momento di copiare cartelle su un’unità formattata come FAT32
Maggiore affidabilità dei salvaschermi con foto
Soluzione ai problemi di compatibilità con applicazioni basate su OpenGL
Soluzione al problema delle ombre nere anziché grigie nel PDF dell’album in Aperture
Soluzione all’impossibilità di alzare il livello del volume del microfono di iChat, dopo averlo abbassato, per evitare il ritorno del suono
Maggiore affidabilità di alcuni dispositivi USB di terze parti
Limitazione dell’accesso ai membri dei gruppi ospitati da un servizio di directory non Apple, quale Active Directory, tramite il pannello preferenze Account
Migliore organizzazione del server DNS come specificato nelle Preferenze Network e maggiore affidabilità del DNS (per dettagli su come Mac OS X v10.6 gestisce i server DNS che non rispondono, consulta questo articolo)
Maggiore affidabilità e migliore compatibilità di QuickTime X
Raccolta dati: Mac OS X v10.6.3 può raccogliere informazioni di diagnostica e sull’utilizzo dal computer Mac in uso e inviarle automaticamente ad Apple per l’analisi. Le informazioni però vengono raccolte esclusivamente previo consenso dell’utente, per essere poi inviate in forma anonima ad Apple. Per maggiori dettagli, consulta questo articolo.

Modifiche di AirPort e wireless networking

Maggiore affidabilità generale delle connessioni wireless
Maggiore affidabilità di 802.1X, incluse le connessioni a network chiusi, e WPA2
Maggiore affidabilità in fase di sospensione e riattivazione per i modelli attuali di iMac se connessi a network wireless da 2.4 GHz

Modifiche di ora e data

Impostazione delle regole dell’ora legale per adeguarsi ai recenti cambiamenti in aree che includono Argentina, Fiji, Pakistan e Antartide

Modifiche di Servizi Directory

Soluzione al problema dell’instabilità o della mancanza di risposta del sistema, se collegato a un server LDAP durante l’utilizzo di SSL
Soluzione all’impossibilità di autenticazione di directory su rete Ethernet, quando il profilo FinestraLogin del protocollo 802.1X è attivo, ma il network wireless non è disponibile

Modifiche di Servizi File

Soluzione al problema del mancato salvataggio di file da parte di Microsoft Office 2008 a un volume di server con protocollo SMB
Soluzione ai problemi causati al momento di copiare, rinominare o eliminare file su un volume di server con protocollo SMB
Abilitazione all’autenticazione in chiaro a un file server con protocollo SMB

Modifiche di iCal

Modifica dell’elenco di inviti per una singola istanza di un evento ricorrente senza eliminare la registrazione del luogo di incontro
Soluzione al problema di visualizzazione nel pannello Notifica dei nuovi inviti su un server Microsoft Exchange
Corretta visualizzazione degli eventi Microsoft Exchange ricorrenti, la cui data di termine è già fissata (per maggiori dettagli, consulta questo articolo)

Modifiche di Mail

Soluzione al problema di visualizzazione non corretta dei colori di sfondo dei messaggi nell’applicazione Mail
Messaggi firmati e criptati, come quelli visualizzati durante l’utilizzo di Entrust PKI (Public Key Infrastructure)
Sincronizzazione della sezione “Inviati” della casella di posta su un server Microsoft Exchange
Soluzione al problema della cancellazione da parte di Mail delle caselle di posta su un server Microsoft Exchange ospitato con bilanciamento del carico Internet

Modifiche e miglioramenti di account mobile

Sincronizzazione della cartella Inizio quando questa è archiviata su un file server con protocollo SMB
Pronto avviso degli utenti in un dominio Active Directory sull’imminente scadenza della password
Creazione di un account mobile con autenticazione tramite smart card, senza usare uno strumento linea di comando
Maggiore affidabilità nella sincronizzazione in background

Modifiche e miglioramenti per MobileMe

Soluzione all’impossibilità di visualizzare filmati su Safari, quando si visita il sito www.me.com/gallery
Maggiore affidabilità di sincronizzazione di iDisk
Maggiore affidabilità di sincronizzazione dei calendari
Modifiche e miglioramenti per controlli censura

Ripristino della funzionalità dei segnalibri di Safari per gli utenti sottoposti a controlli censura
Migliore gestione dei segnalibri di Safari quando si usano i controlli censura
Restrizioni più affidabili al momento di avviare le applicazioni quando si usano i controlli censura

Modifiche per Rosetta

Soluzione al problema che impedisce l’apertura nelle applicazioni Rosetta di file con i caratteri # e & riportati nel nome

Modifiche e miglioramenti dell’elaborazione delle immagini di sistema

Ripristino delle immagini di un catalogo frammentato tramite il comando asr, che accetta adesso l’opzione “–allow fragmented catalog” (per dettagli, scrivi “man asr” nel Terminal)
Comando del programma di installazione, che può essere ora usato per aggiornare un sistema Mac OS X v10.5 con una chiave di QuickTime 7 Pro installata su Mac OS X v10.6

Modifiche e miglioramenti di Time Machine

Maggiore affidabilità dei backup da Time Machine a Time Capsule, compresi più computer
Soluzione al problema con Time Machine relativo al ripristino dei backup del sistema su configurazioni non supportate dal Mac
Soluzione al mancato funzionamento di un backup di Time Machine utilizzando una connessione AirPort

Modifiche e miglioramenti di Xsan

Maggiore affidabilità delle connessioni tramite Fibre channel a una Xserve RAID
Soluzione al problema di dimensione di alcuni LUN della scheda Fibre channel non riportati correttamente

Vediamo quali sono i bug corretti e il loro possibile impatto sul sistema:

  • AppKit

    CVE-ID: CVE-2010-0056

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8

    Impatto: l’esecuzione del controllo ortografico di un documento pericoloso può comportare la chiusura improvvisa dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: si verifica un overflow del buffer di nella funzionalità del controllo ortografico utilizzata dalle applicazioni Cocoa. L’esecuzione del controllo ortografico di un documento pericoloso può comportare la chiusura improvvisa dell’applicazione o l’esecuzione di codice arbitrario. Questo problema viene risolto attraverso un migliore controllo dei limiti. Il problema non interessa i sistemi Mac OS X v10.6. Si ringrazia: Apple.

