Informazioni sul contenuto di sicurezza di Safari 5.0.1 e Safari 4.1.1

In questo documento viene descritto il contenuto di sicurezza di Safari 5.0.1 e Safari 4.1.1.

Per proteggere la propria clientela, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Consulta il sito web dedicato alla sicurezza dei prodotti Apple per ulteriori informazioni in merito.

Per informazioni sulla chiave PGP per la sicurezza dei prodotti Apple, consulta l'articolo “Come usare la chiave PGP per la sicurezza dei prodotti Apple”.

Quando possibile, vengono utilizzati gli ID CVE per fornire ulteriori informazioni sulle vulnerabilità.

Per informazioni su altri aggiornamenti di sicurezza, consulta l'articolo che parla degli “aggiornamenti di sicurezza Apple”.

Safari 5.0.1 e Safari 4.1.1

• Safari

  • CVE-ID: CVE-2010-1778

  • Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o versioni successive, Mac OS X Server v10.6.2 o versioni successive, Windows 7, Vista, XP SP2 o versioni successive

  • Impatto: l'accesso a un feed RSS dannoso può causare l'invio di file dal sistema dell'utente a un server remoto

  • Descrizione: si verifica un problema di cross-site scripting nella gestione dei feed RSS da parte di Safari. L'accesso a un feed RSS dannoso può causare l'invio di file dal sistema dell'utente a un server remoto. Questo problema è stato risolto attraverso una migliore gestione dei feed RSS. Ringraziamo Billy Rios di Google Security Team per aver segnalato questo problema.

• Safari

  • CVE-ID: CVE-2010-1796

  • Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o versioni successive, Mac OS X Server v10.6.2 o versioni successive, Windows 7, Vista, XP SP2 o versioni successive

  • Impatto: la funzione di riempimento automatico di Safari potrebbe divulgare informazioni ai siti web senza l’interazione dell’utente

  • Descrizione: la funzione di riempimento automatico di Safari può compilare automaticamente i moduli web utilizzando le informazioni designate nella Rubrica di Mac OS X, in Outlook o nella Rubrica di Windows. Di default, è richiesta l'interazione dell'utente per utilizzare l'inserimento automatico in un modulo web. Si verifica un problema di implementazione che consente a un sito web dannoso di attivare l'inserimento automatico senza interazione dell'utente. Questo può portare alla divulgazione di informazioni contenute nella scheda Rubrica dell'utente. Questo problema si verifica in due casi: quando, nella sezione Inserimento automatico in Preferenze Safari, è selezionata la casella di controllo per la compilazione automatica dei moduli web con le informazioni presenti nella rubrica; oppure quando la rubrica dell'utente contiene una scheda denominata “La mia scheda”. La funzione Inserimento automatico ha accesso solo alle informazioni contenute in quella scheda specifica. Questo problema è stato risolto impedendo l'uso delle informazioni da parte della funzione Inserimento automatico senza l'interazione dell'utente. I dispositivi che eseguono iOS non sono interessati da questo problema. Ringraziamo Jeremiah Grossman di WhiteHat Security per aver segnalato questo problema.

• WebKit

  • CVE-ID: CVE-2010-1780

  • Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o versioni successive, Mac OS X Server v10.6.2 o versioni successive, Windows 7, Vista, XP SP2 o versioni successive

  • Impatto: l'accesso a un sito web dannoso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario

  • Descrizione: si verifica un problema di tipo use-after-free nella gestione della messa a fuoco degli elementi da parte di WebKit. L'accesso a un sito web pericoloso può provocare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso una migliore gestione della messa a fuoco degli elementi. Ringraziamo Tony Chang di Google, Inc. per aver segnalato questo problema.

• WebKit

  • CVE-ID: CVE-2010-1782

  • Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o versioni successive, Mac OS X Server v10.6.2 o versioni successive, Windows 7, Vista, XP SP2 o versioni successive

  • Impatto: l'accesso a un sito web dannoso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario

  • Descrizione: si verifica un problema di danneggiamento della memoria nel rendering degli elementi in linea di WebKit. L'accesso a un sito web pericoloso può provocare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso un migliore controllo dei limiti. Ringraziamo wushi di team509 per aver segnalato questo problema.

• WebKit

  • CVE-ID: CVE-2010-1783

  • Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o versioni successive, Mac OS X Server v10.6.2 o versioni successive, Windows 7, Vista, XP SP2 o versioni successive

  • Impatto: l'accesso a un sito web dannoso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario

  • Descrizione: si verifica un problema di danneggiamento della memoria nella gestione delle modifiche dinamiche ai nodi di testo da parte di WebKit. L'accesso a un sito web pericoloso può provocare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso una migliore gestione della memoria.

• WebKit

  • CVE-ID: CVE-2010-1784

  • Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o versioni successive, Mac OS X Server v10.6.2 o versioni successive, Windows 7, Vista, XP SP2 o versioni successive

  • Impatto: l'accesso a un sito web dannoso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario

  • Descrizione: si verifica un problema di danneggiamento della memoria nella gestione dei contatori CSS da parte di WebKit. L'accesso a un sito web pericoloso può provocare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso una migliore gestione della memoria. Ringraziamo wushi di team509 in collaborazione con Zero Day Initiative di TippingPoint per aver segnalato questo problema.

