Sobre o conteúdo de segurança do Safari 3 Beta Update 3.0.3

Este documento descreve o conteúdo de segurança do Safari 3 Beta Update 3.0.3, que pode ser baixado e instalado por meio das preferências em Atualizar Software ou em Downloads da Apple.

Para fins de proteção de nossos clientes, a Apple não divulga, discute ou confirma problemas de segurança até que uma ampla investigação tenha sido feita e que as correções ou versões necessárias estejam disponíveis. Para saber mais sobre segurança do produto Apple, consulte o site sobre Segurança do produto Apple.

Para obter informações sobre a chave PGP de segurança do produto Apple, consulte Como usar a chave PGP de segurança do produto Apple (How to use the Apple Product Security PGP Key).

Sempre que possível, serão usadas IDs de CVE para indicar as vulnerabilidades e permitir que o usuário obtenha informações mais detalhadas.

Para saber mais sobre outras atualizações de segurança, consulte Atualizações de segurança da Apple (Apple Security Updates).
 

Safari 3 Beta Update 3.0.3

• Safari

  ID de CVE: CVE-2007-3743

  Disponível para: Windows XP ou Vista

  Impacto: Adicionar marcadores (bookmarks) pode causar a interrupçã inesperada do aplicativo ou a execução descontrolada do código

  Descrição: Existe uma vulnerabilidade de transbordamento no buffer da pilha no tratamento de marcadores do Safari. Ao estimular o usuário a adicionar um marcador que tenha um título muito longo, o atacante poderá disparar o problema que causará a interrupção inesperada do aplicativo ou a execução descontrolada dos códigos. Esta atualização soluciona o problema por meio de uma verificação apropriada dos limites. Este problema não afeta sistemas Mac OS X.

• WebKit

  ID de CVE: CVE-2007-2408

  Disponível para: Mac OS X v10.4.9 ou posterior, Windows XP ou Vista

  Impacto: Visitar um site Web que contém códigos maliciosos pode permitir que os applets Java sejam carregados e executados mesmo quando o Java estiver desativado

  Descrição: O Safari oferece uma opção de preferência "Enable Java" (Habilitar Java) que, quando desmarcada, impede o carregamento de applets Java. Por padrão, os applets Java têm permissão para serem carregados. A navegação em uma página Web projetada com códigos maliciosos permite que um applet Java seja carregado sem que seja verificada a preferência. Esta atualização soluciona o problema por meio de uma verificação mais estrita da preferência "Enable Java". Agradecemos a Scott Wilde por reportar este problema.

• WebKit

  ID de CVE: CVE-2007-3742

  Disponível para: Mac OS X v10.4.9 ou posterior, Windows XP ou Vista

  Impacto: Caracteres com aparência semelhança em um URL podem ser usados para simular um site Web

  Descrição: O suporte a IDN (International Domain Name) e a fontes Unicode incorporadas no Safari pode ser usado para criar um URL que contém caracteres com aparência semelhante. Isso poderia ser usado em um site Web que contém códigos maliciosos para direcionar o usuário para um site falso, que se assemelhe visualmente a um domínio legítimo. Esta atualização soluciona o problema por meio de uma verificação aprimorada da validade do nome de domínio.

• WebKit

  ID de CVE: CVE-2007-3944

  Disponível para: Mac OS X v10.4.9 ou posterior, Windows XP ou Vista

  Impacto: Visualizar uma página Web que tenha sido criada com códigos maliciosos pode levar à execução descontrolada dos códigos

  Descrição: Existem transbordamentos no buffer da pilha da biblioteca PCRE (Perl Compatible Regular Expressions) usada pelo mecanismo JavaScript no Safari. Ao estimular um usuário a visitar uma página Web que tenha sido criada com códigos maliciosos, o atacante poderá disparar o problema que levará à execução descontrolada dos códigos. Esta atualização soluciona o problema, executando uma validação adicional das expressões regulares do JavaScript. Agradecemos a Charlie Miller e Jake Honoroff, da Independent Security Evaluators, por reportarem este problema.