  • Applicazione Firewall

    CVE-ID: CVE-2009-2801

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8

    Impatto: alcune regole nell’applicazione Firewall possono disattivarsi dopo il riavvio

    Descrizione: un problema di timing nell’applicazione Firewall può causare la disattivazione di alcune regole dopo il riavvio. Il problema viene risolto attraverso una migliore gestione delle regole del Firewall. Il problema non interessa i sistemi Mac OS X v10.6. Ringraziamo Michael Kisor di OrganicOrb.com per aver segnalato il problema.

  • Server AFP

    CVE-ID: CVE-2010-0057

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: quando l’accesso ospite è disabilitato, un utente remoto potrebbe essere in grado di attivare condivisioni AFP come ospite

    Descrizione: un problema nel controllo accessi nel server AFP può consentire a un utente remoto di attivare condivisioni AFP, anche se l’accesso ospite è disabilitato. Questo problema viene risolto attraverso migliori verifiche del controllo accessi. Si ringrazia: Apple.

  • Server AFP

    CVE-ID: CVE-2010-0533

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: un utente remoto con accesso ospite a una condivisione AFP potrebbe accedere ai contenuti dei file leggibili con l’impostazione World al di fuori della condivisione pubblica

    Descrizione: si verifica un problema trasversale di directory nella convalida del percorso per le condivisioni AFP. Un utente remoto potrebbe enumerare la directory principale del root della condivisione e leggere o scrivere documenti accessibili all’utente ‘nessuno’ all’interno di tale directory. Questo problema viene risolto attraverso una migliore gestione dei percorsi dei documenti. Ringraziamo Patrik Karlsson di cqure.net per aver segnalato il problema.

  • Apache

    CVE-ID: CVE-2009-3095

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: un malintenzionato remoto potrebbe essere in grado di eludere le restrizioni del controllo accessi

    Descrizione: si verifica un problema di convalida degli input nella gestione da parte di Apache delle richieste FTP attraverso il proxy. Un malintenzionato remoto in grado di emettere richieste attraverso il proxy potrebbe riuscire a eludere le restrizioni del controllo accessi specificate nella configurazione di Apache. Questo problema viene risolto aggiornando Apache alla versione 2.2.14.

  • ClamAV

    CVE-ID: CVE-2010-0058

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8

    Impatto: le definizioni dei virus di ClamAV potrebbero non ricevere gli aggiornamenti

    Descrizione: un problema di configurazione introdotto in Security Update 2009-005 impedisce l’esecuzione di freshclam. Ciò potrebbe impedire l’aggiornamento delle definizioni dei virus. Questo problema viene risolto aggiornando i valori delle chiavi di launchd plist ProgramArguments. Il problema non interessa i sistemi Mac OS X v10.6. Ringraziamo Bayard Bell, Wil Shipley di Delicious Monster e David Ferrero di Zion Software, LLC per avere segnalato il problema.

  • CoreAudio

    CVE-ID: CVE-2010-0059

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la riproduzione di contenuti audio pericolosi può causare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: si verifica una corruzione della memoria nella gestione di contenuti audio QDM2 codificati. La riproduzione di contenuti audio pericolosi può causare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario. Questo problema viene risolto attraverso un migliore controllo dei limiti. Ringraziamo un ricercatore anonimo, collaboratore della Zero Day Initiative di TippingPoint, per aver segnalato il problema.

  • CoreAudio

    CVE-ID: CVE-2010-0060

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la riproduzione di contenuti audio pericolosi può causare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: si verifica una della memoria nella gestione di contenuti audio QDMC codificati. La riproduzione di contenuti audio pericolosi può causare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario. Questo problema viene risolto attraverso un migliore controllo dei limiti. Ringraziamo un ricercatore anonimo, collaboratore della Zero Day Initiative di TippingPoint, per aver segnalato il problema.

  • CoreMedia

    CVE-ID: CVE-2010-0062

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: si verifica un overflow del buffer di heap nella gestione da parte di CoreMedia di filmati H.263 codificati. La visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario. Questo problema può essere risolto eseguendo ulteriori convalide dei filmati H.263 codificati. Ringraziamo Damian Put, collaboratore della Zero Day Initiative di TippingPoint, per aver segnalato questo problema.

  • CoreTypes

    CVE-ID: CVE-2010-0063

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: gli utenti non ricevono alcun avviso prima dell’apertura di determinati tipi di contenuto potenzialmente pericoloso

    Descrizione: questo aggiornamento aggiunge i file .ibplugin e .url all’elenco di sistema dei tipi di contenuto contrassegnati come potenzialmente pericolosi in determinate circostante, ad esempio durante il download da una pagina Web. Anche se questi tipi di contenuto non vengono avviati automaticamente, se aperti manualmente possono comportare l’esecuzione di un playload JavaScript pericoloso o di codice arbitrario. Questo aggiornamento migliora la capacità del sistema di inviare notifiche agli utenti prima di gestire i tipi di contenuto utilizzati da Safari. Ringraziamo Clint Ruoho di Laconic Security per aver riferito il problema.

  • CUPS

    CVE-ID: CVE-2010-0393

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: un utente locale potrebbe essere in grado di ottenere privilegi di sistema

    Descrizione: si verifica un problema relativo alla stringa del formato nell’utility lppasswd CUPS. Ciò può consentire a un utente locale di ottenere privilegi di sistema. I sistemi Mac OS X v10.6 vengono interessati solo se il bit setuid è stato impostato su binario. Questo problema viene risolto utilizzando le directory di default per l’esecuzione come processo setuid. Ringraziamo Ronald Volgers per aver riferito questo problema.