• WebKit

  • CVE-ID: CVE-2010-1785

  • Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o versioni successive, Mac OS X Server v10.6.2 o versioni successive, Windows 7, Vista, XP SP2 o versioni successive

  • Impatto: l'accesso a un sito web dannoso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario

  • Descrizione: si verifica un problema di accesso alla memoria non inizializzata nella gestione degli pseuoelementi :first-letter e :first-line negli elementi di testo SVG da parte di WebKit. L'accesso a un sito web pericoloso può provocare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto evitando l'elaborazione degli pseudo-elementi :first-letter e :first-line negli elementi di testo SVG. Ringraziamo wushi di team509 in collaborazione con Zero Day Initiative di TippingPoint per aver segnalato questo problema.

• WebKit

  • CVE-ID: CVE-2010-1786

  • Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o versioni successive, Mac OS X Server v10.6.2 o versioni successive, Windows 7, Vista, XP SP2 o versioni successive

  • Impatto: l'accesso a un sito web dannoso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario

  • Descrizione: si verifica un problema di tipo use-after-free nella gestione da parte di WebKit degli elementi foreignObject nei documenti SVG. L'accesso a un sito web pericoloso può provocare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso l'ulteriore convalida dei documenti SVG. Ringraziamo wushi di team509 in collaborazione con Zero Day Initiative di TippingPoint per aver segnalato questo problema.

• WebKit

  • CVE-ID: CVE-2010-1787

  • Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o versioni successive, Mac OS X Server v10.6.2 o versioni successive, Windows 7, Vista, XP SP2 o versioni successive

  • Impatto: l'accesso a un sito web dannoso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario

  • Descrizione: si verifica un problema di danneggiamento della memoria nella gestione degli elementi mobili nei documenti SVG da parte di WebKit. L'accesso a un sito web pericoloso può provocare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso una migliore gestione della memoria. Ringraziamo wushi di team509 in collaborazione con Zero Day Initiative di TippingPoint per aver segnalato questo problema.

• WebKit

  • CVE-ID: CVE-2010-1788

  • Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o versioni successive, Mac OS X Server v10.6.2 o versioni successive, Windows 7, Vista, XP SP2 o versioni successive

  • Impatto: l'accesso a un sito web dannoso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario

  • Descrizione: si verifica un problema di danneggiamento della memoria nella gestione degli elementi “use” nei documenti SVG da parte di WebKit. L'accesso a un sito web pericoloso può provocare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso la migliore gestione degli elementi “use” nei documenti SVG. Ringraziamo Justin Schuh di Google, Inc. per aver segnalato questo problema.

• WebKit

  • CVE-ID: CVE-2010-1789

  • Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o versioni successive, Mac OS X Server v10.6.2 o versioni successive, Windows 7, Vista, XP SP2 o versioni successive

  • Impatto: l'accesso a un sito web dannoso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario

  • Descrizione: si verifica un overflow del buffer della memoria heap nella gestione degli oggetti string JavaScript da parte di WebKit. L'accesso a un sito web pericoloso può provocare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso un migliore controllo dei limiti. Ringraziamo Apple.

• WebKit

  • CVE-ID: CVE-2010-1790

  • Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o versioni successive, Mac OS X Server v10.6.2 o versioni successive, Windows 7, Vista, XP SP2 o versioni successive

  • Impatto: l'accesso a un sito web dannoso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario

  • Descrizione: si verifica un problema di reentrancy nella gestione da parte di WebKit degli stub JavaScript compilati just-in-time. L'accesso a un sito web pericoloso può provocare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso una migliore sincronizzazione.

• WebKit

  • CVE-ID: CVE-2010-1791

  • Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o versioni successive, Mac OS X Server v10.6.2 o versioni successive, Windows 7, Vista, XP SP2 o versioni successive

  • Impatto: l'accesso a un sito web dannoso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario

  • Descrizione: si verifica un problema di signedness nella gestione degli array JavaScript da parte di WebKit. L'accesso a un sito web pericoloso può provocare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso una migliore gestione degli indici degli array JavaScript. Ringraziamo Natalie Silvanovich per aver segnalato questo problema.

• WebKit

  • CVE-ID: CVE-2010-1792

  • Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o versioni successive, Mac OS X Server v10.6.2 o versioni successive, Windows 7, Vista, XP SP2 o versioni successive

  • Impatto: l'accesso a un sito web dannoso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario

  • Descrizione: si verifica un problema di danneggiamento della memoria nella gestione delle espressioni regolari da parte di WebKit. L'accesso a un sito web pericoloso può provocare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso una migliore gestione delle espressioni regolari. Ringraziamo Peter Varga dell'Università di Szeged per aver segnalato questo problema.

• WebKit

  • CVE-ID: CVE-2010-1793

  • Disponibile per: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o versioni successive, Mac OS X Server v10.6.2 o versioni successive, Windows 7, Vista, XP SP2 o versioni successive

  • Impatto: l'accesso a un sito web dannoso potrebbe causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario

  • Descrizione: si verifica un problema di tipo use-after-free nella gestione da parte di WebKit degli elementi “font-face” e “use” nei documenti SVG. L'accesso a un sito web pericoloso può provocare la chiusura inaspettata dell'applicazione o l'esecuzione di codice arbitrario. Questo problema è stato risolto attraverso la migliore gestione degli elementi “font-face” e “use” nei documenti SVG. Ringraziamo Aki Helin di OUSPG per aver segnalato questo problema.