Mindenki szereti az Apple ingyenes ajándékait, különösen az ingyenes szoftverfrissítéseket. Jobb cuccok ingyen - ki vitatkozhatna? Mégis, amikor az Apple négy szoftverfrissítést adott ki két hét leforgása alatt, november 15-től novemberig 29., egy nagy és nagyrészt nem dokumentált Mac OS X frissítés nyomán, ez elég volt ahhoz, hogy bárki szünet.
Hogy megvilágítsuk a legutóbbi frissítési kört, vessünk egy pillantást Biztonsági frissítés 2005-009, a legjelentősebb és legszélesebb körben releváns.
Biztonsági frissítés 2005-009
Talán még jobban össze volt zavarodva a november 29-i megjelenés Biztonsági frissítés 2005-009 mint általában, legalábbis ha Mac OS X 10.3.9-et futtat. A megjelenés első napján az Apple letöltési oldalán lévő hivatkozások megszakadtak, és a böngészőt átirányították a semmire. A Szoftverfrissítés megfelelően bemutatta és letöltötte a 2005-009-es biztonsági frissítést Mac OS X 10.3.9 rendszeren, de azoknak, akik manuálisan akarták letölteni egy böngészőből, másnapig kellett várniuk.
Miután ez megoldódott, az Apple 2005-ös kilencedik biztonsági frissítése a négy várható konfigurációban elérhető volt: Mac OS X 10.3.9, Mac OS X rendszerhez Server 10.3.9, Mac OS X 10.4.3 és Mac OS X Server 10.4.3. A Tiger verziók 5 MB és 6 MB a normál és a szerver verziókhoz, illetőleg; a Panther verziók 20 MB, illetve 33 MB. Nagyobbak, mert a Panther-verziók a Tiger-verziókkal ellentétben tartalmaznak javításokat a korábbi frissítésekből, beleértve a 2005-008-as és 2005-007-es biztonsági frissítésekben talált fájlokat is. A Tiger verziók nem tartalmaznak régebbi javításokat, mert megkövetelik Mac OS X 10.4.3, amely Halloweenkor jelent meg, és tartalmazza a 2005-008-as biztonsági frissítést és korábbi javításokat.
Ez egyébként nem jelenti azt, hogy a Mac OS X 10.4.3 maga nem tartalmaz olyan új biztonsági javításokat, amelyeket korábban egyetlen biztonsági frissítés sem tartalmazott. Igen. A Mac OS X 10.4.3 rendszerben bezárt öt dokumentált biztonsági rést az alábbi táblázat foglalja össze. Ezek közül kettő félrevezető vagy késleltetett módosításokat tartalmaz a csoporttagságban vagy a fájl tulajdonjogában, egy másik pedig a Keychain Access nem takarja el a megjelenített elemeket. jelszavakat, ha a kulcstartójuk zárol egy időtúllépés miatt, és egy másik megakadályozza, hogy feloldja a függőben lévő szoftverfrissítés figyelmen kívül hagyását, hacsak nincs új, figyelmen kívül hagyott frissítés megérkezett. (Ha mindez nem lenne elég zavaró, a sebezhetőségi számok most már mind „CVE”-vel kezdődnek a „CAN” helyett, köszönhetően egy átnevezési határozat október 19-én került végrehajtásra.)
Biztonsági javítások Mac OS X 10.4.3 rendszerben
| Összetevő | Probléma | Sebezhetőség azonosítója | 10.4.2 kliens | 10.4.2 Szerver |
|---|---|---|---|---|
| Kereső | A megjelenített fájl- és csoporttulajdonlási információknak nem sok köze lehet a tényleges tulajdonosi adatokhoz | CVE-2005-2749 | x | x |
| Szoftver frissítés | Az összes elérhető frissítés figyelmen kívül hagyása esetén a Szoftverfrissítés azonnal leállt anélkül, hogy lehetőséget adott volna a korábban figyelmen kívül hagyott frissítések állapotának visszaállítására. | CVE-2005-2750 | x | x |
| Kulcstartó hozzáférés | Ha egy kulcstartó zárol időtúllépés miatt, miközben a kulcstartóban tárolt jelszót jelenít meg, a jelszó látható marad, ahelyett, hogy a kulcstartó zárásakor elfedné. | CVE-2005-2739 | x | x |
| tagú | A csoporttagságra vonatkozó módosításokat alkalmazó démon nem frissítette elég gyorsan a hozzáférés-vezérlési listákat (ACL), így a csoportokból törölt felhasználók továbbra is hozzáférhetnek a csoportfájlokhoz. | CVE-2005-2751 | * | x |
| Mach kernel | A kernel interfészek visszaadhatják azokat az „inicializálatlan” memóriából származó adatokat, amelyeket a kernel ténylegesen már használt és felszabadított, és esetleg érzékeny adatokat tartalmazhatnak. | CVE-2005-1126, CVE-2005-1406, CVE-2005-2752 | x | x |
X = Javítva ebben a frissítésben; * = Az érintett összetevő vagy szolgáltatás soha nem volt ebben a verzióban
A Mac OS X 10.4.3-ban javított kernel sebezhetősége megérdemel egy pillanatnyi magyarázatot. A programok memóriát kérnek az operációs rendszertől, hogy saját céljaikra használhassák, majd visszaadják azt az operációs rendszernek, ha végeztek vele, így az operációs rendszer újra felhasználhatja más RAM-kérésekhez. A legtöbb program azonban nem törli a memória tartalmát a felszabadítás előtt, mert ez időt vesz igénybe, és általában szükségtelen. Az operációs rendszer nem törli a felszabaduló memóriát ugyanezen okból.