  • curl

    CVE-ID: CVE-2009-2417

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: un malintenzionato che esegue un attacco MITM (Man in the Middle) potrebbe riuscire a spacciarsi per un server attendibile

    Descrizione: si verifica un problema di canonicalizzazione nella gestione da parte di curl dei caratteri NULL nel campo Nome comune (CN) dei certificati X.509. Ciò può causare attacchi MITM contro gli utenti dello strumento della riga di comando curl o contro applicazioni che utilizzano libcurl. Questo problema viene risolto attraverso una migliore gestione dei caratteri NULL.

  • curl

    CVE-ID: CVE-2009-0037

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8

    Impatto: l’utilizzo di curl con -L può consentire a un malintenzionato remoto di leggere o scrivere documenti locali

    Descrizione: curl segue i reindirizzamenti HTTP e HTTPS se utilizzato con l’opzione -L. Quando curl segue un reindirizzamento, consente gli URL dei documenti. Ciò può consentire a un malintenzionato remoto di accedere ai documenti locali. Questo problema viene risolto attraverso una migliore convalida dei reindirizzamenti. Il problema non interessa i sistemi Mac OS X v10.6. Ringraziamo Daniel Stenberg di Haxx AB per aver segnalato il problema.

  • Cyrus IMAP

    CVE-ID: CVE-2009-2632

    Disponibile per: Mac OS X Server v10.5.8

    Impatto: un utente locale può essere in grado di ottenere i privilegi di utente Cyrus

    Descrizione: si verifica un overflow del buffer di nella gestione degli script Sieve. Eseguendo uno script Sieve pericoloso, un utente locale potrebbe ottenere i privilegi di utente Cyrus. Questo problema viene risolto attraverso un migliore controllo dei limiti. Il problema non interessa i sistemi Mac OS X v10.6.

  • Cyrus SASL

    CVE-ID: CVE-2009-0688

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8

    Impatto: un malintenzionato collegato in remoto può causare la chiusura inaspettata delle applicazioni oppure l’esecuzione di codice arbitrario

    Descrizione: esiste un overflow del buffer nel modulo di autenticazione Cyrus SASL. L’utilizzo dell’autenticazione Cyrus SASL può comportare la chiusura improvvisa dell’applicazione o l’esecuzione di codice arbitrario. Questo problema viene risolto attraverso un migliore controllo dei limiti. Il problema non interessa i sistemi Mac OS X v10.6.

  • DesktopServices

    CVE-ID: CVE-2010-0064

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: gli elementi copiati nel Finder possono essere assegnati a un proprietario dei documenti imprevisto

    Descrizione: quando si esegue una copia autenticata nel Finder, la proprietà del documento originale può venire copiata in modo imprevisto. Questo aggiornamento risolve il problema assicurando che i documenti copiati siano di proprietà dell’utente che esegue la copia. Questo problema non riguarda i sistemi precedenti a Mac OS X v10.6. Ringraziamo Gerrit DeWitt della Auburn University (Auburn, AL) per aver riferito questo problema.

  • DesktopServices

    CVE-ID: CVE-2010-0537

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: un malintenzionato remoto può ottenere l’accesso ai dati dell’utente mediante un attacco in più fasi

    Descrizione: un problema di risoluzione dei percorsi in DesktopServices comporta una vulnerabilità ad attacchi in più fasi. Un malintenzionato remoto deve prima indurre l’utente ad attivare una condivisione con un nome arbitrario, operazione che può essere eseguita mediante uno schema URL. Quando si registra un documento mediante il pannello di registrazione di default in qualsiasi applicazione e si utilizza “Vai alla cartella” o si trascinano le cartelle nel pannello di registrazione, i dati possono essere registrati in modo inatteso nella condivisione pericolosa. Questo problema viene risolto attraverso una migliore risoluzione dei percorsi. Il problema non riguarda i sistemi precedenti a Mac OS X v10.6. Ringraziamo Sidney San Martin, che collabora con DeepTech, Inc., per aver riferito questo problema.

  • Immagini disco

    CVE-ID: CVE-2010-0065

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: l’attivazione di un’immagine disco pericolosa può provocare la chiusura improvvisa delle applicazioni o l’esecuzione di codice arbitrario

    Descrizione: si verifica una corruzione della memoria nella gestione delle immagini disco compresse bzip2. L’attivazione di un’immagine disco può provocare la chiusura improvvisa delle applicazioni o l’esecuzione di codice arbitrario. Questo problema viene risolto attraverso un migliore controllo dei limiti. Si ringrazia: Apple.

  • Immagini disco

    CVE-ID: CVE-2010-0497

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: l’attivazione di un’immagine disco pericolosa può provocare la chiusura improvvisa delle applicazioni o l’esecuzione di codice arbitrario

    Descrizione: esiste un problema di progettazione nella gestione delle immagini disco con abilitazione a Internet. L’attivazione di un’immagine disco con abilitazione a Internet contenente un tipo di documento di pacchetto causa l’apertura di quest’ultimo invece di visualizzarlo nel Finder. La funzione di quarantena dei documenti contribuisce ad attenuare questo problema visualizzando una finestra di dialogo di avviso per i tipi di documenti non sicuri. Questo problema viene risolto attraverso una migliore gestione dei tipi di documenti di pacchetto sulle immagini disco con abilitazione a Internet. Ringraziamo Brian Mastenbrook, collaboratore della Zero Day Initiative di TippingPoint, per aver segnalato questo problema.

  • Servizi Directory

    CVE-ID: CVE-2010-0498

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: un utente locale può ottenere privilegi di sistema

    Descrizione: un problema di autorizzazione nella gestione dei nomi dei record da parte dei Servizi Directory può consentire a un utente di ottenere privilegi di sistema. Questo problema viene risolto attraverso migliori verifiche delle autorizzazioni. Si ringrazia: Apple.

