S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 08 juin 2004 No CERTA-2004-AVI-183

Affaire suivie par :

CERTA

Objet : Mise à jour de sécurité MacOS X

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

2 Systèmes affectés

• MacOS X versions 10.3.4 et antérieures.
• MacOS X versions 10.2.8 et antérieures.

3 Résumé

4 Description

Sous MacOS X, une application peut s'enregistrer (par le biais de l'interface Launch Services), pour être appellée lors de l'ouverture d'un type particulier d'URL.

Cette fonctionnalité, combinée avec d'autres techniques d'injection de code comme l'emploi du DiskImageMounter (disk://), peut être utilisée par un utilisateur mal intentionné afin de forcer l'exécution de code arbitraire à distance.

Une vulnérabilité relative à l'exécution de code à travers l'option "Afficher dans le Finder" de la fenêtre de téléchargements est également présente dans le navigateur SAFARI.

5 Solution

• MacOS X 10.2.8 :

  http://www.apple.com/support/downloads/securityupdate_2004-06-07_(_10_2_8).html
  

• MacOS X 10.3.4 :

  http://www.apple.com/support/downloads/securityupdate_2004-06-07_(_10_3_4).html
  

6 Documentation

• Avis de sécurité Apple :

  http://docs.info.apple.com/article.html?artnum=61798
  

• Référence CVE CAN-2004-0538 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0538
  

• Référence CVE CAN-2004-0539 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0539
  

Gestion détaillée du document

08 juin 2004

version initiale.