FAMLog

AppleからSecurity Update 2005-001がリリースされています。

Security Update 2005-001では下記のソフトウェアが更新されます。

・at、libxml2、Mail（Mac OS X v10.3.7、Mac OS X Server v10.3.7）
・ColorSync、PHP、Safari（Mac OS X v10.3.7、Mac OS X Server v10.3.7、Mac OS X v10.2.8、Mac OS X Server v10.2.8）
・SquirrelMail（Mac OS X Server v10.3.7）

PHPのバージョンは4.3.10に更新され、遠隔からのサービス拒否攻撃や任意のコードの実行を含むPHPの複数の脆弱性が修正されています。

また、本アップデートより、Apple Security Updateの命名方式が、日付を利用した形式から西暦と連番の番号を使った形式に変更になっています。

Appleからセキュリティ上の問題が修正された「iTunes 4.7.1」がリリースされています。

このバージョンでは、悪意あるプレイリストによってiTunesがクラッシュしたり、任意のコードが実行されてしまう問題が修正されています。対象となるプラットフォームは、Mac OS X、Microsoft Windows XPおよびMicrosoft Windows 2000です。

iTunes 4.7.1はシステム環境設定のソフトウェアアップデート、もしくはAppleのWebサイトから入手できます。

Security Update 2004-12-02を適用することで、ファイルデータとリソースフォークのコンテンツが、通常のApacheファイルハンドラをバイパスしてHTTP経由で入手可能であった問題（CAN-2004-1084）が修正されます。

Apacheの設定ファイルでは下記の内容が追加されます。

<Files "rsrc">
    Order allow,deny
    Deny from all
    Satisfy All
</Files>

<DirectoryMatch ".*\.\.namedfork">
    Order allow,deny
    Deny from all
    Satisfy All
</DirectoryMatch>

この変更により、下記のファイルに対するアクセスを拒否するように修正されています。

・*/..namedfork/data
・*/..namedfork/rsrc
・*/rsrc
・rsrc

Security Update 2004-12-02を適用することで、Apacheで「.DS_Store」ファイルおよび「.ht」で始まるファイルに対するアクセスを完全にブロックしていなかった問題（CAN-2004-1083）が修正されます。

Apacheの設定ファイルでは下記のように変更されており、この変更により「.ht」または「.DS_S」からはじまるすべてのファイルに対するアクセスを、大文字を使っているかに関わらず、制限するように修正されています。

［変更前］
<Files ~ "^\.ht">
    Order allow,deny
    Deny from all
    Satisfy All
</Files>

［変更後］
<Files ~ "^\.([Hh][Tt]|[Dd][Ss]_[Ss])">
    Order allow,deny
    Deny from all
    Satisfy All
</Files>

Mac OS XのファイルシステムであるHFS+は通常のままではファイル名の大文字と小文字を区別しないため、Apacheのデフォルト設定ではURLの大文字小文字を意図的に変えることで非公開ファイルの閲覧が可能になってしまう場面があります。そのため、Mac OS XでApacheを動作させる場合には、上記のように設定を変更することが必須と言えます。

AppleからSecurity Update 2004-12-02がリリースされています。

Security Update 2004-12-02では下記のソフトウェアが更新されます。

・Apache、Appkit、Kerberos、Safari（Mac OS X v10.3.6、Mac OS X Server v10.3.6、Mac OS X v10.2.8、Mac OS X Server v10.2.8）
・Apache 2、QuickTime Streaming Server（Mac OS X Server v10.3.6、Mac OS X Server v10.2.8）
・Cyrus IMAP（Mac OS X Server v10.3.6）
・HIToolbox、Postfix、PSNormalizer、Terminal（Mac OS X v10.3.6、Mac OS X Server v10.3.6）

Apache HTTP Server 1.3のバージョンは1.3.29から1.3.33に、mod_sslはバージョン2.8.22に更新され、Apacheとmod_sslのセキュリティ脆弱性が修正されます。

また、Mac OS XでApacheを動作させる場合に、一部設定が不完全であったために存在したセキュリティ上の問題も修正され、設定ファイル（/private/etc/httpd/httpd.conf）が一部修正されています。

Appleから「iCal 1.5.4」がリリースされています。

iCal 1.5.4はMac OS X v10.2.3以降で利用可能で、セキュリティ上の問題（CAN-2004-1021）が修正されています。

iCalカレンダーはアラームによるイベント通知を含むことがあり、アラームによりプログラムを起動したりメールを送信することがあります。iCal 1.5.4では、アラームを含むカレンダーを読み込んだり開いたりしたときに、アラートを表示するように変更が施されています。

AppleからSecurity Update 2004-10-27がリリースされています。

このセキュリティアップデートはMac OS X v10.3.xのApple Remote Desktop Client v1.2.4向けに提供され、loginwindowの裏でアプリケーションを起動でき、root権限で動作してしまう問題が修正されます。この問題は以下の条件を満たすシステムで発生し、ファーストユーザスイッチ機能のないMac OS X v10.2.x以下のシステムには影響しません。

・Apple Remote Desktop Clientがインストールされている
・「アプリケーションの起動と終了」権限付きでApple Remote Desktopが有効になっている
・ARDユーザーのユーザー名とパスワードが知られている
・ファーストユーザスイッチが有効になっている
・ユーザーがログインしていて、ファーストユーザスイッチによって loginwindowが前面にきている

本アップデートでは、loginwindowが前面にきている時にApple Remote Desktopでアプリケーションを起動できないようになっています。この修正内容はApple Remote Desktop 2.1 Clientにも含まれています。

アップルから、セキュリティ脆弱性の修正を含んだ「QuickTime 6.5.2」がリリースされています。

BMPイメージタイプのデコード処理がヒープメモリを上書きし、イメージに隠された任意のコードの実行を許可する恐れがある脆弱性（CAN-2004-0926）が修正されていますが、Mac版についてはSecurity Update 2004-09-30を適用していればすでに修正されているものです。

QuickTime 6.5.2では上記修正の適用可能なシステムが新たに増え、Windowsプラットフォームでの脆弱性にも対処されています。

Windowsプラットフォームでは上記の他に、整数オーバーフローによりリモートのアタッカーからDoS攻撃を受けてしまう脆弱性（CAN-2004-0988）も修正されています。この問題はMac OS X版QuickTimeには存在しません。

Appleから米国時間2004年10月4日にSecurity Update 2004-09-30がリリースされました。

Security Update 2004-09-30では下記のソフトウェアが更新されます。

・AFP Server、NetInfo ManagerおよびPostfix（Mac OS X v10.3.5、Mac OS X Server v10.3.5）
・CUPSおよびQuickTime（Mac OS X v10.3.5、Mac OS X Server v10.3.5、Mac OS X v10.2.8、Mac OS X Server v10.2.8）
・ServerAdmin（Mac OS X Server v10.3.5、Mac OS X Server v10.2.8）

このセキュリティアップデートのタイトルとリリース日は一致していませんが、これは先週末にクパティーノと周辺の街の一部で停電があったために実際の公開日に影響が出たとのことです。

AppleからSecurity Update 2004-09-16がリリースされました。

Security Update 2004-09-16ではiChatが更新され、下記のバージョンごとにアップデートが用意されています。

・iChat AV v2.1（Mac OS X v10.3以降）
・iChat AV v2.0（Mac OS X v10.2.8）
・iChat 1.0.1（Mac OS X v10.2.8）

クリックするとローカルのプログラムを動作させるリンクを送信できる問題が修正されます。リンクをクリックした場合にプログラムを起動するのではなく、そのプログラムを表示するFinderウインドウを開くように、iChatに変更が加えられています。