  • Dovecot

    CVE-ID: CVE-2010-0535

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: un utente autenticato può inviare e ricevere e-mail anche se non figura nella lista di controllo degli accessi (SACL) degli utenti che dispongono di tale autorizzazione

    Descrizione: si verifica un problema di controllo degli accessi in Dovecot quando è abilitata l’autenticazione Kerberos. Ciò può consentire a un utente autenticato di inviare e ricevere e-mail anche se non figura nella lista di controllo degli accessi (SACL) degli utenti che dispongono di tale autorizzazione. Questo problema viene risolto attraverso migliori verifiche del controllo accessi. Il problema non interessa i sistemi precedenti a Mac OS X v10.6.

  • Event Monitor

    CVE-ID: CVE-2010-0500

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: un malintenzionato collegato in remoto può causare l’aggiunta arbitraria di sistemi alla lista nera del firewall

    Descrizione: viene eseguita una ricerca DNS inversa sui client ssh remoti la cui autenticazione fallisce. Si verifica un problema di immissione plist nella gestione dei nomi DNS risolti. Ciò può consentire a un malintenzionato collegato in remoto di causare l’aggiunta arbitraria di sistemi alla lista nera del firewall. Questo problema viene risolto evitando in modo opportuno i nomi DNS risolti. Si ringrazia: Apple.

  • FreeRADIUS

    CVE-ID: CVE-2010-0524

    Disponibile per: Mac OS X Server v10.5.8, Mac OS X Server da v10.6 a v10.6.2

    Impatto: un malintenzionato remoto può ottenere l’accesso a un network mediante autenticazione RADIUS

    Descrizione: esiste un problema di autentificazione dei certificati nella configurazione di default di Mac OS X del server FreeRADIUS. Un malintenzionato collegato in remoto può utilizzare EAP-TLS con un certificato arbitrario valido per autenticarsi e collegarsi a un network configurato per utilizzare FreeRADIUS per l’autenticazione. Questo problema viene risolto disabilitando il supporto EAP-TLS nella configurazione. I client RADIUS devono utilizzare invece EAP-TTLS. Il problema interessa solo i sistemi Mac OS X Server. Ringraziamo Chris Linstruth di Qnet per aver segnalato il problema.

  • Server FTP

    CVE-ID: CVE-2010-0501

    Disponibile per: Mac OS X Server v10.5.8, Mac OS X Server da v10.6 a v10.6.2

    Impatto: alcuni utenti possono essere in grado di recuperare documenti al di fuori della directory root FTP

    Descrizione: si verifica un problema trasversale di directory nel server FTP. Ciò può consentire a un utente di recuperare documenti al di fuori della directory root FTP. Questo problema viene risolto attraverso una migliore gestione dei nomi dei documenti. Il problema interessa solo i sistemi Mac OS X Server. Si ringrazia: Apple.

  • Server iChat

    CVE-ID: CVE-2006-1329

    Disponibile per: Mac OS X Server v10.5.8, Mac OS X Server da v10.6 a v10.6.2

    Impatto: un utente remoto malintenzionato potrebbe essere in grado di causare un DoS (“Denial of Service”)

    Descrizione: si verifica un problema di implementazione nella gestione della negoziazione SASL da parte di jabberd. Impatto: un utente remoto malintenzionato potrebbe essere in grado di causare la chiusura di jabberd. Questo problema viene risolto attraverso una migliore gestione della negoziazione SASL. Il problema interessa solo i sistemi Mac OS X Server.

  • Server iChat

    CVE-ID: CVE-2010-0502

    Disponibile per: Mac OS X Server v10.5.8, Mac OS X Server da v10.6 a v10.6.2

    Impatto: non è possibile eseguire il login di messaggi chat

    Descrizione: esiste un problema di progettazione nel supporto del server iChat per il login in chat di gruppo configurabili. Il server iChat esegue il login solo con alcuni tipi di messaggi. Ciò può consentire a un utente remoto di inviare un messaggio attraverso il server senza eseguire il login. Questo problema viene risolto eliminando la possibilità di disabilitare il login a chat di gruppo ed eseguendo il login di tutti i messaggi inviati attraverso il server. Il problema interessa solo i sistemi Mac OS X Server. Si ringrazia: Apple.

  • Server iChat

    CVE-ID: CVE-2010-0503

    Disponibile per: Mac OS X Server v10.5.8

    Impatto: un utente autenticato potrebbe essere in grado di causare la chiusura imprevista dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: esiste un problema di tipo use-after-free nel server iChat. Un utente autenticato potrebbe essere in grado di causare la chiusura imprevista dell’applicazione o l’esecuzione di codice arbitrario. Questo problema viene risolto attraverso un migliore rilevamento dei riferimenti della memoria. Il problema interessa solo i sistemi Mac OS X Server e non interessa le versioni v10.6 o successive.

  • Server iChat

    CVE-ID: CVE-2010-0504

    Disponibile per: Mac OS X Server v10.5.8, Mac OS X Server da v10.6 a v10.6.2

    Impatto: un utente autenticato potrebbe essere in grado di causare la chiusura imprevista dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: si verificano diversi problemi di vulnerabilità dovuti all’overflow del buffer di stack nel server iChat. Un utente autenticato potrebbe essere in grado di causare la chiusura imprevista dell’applicazione o l’esecuzione di codice arbitrario. Questi problemi vengono risolti attraverso una migliore gestione della memoria. Questi problemi riguardano solo i sistemi Mac OS X Server. Si ringrazia: Apple.

  • ImageIO

    CVE-ID: CVE-2010-0505

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: l’apertura di un’immagine JP2 pericolosa può causare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: esiste un overflow del buffer di heap nella gestione delle immagini disco JP2. L’apertura di un’immagine JP2 pericolosa può causare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario. Questo problema viene risolto attraverso un migliore controllo dei limiti. Ringraziamo Chris Ries of Carnegie Mellon University Computing Service e il ricercatore “85319bb6e6ab398b334509c50afce5259d42756e”, collaboratore della Zero Day Initiative di TippingPoint, per aver segnalato il problema.