A kernelnek azonban törölnie kell a memóriát azt kiadja. A kernel soha nem akar inicializálatlan memóriát átadni a hívóknak, mert a hívó ekkor láthatja a RAM-ban tárolt más kernelkód egy része – fájlpuffer, jelszó, hálózati csomag stb. tovább. Suresec megtalálta két probléma amely felfedheti a kernelmemóriát a Mac OS X (vagy FreeBSD, vagy mindkettő) hívói számára, és a FreeBSD-sek megtalálták a másikat. A Mac OS X 10.4.3 mindhármat javítja, de az Apple nem árulta el, hogy a Mac OS X 10.3.9 is szenved-e hasonló hibáktól.
A 2005-009-es biztonsági frissítés további javításokat ad ehhez az alapszinthez. Ezeket az alábbiakban foglaljuk össze, további oszlopokkal a frissítés négy különálló verziójához. Amint a táblázatból látható, sok hiba a gyakori és könnyen javítható puffertúlcsordulási probléma, amelyet a következő cikkben tárgyaltunk. MWJ 2005.08.20. Egyéb tipikus hibák az elemzés során, például a Safari hiba, amely miatt a böngésző letölti a fájlokat a „nagyon long” fájlneveket egy megjósolhatatlanul rossz könyvtárba, vagy a JavaScriptCore reguláris kifejezés motorját tud túlfolyó pufferek rosszindulatú kifejezéssel.
A 2005-009-es biztonsági frissítés javítások
| Összetevő | Probléma | Sebezhetőség azonosítója | 10.3.9 | 10.3.9 Szerver | 10.4.3 | 10.4.3 Szerver |
|---|---|---|---|---|---|---|
| Apache 2 | Frissítés a 2.0.55-ös verzióra, a sebezhetőségek kijavítása, beleértve egyes köztes kiszolgálók webhelyek közötti szkriptelési problémáit | CVE-2005-2088 | * | x | * | x |
| apache_mod_ssl | Az SSLVerifyClient direktívát használó konfigurációk lehetővé tehetik a szükséges SSL-kliens hitelesítés megkerülését | CVE-2005-2700 | x | x | x | x |
| Core Foundation | A rosszindulatú URL túlcsordulhat a pufferen az elemzés során | CVE-2005-2757 | * | * | x | x |
| Alapvető szolgáltatások | A Core Types csomag frissítése hozzáadja a „.term” fájlkiterjesztésű fájlokat (Terminal fájlok) a letöltött fájlok „nem biztonságos futtatható” listájához | N/A | * | * | x | x |
| becsavar | Az NLTM-hitelesítés rosszindulatú HTTP-kiszolgálóval való használata túlcsordulhat a pufferen, és tetszőleges kódot futtathat | CVE-2005-3185 | * | * | x | x |
| man oldalak | Az OpenSSH és a PAM frissített dokumentációja | N/A | # | # | x | x |
| ODBC rendszergazda | A belső iodbcadmintool program lehetővé teheti tetszőleges kód futtatását a root jogosultságokkal | CVE-2005-3700 | x | x | x | x |
| OpenSSL | Frissítve v0.9.7i-re, hogy megakadályozzák az SSLv2-re való visszaminősítést (SSLv3-ról vagy TLS-ről), ha kompatibilitási beállításokat használnak, vagy ha nem sikerült kifejezetten letiltani az SSLv2-t | CVE-2005-2969 | x | x | x | x |
| Jelszószerver | A potenciálisan veszélyeztetett hitelesítő adatok az Open Directory főkiszolgáló létrehozásakor lehetővé tehetik a jogosulatlan helyi felhasználók számára, hogy magasabb szintű kiszolgálói jogosultságokat szerezzenek. | CVE-2005-3701 | * | x | * | x |
| Skicc | Meghatározatlan fejlesztés a „PICT” fájlok rajzolásában | N/A | x | x | # | # |
| Szafari | A kiszolgálók által letöltésre javasolt hosszú fájlnevek miatt a Safari nem megfelelő helyre mentheti a fájlokat, és esetleg más felhasználók számára is elérhetővé válhat. | CVE-2005-3702 | x | x | x | x |
