关于 Safari 3.1 的安全内容

  • 上次修改时间: 12 十一月, 2008
  • 文章: HT1315
  • 旧文章: 307563

摘要

本文介绍了 Safari 3.1 的安全内容，您可以通过软件更新偏好设置，或从 Apple 下载进行下载和安装。

为保护我们的客户，在未进行详尽的调查并推出必要的修补程序或发行版之前，Apple 不会公开、讨论或确认安全性问题。要了解有关 Apple 产品安全性的更多信息，请访问 Apple 产品安全性网站。

有关 Apple 产品安全性 PGP 密匙的信息，请参阅“如何使用 Apple 产品安全性 PGP 密钥”。

如果可能，请使用 CVE ID 来查阅漏洞的详细信息。

要了解有关其他安全性更新的信息，请参阅“Apple 安全性更新”。

受影响的产品

产品安全性, Safari 3 (Mac OS X 10.5)

Safari 3.1

  • Safari

    CVE-ID：CVE-2007-4680

    适用于：Windows XP 或 Windows Vista

    影响：远程攻击者也许能将不受信任的证书伪装成可信证书

    说明：证书的验证过程中存在问题。“中间人”攻击者也许能将用户先定向至具有有效 SSL 证书的合法网站，然后重定向至伪装成可信网站的欺骗性网站。用户的凭证或其他信息可能会被收集。本更新改进了证书的验证，因而解决了上述问题。“安全性更新 2007-008”中针对 Mac OS X 解决了此问题，且合并至 Mac OS X v10.4.11 和 Mac OS X v10.5 或更新版本。感谢 MK&C 的 Marko Karppinen、Petteri Kamppuri 和 Nikita Zhuk 报告此问题。

  • Safari

    CVE-ID：CVE-2008-0050

    适用于：Windows XP 或 Windows Vista

    影响：恶意代理服务器可能会欺骗安全网站

    说明：恶意 HTTPS 代理服务器可能会通过 502 错误网关的错误将任意数据返回 CFNetwork，从而可能会欺骗安全网站。本更新通过在任何代理错误时返回错误信息（而不是传回代理提供的数据）而解决了此问题。这个问题在 Mac OS X 10.5.2 和 Mac OS X 10.4.11 系统的“安全性更新 2008-002”中已解决。

  • Safari

    CVE-ID：CVE-2008-1001

    适用于：Windows XP 或 Windows Vista

    影响：访问恶意制做的网站可能会导致跨网站编写脚本

    说明：Safari 错误页面中存在跨网站编写脚本问题。攻击者可能会诱导用户打开恶意制作的 URL，从而导致敏感信息的泄露。本更新通过执行额外的 URL 验证解决了此问题。此问题并不影响 Mac OS X 系统。感谢 Google 信息安全团队的 Robert Swiecki 报告此问题。

  • Safari

    CVE-ID：CVE-2008-1002

    适用于：Mac OS X v10.4.11、Mac OS X v10.5.2、Windows XP 或 Windows Vista

    影响：访问恶意制做的网站可能会导致跨网站编写脚本

    说明：“javascript: URL”的处理存在跨网站编写脚本问题。诱导用户访问恶意制作的网页，可能会导致 JavaScript 在另一个网站的上下文中执行。本更新通过执行额外的“javascript: URL”验证解决了此问题。感谢 Google 信息安全团队的 Robert Swiecki 报告此问题。

  • WebCore

    CVE-ID：CVE-2008-1003

    适用于：Mac OS X v10.4.11、Mac OS X v10.5.2、Windows XP 或 Windows Vista

    影响：访问恶意制做的网站可能会导致跨网站编写脚本

    说明：明确设置 document.domain 属性的网页的处理存在问题。这可能会导致设置了 document.domain 属性，或在具有相同 document.domain 的 HTTP 与 HTTPS 间的网站遭受跨网站编写脚本攻击。本更新通过改进相同来源检查，解决了此问题。感谢斯坦福大学的 Adam Barth 与 Collin Jackson 报告此问题。

  • WebCore

    CVE-ID：CVE-2008-1004

    适用于：Mac OS X v10.4.11、Mac OS X v10.5.2、Windows XP 或 Windows Vista

    影响：在恶意制做的网站上使用 Web 查看器可能会导致跨网站编写脚本

    说明：Web 查看器的问题允许被查看的页面通过插入在其他域运行并且读取用户的文件系统的脚本，提升自身的权限。本更新通过防止在远程页面上执行 Javascript 代码解决了问题。感谢斯坦福大学的 Collin Jackson 与 Adam Barth 报告此问题。