  • ImageIO

    CVE-ID: CVE-2010-0041

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: l’accesso a un sito Web pericoloso può comportare l’invio di dati dalla memoria di Safari al sito Web

    Descrizione: si verifica un problema di accesso alla memoria non inizializzata nella gestione delle immagini BMP da parte di ImageIO. L’accesso a un sito Web pericoloso può comportare l’invio di dati dalla memoria di Safari al sito Web. Questo problema viene risolto attraverso una migliore inizializzazione della memoria e un’ulteriore convalida delle immagini BMP. Ringraziamo Matthew “j00ru” Jurczyk di Hispasec per aver segnalato il problema.

  • ImageIO

    CVE-ID: CVE-2010-0042

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: l’accesso un sito Web pericoloso può comportare l’invio di dati dalla memoria di Safari al sito Web

    Descrizione: si verifica un problema di accesso alla memoria non inizializzata nella gestione delle immagini TIFF da parte di ImageIO. L’accesso a un sito Web pericoloso può comportare l’invio di dati dalla memoria di Safari al sito Web. Questo problema viene risolto attraverso una migliore inizializzazione della memoria e un’ulteriore convalida delle immagini TIFF. Ringraziamo Matthew “j00ru” Jurczyk di Hispasec per aver segnalato il problema.

  • ImageIO

    CVE-ID: CVE-2010-0043

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: l’elaborazione di un’immagine TIFF pericolosa può causare la chiusura inaspettata delle applicazioni o l’esecuzione di codice arbitrario

    Descrizione: si verifica un danneggiamento della memoria nella gestione delle immagini TIFF. L’elaborazione di un’immagine TIFF pericolosa può causare la chiusura inaspettata delle applicazioni o l’esecuzione di codice arbitrario. Questo problema viene risolto attraverso una migliore gestione della memoria. Questo problema non riguarda i sistemi precedenti Mac OS X v10.6. Ringraziamo Gus Mueller di Flying Meat per aver segnalato questo problema.

  • Formato RAW delle immagini

    CVE-ID: CVE-2010-0506

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8

    Impatto: la visualizzazione di un’immagine NEF pericolosa può causare la chiusura imprevista dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: si verifica un overflow del buffer nella gestione del formato RAW delle immagini NEF. La visualizzazione di un’immagine NEF pericolosa può causare il blocco inatteso delle applicazioni o l’esecuzione arbitraria dei codici. Questo problema viene risolto attraverso un migliore controllo dei limiti. Il problema non interessa i sistemi Mac OS X v10.6. Si ringrazia: Apple.

  • Formato RAW delle immagini

    CVE-ID: CVE-2010-0507

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la visualizzazione di un’immagine PEF pericolosa può causare la chiusura imprevista dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: si verifica un overflow del buffer nella gestione del formato RAW delle immagini PEF. La visualizzazione di un’immagine PEF pericolosa può causare il blocco inatteso delle applicazioni o l’esecuzione arbitraria dei codici. Questo problema viene risolto attraverso un migliore controllo dei limiti. Si ringrazia Chris Ries di Carnegie Mellon University Computing Services per aver segnalato questo problema.

  • Libsystem

    CVE-ID: CVE-2009-0689

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: le applicazioni che convertono i dati non attendibili da valori a virgola mobile a testo possono essere vulnerabili rispetto a una chiusura imprevista o all’esecuzione di codice arbitrario

    Descrizione: esiste un overflow del buffer nel codice di conversione da virgola mobile a testo all’interno di Libsystem. Un malintenzionato in grado di indurre un’applicazione a convertire un valore a virgola mobile in una lunga stringa o ad analizzare una stringa pericolosa come valore a virgola mobile può causare la l’improvvisa chiusura delle applicazioni o l’esecuzione di codice arbitrario. Questo problema viene risolto attraverso un migliore controllo dei limiti. Ringraziamo Maksymilian Arciemowicz di SecurityReason.com per aver segnalato il problema.

  • Mail

    CVE-ID: CVE-2010-0508

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: le regole associate a un account di posta eliminato rimangono effettive

    Descrizione: quando viene eliminato un account di posta, le regole dei filtri definite dall’utente associate all’account rimangono attive. Ciò può causare azioni inattese. Il problema viene risolto disabilitando le regole associate quando si elimina un account di posta.

  • Mail

    CVE-ID: CVE-2010-0525

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: Mail può utilizzare una chiave di crittografia più debole per le e-mail in uscita

    Descrizione: si verifica un problema logico nella gestione dei certificati di crittografia da parte di Mail. Quando sono presenti più certificati per il destinatario nel portachiavi, Mail può selezionare una chiave di crittografia non destinata alla criptatura. Questo può dare luogo a un problema di sicurezza se la chiave scelta è più debole del previsto. Il problema viene risolto facendo in modo che l’estensione dell’utilizzo della chiave all’interno dei certificati sia valutata al momento della selezione della chiave di crittografia per le e-mail. Ringraziamo Paul Suh di ps Enable Inc. per aver segnalato il problema.

  • Mailman

    CVE-ID: CVE-2008-0564

    Disponibile per: Mac OS X Server v10.5.8

    Impatto: diverse vulnerabilità in Mailman 2.1.9

    Descrizione: si verificano diversi problemi relativi allo scripting di tipo cross-site in Mailman 2.1.9. Questi problemi vengono risolti aggiornando Mailman alla versione 2.1.13. Per ulteriori informazioni consulta il sito di Mailman all’indirizzo http://mail.python.org/pipermail/mailman-announce/2009-January/000128.html. Questi problemi interessano solo i sistemi Mac OS X Server e non interessano la versione v10.6 o le versioni successive.