| Szafari | A JavaScript kóddal létrehozott párbeszédpanelek mostantól annak a webhelynek a nevét jelenítik meg, amelynek kódja létrehozta a párbeszédpanelt | CVE-2005-3703 | x | x | x | x |
| Szafari | Meghatározatlan fejlesztés a „hitelkártya biztonsági kód” kezelésében | N/A | x | x | x | x |
| Szerver migráció | Eltávolítja a szükségtelen jogosultságokat, amelyekre a segédprogramnak nincs szüksége | N/A | ? | ? | ? | ? |
| sudo | Frissítsen az 1.6.8p9-es verzióra, hogy megakadályozza az egyéni konfigurációk jogosulatlan kiterjesztését | CVE-2005-1993 | x | x | x | x |
| syslog | Az újsor karaktereket tartalmazó naplóüzenetek új üzeneteket szimulálhatnak olyan eseményekhez, amelyek meg nem történtek | CVE-2005-3704 | * | * | x | x |
| Web Kit | A JavaScripthez készült PCRE motor potenciálisan kihasználható puffertúlcsordulást tartalmaz, amely tetszőleges kódfuttatást tesz lehetővé | CVE-2005-2491 | x | x | x | x |
| Web Kit | A tartalom meghatározatlan letöltése túlcsordíthatja a puffert, és tetszőleges kódot futtathat | CVE-2005-3705 | x | x | x | x |
X = Javítva ebben a frissítésben; * = Az érintett összetevő vagy szolgáltatás soha nem volt ebben a verzióban; # = hiba nem volt ebben a verzióban a frissítés előtt;? = ismeretlen
Az Apple frissítési megjegyzései tartalmaznak egy „kiegészítő információk” jelzésű részt, amely leírja a módosításokat nyilvánosságra hozott ok nélkül, szerepelnek a „Biztonsági frissítésben”, de nincs hozzárendelve sebezhetőségi szám. Ezek egyike az „Alaptípusok módosítása a terminálfájlok kezelésének javítása érdekében” Mac OS X 10.4.3 rendszerben. Ezt a címen található XML-fájlon keresztül kezelik
/System/Library/CoreServices/CoreTypes.bundle/Contents/Resources/System. Amint azt korábban tárgyaltuk, ez a fájl tartalmazza a rendszer elképzelését arról, hogy milyen fájltípusok, MIME-típusok és fájlnév-kiterjesztések jelentenek biztonságos és „veszélyes” letölthető fájlokat. A 2005-009-es biztonsági frissítés hozzáadja a fájlnév-kiterjesztést
.terma „nem biztonságos végrehajtható fájlok” kategóriájába. Amikor letölt egy ilyen fájlt a Safariban vagy bármely más, Core Types alkalmazást használó alkalmazásban, a rendszer figyelmezteti, hogy futtatható kódot tartalmazhat. (A Safari azt mondja, hogy „alkalmazást tartalmaz”.) A Tigerbe beépített mód van a módosításra Az alapvető típusokat, és adja hozzá saját típusait, vagy írja felül a rendszer alapértelmezett beállításait, de az Apple még mindig nem dokumentálta azt.
Ez a „kiegészítő információ” elkeserítő. Az elmúlt néhány évben az Apple ügyelt arra, hogy a biztonsági frissítésekben csak a biztonsági problémákat javítsa. A nem biztonsági hibák az operációs rendszer verzióira vagy a külön telepítésekre, például az AirPort frissítésre vagy a DVD-lejátszó frissítésére várnak. Az olyan változtatások, mint például az alapvető típusok frissítése, hogy figyelmeztessenek a terminálfájlokra, egyértelműen biztonsági javításnak számítanak, ahogyan a Safari frissítése is „a hitelkártya-biztonsági kódok kezelésének javítása érdekében”.
