CERT-FI haavoittuvuustiedote 118/2008

25.9.2008

Päivitys Apple Mac OS X 10.4 ja 10.5 Java-ohjelmistoihin

Kohde:	- palvelimet ja palvelinsovellukset - työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Apple on julkaissut korjauspäivitykset useille Java for Mac OS X 10.4 ja Java for Mac OS X 10.5 -ohjelmiston haavoittuvuuksille. Päivitykset korjaavat muun muassa useita tunnettuja Java-haavoittuvuuksia. Lisäksi päivitykset korjaavat HMAC-käsittelijän alustamattomaan muuttujaan liittyvän haavoittuvuuden ja vain Java for Mac OS X 10.5:a koskevan file://-protokollan käsittelyyn liittyvän haavoittuvuuden. Vakavimpia nyt korjattuja haavoittuvuuksia hyväksikäyttämällä hyökkääjän on mahdollista suorittaa kohdejärjestelmässä omia komentojaan tai laajentaa käyttöoikeuksiaan. Haavoittuvuuksia voi hyväksikäyttää esimerkiksi houkuttelemalla haavoittuvaa ohjelmistoversiota käyttävä käyttäjä vihamielisesti muotoillun Java-sovelman sisältävälle www-sivustolle. Päivitykset päivittävät Mac OS X Java 1.4:n päivitystasolle 1.4.2_18 ja Java 1.5:n päivitystasolle 1.5.0_16.

HAAVOITTUVAT OHJELMISTOT:

• Mac OS X 10.4 Java ja Mac OS X Server 10.4 Java ennen nyt julkaistua release 7:ää.
• Mac OS X 10.5 Java ja Mac OS X Server 10.5 Java ennen nyt julkaistua Update 2:a.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä Mac OS X Java uusimpaan versioon ohjelmistopäivitystoiminnolla tai lataamalla se osoitteesta:

http://www.apple.com/support/downloads/

LISÄTIETOA:

• http://support.apple.com/kb/HT3178
• http://support.apple.com/kb/HT3179
• http://secunia.com/advisories/32018/
• CVE-2008-1185 CVE-2008-1186 CVE-2008-1187
• CVE-2008-1188 CVE-2008-1189 CVE-2008-1190
• CVE-2008-1191 CVE-2008-1192 CVE-2008-1193
• CVE-2008-1194 CVE-2008-1195 CVE-2008-1196
• CVE-2008-3103 CVE-2008-3104 CVE-2008-3105
• CVE-2008-3106 CVE-2008-3107 CVE-2008-3108
• CVE-2008-3109 CVE-2008-3110 CVE-2008-3111
• CVE-2008-3112 CVE-2008-3113 CVE-2008-3114
• CVE-2008-3115 CVE-2008-3637 CVE-2008-3638
  

PÄIVITYSHISTORIA:

25.9.2008, kello 22.40: Julkaistu

Sivua päivitetty 25.09.2008

Tulostusversio