  • MySQL

    CVE-ID: CVE-2008-4456, CVE-2008-7247, CVE-2009-2446, CVE-2009-4019, CVE-2009-4030

    Disponibile per: Mac OS X Server da v10.6 a v10.6.2

    Impatto: diverse vulnerabilità in MySQL 5.0.82

    Descrizione: l’aggiornamento di MySQL alla versione 5.0.88 consente di risolvere diversi problemi di vulnerabilità, il più grave dei quali può comportare l’esecuzione di codice arbitrario. Questi problemi riguardano solo i sistemi Mac OS X Server. Per ulteriori informazioni, consulta il sito Web di MySQL all’indirizzo http://dev.mysql.com/doc/refman/5.0/en/news-5-0-88.html.

  • Servizi OS

    CVE-ID: CVE-2010-0509

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: un utente locale potrebbe ottenere privilegi elevati

    Descrizione: si verifica un problema di escalation dei privilegi in SFLServer durante l’esecuzione ‘wheel’ di gruppo e l’accesso ai documenti nelle cartelle Inizio degli utenti da parte del server. Questo problema viene risolto attraverso una migliore gestione dei privilegi. Ringraziamo Kevin Finisterre di DigitalMunition per aver riferito questo problema.

  • Password Server

    CVE-ID: CVE-2010-0510

    Disponibile per: Mac OS X Server v10.5.8, Mac OS X Server da v10.6 a v10.6.2

    Impatto: un malintenzionato remoto potrebbe riuscire a eseguire il login con una password scaduta

    Descrizione: un problema di implementazione nella gestione delle repliche da parte di Password Server può causare la mancata replica delle password. Un malintenzionato remoto potrebbe riuscire a eseguire il login con una password scaduta. Questo problema viene risolto attraverso una migliore gestione della replica delle password. Il problema interessa solo i sistemi Mac OS X Server. Ringraziamo Jack Johnson di Anchorage School District per aver riferito il problema.

  • perl

    CVE-ID: -2008-, CVE-5302, CVE-2008-5303

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8

    Impatto: un utente locale può causare l’eliminazione arbitraria di alcuni documenti

    Descrizione: si verificano diversi problemi di condizione critica nella funzione rmtree del modulo perl File::Path. Un utente locale con privilegi di scrittura a una directory in corso di eliminazione può causare l’eliminazione di file arbitrari con i privilegi del processo perl. Questo problema viene risolto attraverso una migliore gestione dei link simbolici. Il problema non interessa i sistemi Mac OS X v10.6.

  • PHP

    CVE-ID: CVE-2009-3557, CVE-2009-3558, CVE-2009-3559, CVE-2009-4017

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: sono presenti diverse vulnerabilità in PHP 5.3.0

    Descrizione: l’aggiornamento di PHP alla versione 5.3.1 consente di risolvere diverse vulnerabilità, la più grave delle quali può comportare l’esecuzione di codice arbitrario. Per ulteriori informazioni vedere il sito Web PHP all’indirizzo http://www.php.net.

  • PHP

    CVE-ID: CVE-2008-4456, CVE-2008-7247, CVE-2009-3559, CVE-2009-2009, CVE-3557-2009

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8

    Impatto: sono presenti diverse vulnerabilità in PHP 5.2.11

    Descrizione: l’aggiornamento di PHP alla versione 5.2.12 risolve diverse vulnerabilità, la più grave delle quali può comportare scripting di tipo cross-site. Per ulteriori informazioni vedere il sito Web PHP all’indirizzo http://www.php.net.

  • Podcast Producer

    CVE-ID: CVE-2010-0511

    Disponibile per: Mac OS X Server da v10.6 a v10.6.2

    Impatto: un utente non autorizzato può accedere a un flusso di lavoro di Podcast Composer

    Descrizione: quando un flusso di lavoro di Podcast Composer viene sovrascritto, le restrizioni di accesso sono eliminate. Ciò può consentire a un utente non autorizzato di accedere a un flusso di lavoro di Podcast Composer. Questo problema viene risolto attraverso una migliore gestione delle restrizioni di accesso ai flussi di lavoro. Podcast Composer è stato introdotto in Mac OS X Server v10.6.

  • Preferenze

    CVE-ID: CVE-2010-0512

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: un utente del network potrebbe essere in grado di evitare le restrizioni di login del sistema

    Descrizione: si verifica un problema di implementazione nella gestione delle restrizioni di login del sistema per gli account di network. Se gli account di network con autorizzazioni a collegarsi al sistema nella finestra di login vengono identificati solo mediante l’appartenenza a un gruppo, la restrizione non viene applicata e tutti gli utenti del network possono accedere al sistema. Il problema viene risolto mediante una migliore gestione delle restrizioni di gruppo nel pannello delle preferenze di Account. Questo problema interessa solo i sistemi configurati per l’utilizzo di un server account network e non riguarda i sistemi precedenti a Mac OS X v10.6. Ringraziamo Christopher D. Grieb della University of Michigan MSIS per aver riferito questo problema.

  • Normalizzatore PS

    CVE-ID: CVE-2010-0513

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la visualizzazione di un file PostScript pericoloso potrebbe provocare la chiusura inaspettata dell’applicazione o l’esecuzione arbitraria di codice

    Descrizione: esiste un overflow del buffer di stack nella gestione dei documenti PostScript. La visualizzazione di un documento PostScript pericoloso potrebbe provocare la chiusura inaspettata dell’applicazione o l’esecuzione arbitraria di codice. Il problema può essere risolto eseguendo ulteriori convalide dei documenti PostScript. Sui sistemi Mac OS X v10.6 questo problema è attenuato dal compiler flag -fstack-protector. Si ringrazia: Apple.