  • WebCore

    CVE-ID：CVE-2008-1005

    适用于：Mac OS X v10.4.11、Mac OS X v10.5.2、Windows XP 或 Windows Vista

    影响：在密码字段中使用 Kotoeri 反向转换会显示出密码

    说明：网页上密码字段的内容通常是隐藏的，以避免密码暴露给其他能够看到显示内容的人。Kotoeri 输入法的使用存在问题，该问题会导致请求反向转换时暴露出密码字段的内容。本更新通过在使用 Kotoeri 反向转换时不再暴露密码字段的内容，解决了此问题。

  • WebCore

    CVE-ID：CVE-2008-1006

    适用于：Mac OS X v10.4.11、Mac OS X v10.5.2、Windows XP 或 Windows Vista

    影响：访问恶意制做的网站可能会导致跨网站编写脚本

    说明：window.open() 函数可用来将网页的安全上下文更改为调用者的上下文。诱导用户开启恶意制作的页面，可能允许在用户的安全上下文中执行任意脚本。本更新通过不允许更改安全上下文解决了该问题。感谢斯坦福大学的 Adam Barth 与 Collin Jackson 报告此问题。

  • WebCore

    CVE-ID：CVE-2008-1007

    适用于：Mac OS X v10.4.11、Mac OS X v10.5.2、Windows XP 或 Windows Vista

    影响：访问恶意制做的网站可能会导致使用 Java 跨网站编写脚本

    说明：未针对 Java Applet 强制执行框架导航策略。通过诱导用户打开恶意制作的网页，攻击者可以通过使用 Java 跨网站编写脚本攻击取得更高的权限。本更新通过针对 Java Applet 强制执行框架导航策略，解决了该问题。感谢斯坦福大学的 Adam Barth 与 Collin Jackson 报告此问题。

  • WebCore

    CVE-ID：CVE-2008-1008

    适用于：Mac OS X v10.4.11、Mac OS X v10.5.2、Windows XP 或 Windows Vista

    影响：访问恶意制做的网站可能会导致跨网站编写脚本

    说明：Safari 的 document.domain 属性处理存在跨网站编写脚本问题。诱导用户访问恶意制作的网页可能会导致敏感信息外泄。本更新通过 document.domain 属性的额外验证解决了该问题。感谢 Feng Qian 报告此问题。

  • WebCore

    CVE-ID：CVE-2008-1009

    适用于：Mac OS X v10.4.11、Mac OS X v10.5.2、Windows XP 或 Windows Vista

    影响：访问恶意制做的网站可能会导致跨网站编写脚本

    说明：历史记录对象的处理存在 JavaScript 插入问题。这可能会让框架为同一网页加载的所有其他框架设置历史记录对象属性。攻击者可能会利用这个问题插入在其他框架上下文中执行的 JavaScript，造成跨网站编写脚本。本更新通过不允许网页更改历史记录对象，解决了该问题。

  • WebKit

    CVE-ID：CVE-2008-1010

    适用于：Mac OS X v10.4.11、Mac OS X v10.5.2、Windows XP 或 Windows Vista

    影响：访问恶意制作的网站可能会导致应用程序意外终止或任意代码执行

    说明：WebKit 处理 JavaScript 正则表达式时存在缓冲区溢出问题。诱导用户访问恶意制作的网页可能会导致应用程序意外终止或任意代码执行。本更新通过改进界限检查解决了此问题。感谢 WebKit 开放源码项目的 Eric Seidel、Google 安全团队的 Tavis Ormandy 与 Will Drewry 报告此问题。

  • WebKit

    CVE-ID：CVE-2008-1011

    适用于：Mac OS X v10.4.11、Mac OS X v10.5.2、Windows XP 或 Windows Vista

    影响：访问恶意制做的网站可能会导致跨网站编写脚本

    说明：WebKit 中的跨网站编写脚本问题允许从一个框架上下文中调用另一个框架的方法实例。诱导用户访问恶意制作的网页可能会导致敏感信息外泄。本更新改进了对跨域方法调用的处理，解决了上述问题。感谢 David Bloom 报告此问题。

Important: Information about products not manufactured by Apple is provided for information purposes only and does not constitute Apple’s recommendation or endorsement. Please contact the vendor for additional information.