Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

  • MacOS X versions 10.2.8 et antérieures.
  • MacOS X versions 10.3.4 et antérieures.

Résumé

Plusieurs vulnérabilités relatives à la gestion des URL affectent Mac OS X.

Description

Sous MacOS X, une application peut s'enregistrer (par le biais de l'interface Launch Services), pour être appellée lors de l'ouverture d'un type particulier d'URL.

Cette fonctionnalité, combinée avec d'autres techniques d'injection de code comme l'emploi du DiskImageMounter (disk://), peut être utilisée par un utilisateur mal intentionné afin de forcer l'exécution de code arbitraire à distance.

Une vulnérabilité relative à l'exécution de code à travers l'option "Afficher dans le Finder" de la fenêtre de téléchargements est également présente dans le navigateur SAFARI.

Solution

Appliquer le correctif livré par Apple :

  • MacOS X 10.2.8 :

    http://www.apple.com/support/downloads/securityupdate_2004-06-07_(_10_2_8).html
    
  • MacOS X 10.3.4 :

    http://www.apple.com/support/downloads/securityupdate_2004-06-07_(_10_3_4).html
    

Documentation