  • QuickTime

    CVE-ID: CVE-2010-0062

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: si verifica un overflow del buffer di heap nella gestione da parte di QuickTime di filmati H.263 codificati. La visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario. Questo problema può essere risolto eseguendo ulteriori convalide dei filmati H.263 codificati. Ringraziamo Damian Put e un ricercatore anonimo, collaboratore della Zero Day Initiative di TippingPoint, per aver segnalato il problema.

  • QuickTime

    CVE-ID: CVE-2010-0514

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: si verifica un overflow del buffer di heap nella gestione di filmati H.261 codificati. La visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario. Questo problema può essere risolto eseguendo ulteriori convalide dei filmati H.261 codificati. Si ringrazia Will Dormann di CERT/CC per aver segnalato il problema.

  • QuickTime

    CVE-ID: CVE-2010-0515

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: si verifica un problema di corruzione della memoria nella gestione dei filmati H.264 codificati. La visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario. Questo problema può essere risolto eseguendo ulteriori convalide dei filmati H.264 codificati.

  • QuickTime

    CVE-ID: CVE-2010-0516

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: si verifica un overflow del buffer di heap nella gestione di filmati RLE codificati. La visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario. Questo problema può essere risolto eseguendo ulteriori convalide dei filmati RLE codificati. Ringraziamo un ricercatore anonimo, collaboratore della Zero Day Initiative di TippingPoint per aver segnalato questo problema.

  • QuickTime

    CVE-ID: CVE-2010-0517

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: si verifica un overflow del buffer di heap nella gestione di filmati M-JPEG codificati. La visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario. Questo problema può essere risolto eseguendo ulteriori convalide dei filmati M-JPEG codificati. Ringraziamo Damian Put, collaboratore della Zero Day Initiative di TippingPoint, per aver segnalato questo problema.

  • QuickTime

    CVE-ID: CVE-2010-0518

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: si verifica un problema di corruzione della memoria nella gestione dei filmati Sorenson codificati. La visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario. Questo problema può essere risolto eseguendo ulteriori convalide dei filmati Sorenson codificati. Si ringrazia Will Dormann di CERT/CC per aver segnalato il problema.

  • QuickTime

    CVE-ID: CVE-2010-0519

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: si verifica un integer overflow nella gestione di filmati FlashPix codificati. La visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario. Questo problema viene risolto attraverso un migliore controllo dei limiti. Ringraziamo un ricercatore anonimo, collaboratore della Zero Day Initiative di TippingPoint, per aver segnalato il problema.

  • QuickTime

    CVE-ID: CVE-2010-0520

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario

    Descrizione: si verifica un overflow del buffer di heap nella gestione di filmati FLC codificati. La visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario. Questo problema può essere risolto eseguendo ulteriori convalide dei filmati FLC codificati. Ringraziamo Nicols Joly di VUPEN Security, Moritz Jodeit di n.runs AG e un ricercatore anonimo, collaboratore della Zero Day Initiative di TippingPoint, per aver segnalato il problema.

  • QuickTime

    CVE-ID: CVE-2010-0526

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la visualizzazione di un documento MPEG pericoloso può causare la chiusura improvvisa delle applicazioni o l’esecuzione di codice arbitrario

    Descrizione: si verifica un overflow del buffer di heap nella gestione di filmati MPEG codificati. La visione di un filmato pericoloso può provocare la chiusura inattesa dell’applicazione o l’esecuzione di codice arbitrario. Questo problema può essere risolto eseguendo ulteriori convalide dei filmati MPEG codificati. Ringraziamo un ricercatore anonimo, collaboratore della Zero Day Initiative di TippingPoint, per aver segnalato il problema.

  • Ruby

    CVE-ID: CVE-2009-2422, CVE-2009-3009, CVE-2009-4214

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: si verificano diversi problemi in Ruby on Rails

    Descrizione: sono presenti diverse vulnerabilità in Ruby on Rails, la più grave delle quali può comportare scripting di tipo cross-site. Sui sistemi Mac OS X v10.6 questi problemi vengono risolti aggiornando Ruby on Rails alla versione 2.3.5. I sistemi Mac OS X v10.5 sono interessati solo da CVE-2009-4214 e questo problema viene risolto attraverso una migliore convalida degli argomenti in strip_tags.

  • Ruby

    CVE-ID: CVE-2009-1904

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: l’esecuzione di uno script Ruby che utilizza input non affidabile per inizializzare un oggetto BigDecimal può comportare la chiusura inattesa delle applicazioni

    Descrizione: si verifica un problema di esaurimento dello stack nella gestione da parte di Ruby di oggetti BigDecimal di valore molto elevato. L’esecuzione di uno script Ruby che utilizza input non affidabile per inizializzare BigDecimal un oggetto può comportare la chiusura inattesa delle applicazioni. Sui sistemi Mac OS X v10.6 questo problema viene risolto aggiornando Ruby alla versione 1.8.7-p173. Sui sistemi Mac OS v10.5 questo problema viene risolto aggiornando Ruby alla versione 1.8.6-p369.

  • Server Admin

    CVE-ID: CVE-2010-0521

    Disponibile per: Mac OS X Server v10.5.8, Mac OS X Server da v10.6 a v10.6.2

    Impatto: un malintenzionato remoto può estrarre informazioni da Open Directory

    Descrizione: esiste un problema di progettazione nella gestione del vincolo autenticato della directory. Un malintenzionato che si collega in remoto può estrarre informazioni da Open Directory in modo anonimo, anche se è abilitata l’opzione “Richiedi vincolo autenticato tra directory e client”. Il problema viene risolto eliminando questa opzione di configurazione. Il problema interessa solo i sistemi Mac OS X Server. Ringraziamo Scott Gruby di Gruby Solutions e Mathias Haack di GRAVIS Computervertriebsgesellschaft mbH per aver segnalato il problema.