De ha ezek biztonsági problémák, akkor az Apple miért nem kapott CVE-számokat és dokumentálta őket normálisan? Mi a biztonsággal kapcsolatos a QuickDraw PICT fájlok megjelenítésének javításában? Ha a Biztonsági frissítések rendszeres hibajavításokat kezdenek el tartalmazni, az amúgy is kissé zavaros rendszer teljesen áthatolhatatlanná válhat. Ez nem járna az Apple-nek vagy ügyfeleinek.
A frissítések varázsa
Az OS X szoftverfrissítési funkciójának célja, hogy megkönnyítse a rendszer kezelését azáltal, hogy figyelmezteti Önt a frissítésekre szüksége van rá, letöltheti őket a háttérben, ha sürgősnek vannak megjelölve, és telepítve őket, amikor kész. Mégis tudjuk, hogy ez nem történik meg a 2005-009-es biztonsági frissítéssel és más frissítésekkel is, mert az olvasók, a barátok és a család továbbra is ezt mondják nekünk. Csak figyelmen kívül hagyják, hogy mit jelenít meg a Szoftverfrissítés, mert nem tudják kitalálni, hogy a frissítéseknek mit kell tenniük.
Az Apple nyilvánosan soha nem kötelezte el magát a Mac OS X frissítéseinek vagy biztonsági frissítéseinek ütemezése mellett, de általában az előbbi negyedévente, az utóbbi pedig havonta érkezik. Ez egy ökölszabály, nem a természet törvénye – 2005-ben kilenc biztonsági frissítés jelent meg, és három Mac OS X 10.4 frissítés a hat hónap alatt, amíg elérhető volt. De ismét a szándék segít az embereknek megérteni a frissítéseket, és magabiztosan alkalmazzák azokat. A biztonsági frissítések négy-hat hetente érkeznek, és csak azokat a sebezhetőségeket kezelik, amelyeket a támadók kihasználhatnak. A Mac OS X frissítései nagyjából negyedévente érkeznek, és mind a biztonsági, mind a nem biztonsági hibákat javítják az operációs rendszerben. Időközben fontos frissítések érkeznek a célzott komponensekhez, például az AirPort Extreme-hez vagy a Java 2SE 5.0-hoz.
Ez könnyű, kiszámítható, ésszerű – amennyire összetart. Nem elég jó ahhoz, hogy a célhoz vezető út 80 százalékát elérjük. Az utolsó 20 százalék lefújása mindenkit zavarba ejt a frissítésekkel kapcsolatban, és a kommunikáció első 80 százaléka lényegtelenné teszi. Ez történt ebben a negyedévben.
A Mac OS X 10.4.3 nem kevésbé dokumentált, mint a legtöbb Mac OS X frissítés, mégis több információ segített volna. Ezt követően kaptunk egy Biztonsági frissítést, amely nem biztonsági javításokat tartalmazhat, egy Java frissítést nagyszerű fejlesztői kiadási megjegyzésekkel, de szinte felhasználói magyarázat nélkül, egy alig dokumentált AirPortot Frissítés két különböző névvel (és egy kiadás két verziószámmal), egy szélessávú tuner, amely nem megfelelő a legtöbb szélessávú ember számára, és egy firmware-frissítés, amely egy évet késett.
Ez hihetetlenül frusztráló, mert az Apple nagyon közel áll ahhoz, hogy a frissítések megfelelően működjenek. A szabályok nem bonyolultak.
Az Apple frissítési nyelve a legnagyobb hangerővel azt kiabálja: „Nem akarunk túl sokat mesélni erről a frissítésről, mert zavarban vagyunk erről." Ez rossz szolgálatot tesz azoknak az embereknek a többségének, akik nem szívesen telepítenek rejtélyes frissítéseket működő rendszerekre. Ha az Apple minden novemberi frissítését egyértelműen megnevezték, leírták és bemutatták volna, mindenki tudta volna, mire számíthat. És képzeld el, mennyi időt tölthetne a világ gyümölcsözőbb elfoglaltságokkal, ha soha senkinek nem kellene megkérdeznie, mit csinál egy Apple-frissítés.
[ Kivonat az MWJ december 10-i számából, a MacJournals.com kiadásában. Copyright 2005, GCSF Incorporated. Az MWJ ingyenes próbaverziójához látogasson el www.macjournals.com. ]