  • Server Admin

    CVE-ID: CVE-2010-0522

    Disponibile per: Mac OS X Server v10.5.8

    Impatto: un utente, in precedenza appartenente al gruppo degli amministratori, potrebbe avere accesso non autorizzato alla condivisione schermo

    Descrizione: un utente rimosso dal gruppo degli amministratori può ancora collegarsi al server utilizzando la condivisione schermo. Questo problema viene risolto attraverso una migliore gestione dei privilegi di amministratore. Il problema interessa solo i sistemi Mac OS X Server e non interessa le versioni v10.6 o successive. Si ringrazia: Apple.

  • SMB

    CVE-ID: CVE-2009-2906

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: un utente remoto malintenzionato potrebbe essere in grado di causare un DoS (“Denial of Service”)

    Descrizione: si verifica un problema di loop infinito nella gestione da parte di Samba delle notifiche ‘oplock’ break SMB. Un malintenzionato remoto può attivare un loop infinito in smbd, causando un eccessivo ricorso alle risorse della CPU. Il problema viene risolto attraverso una migliore gestione delle notifiche ‘oplock’ break.

  • Tomcat

    CVE-ID: -0580, CVE-2008-, CVE-2009-0033, CVE-2009-0783, CVE-2009-5515, CVE-2009-0781, CVE-2009-2901, CVE-2009-2902, CVE-2009-2693

    Disponibile per: Mac OS X Server v10.5.8, Mac OS X Server da v10.6 a v10.6.2

    Impatto: sono presenti diverse vulnerabilità in Tomcat 6.0.18

    Descrizione: l’aggiornamento di Tomcat alla versione 6.0.24 risolve diverse vulnerabilità, la più grave delle quali può comportare un attacco scripting di tipo cross-site. Tomcat è fornito solo sui sistemi Mac OS X Server. Per ulteriori informazioni, visita il sito Tomcat all’indirizzo http://tomcat.apache.org/.

  • unzip

    CVE-ID: CVE-2008-0888

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8

    Impatto: l’estrazione di documenti compressi pericolosi mediante lo strumento di comando unzip può causare la chiusura inattesa delle applicazioni o l’esecuzione di codice

    Descrizione: nella gestione dei documenti compressi esiste un problema relativo a un puntatore non inizializzato. L’estrazione di documenti compressi pericolosi mediante lo strumento di comando unzip può causare la chiusura inattesa delle applicazioni o l’esecuzione di codice arbitrario. Il problema può essere risolto eseguendo ulteriori convalide dei documenti compressi. Il problema non interessa i sistemi Mac OS X v10.6.

  • vim

    CVE-ID: CVE-2008-2712, CVE-2008-4101, CVE-2009-0316

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8

    Impatto: diverse vulnerabilità in vim 7.0

    Descrizione: in vim 7.0 sono state rilevate diverse vulnerabilità, la più grave delle quali potrebbe comportare l’esecuzione di codice arbitrario se si lavora con file pericolosi. Questi problemi vengono risolti aggiornando vim alla versione 7.2.102 e non riguardano i sistemi Mac OS X v10.6. Per ulteriori informazioni visita il sito Web vim all’indirizzo http://www.vim.org/.

  • Wiki Server

    CVE-ID: CVE-2010-0523

    Disponibile per: Mac OS X Server v10.5.8

    Impatto: il caricamento di un’applet pericolosa può comportare la divulgazione di dati sensibili

    Descrizione: Wiki Server consente di caricare contenuti attivi come le applet di Java. Un malintenzionato remoto può ottenere dati sensibili caricando un’applet pericolosa e istruendo utenti di Wiki Server a visualizzarla. Questo problema viene risolto limitando i tipi di documenti che possono essere caricati su Wiki Server. Il problema interessa solo i sistemi Mac OS X Server e non interessa le versioni v10.6 o successive.

  • Wiki Server

    CVE-ID: CVE-2010-0534

    Disponibile per: da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: un utente autenticato può evitare le restrizioni della creazione di weblog

    Descrizione: Wiki Server supporta liste di controllo degli accessi (SACL), consentendo agli amministratori di controllare la pubblicazione di contenuti. Wiki Server non è in grado di consultare la SACL dei weblog durante la creazione del weblog di un utente. Questo potrebbe consentire a utenti autenticati di pubblicare contenuti su Wiki Server anche se la pubblicazione non dovrebbe essere consentita dalla SACL. Il problema non interessa i sistemi precedenti a Mac OS X v10.6.

  • X11

    CVE-ID: CVE-2009-2042

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la visualizzazione di un’immagine pericolosa può comportare la divulgazione di dati sensibili

    Descrizione: l’aggiornamento di libpng alla versione 1.2.37 consente di risolvere un problema che può comportare la divulgazione di dati sensibili. Per ulteriori informazioni vedere il sito Web libpng all’indirizzo http://www.libpng.org/pub/png/libpng.html.

  • X11

    CVE-ID: CVE-2003-0063

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8, da Mac OS X v10.6 a Mac OS X v10.6.2, da Mac OS X Server v10.6 a Mac OS X Server v10.6.2

    Impatto: la visualizzazione di dati malevoli creati ad arte in un terminal xterm può provocare l’esecuzione di codice arbitrario

    Descrizione: il programma xterm supporta una sequenza di comando per la modifica del titolo della finestra e la relativa stampa sul terminale. Le informazioni restituite vengono fornite al terminale come se venissero immesse dall’utente mediante la tastiera. La visualizzazione di dati malevoli creati ad arte contenenti tali sequenze all’interno di un terminal xterm può provocare un command injection. Il problema viene risolto disabilitando la sequenza di comando interessata.

  • xar

    CVE-ID: CVE-2010-0055

    Disponibile per: Mac OS X v10.5.8, Mac OS X Server v10.5.8

    Impatto: un pacchetto modificato può apparire come firmato in modo valido

Lascia un Commento

L'indirizzo email non verrà pubblicato. I campi obbligatori sono contrassegnati *

È possibile utilizzare questi tag ed attributi XHTML: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>