Informationen zum Sicherheitsinhalt von Safari 4.0.4

In diesem Dokument wird der Sicherheitsinhalt von Safari 4.0.4 beschrieben.

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit findest du auf der Website zur Apple-Produktsicherheit.

Informationen zum Apple-PGP-Schlüssel für die Produktsicherheit findest du unter „Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit“.

Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.

Informationen zu weiteren Sicherheitsupdates findest du unter „Apple-Sicherheitsupdates“.

Safari 4.0.4

• ColorSync

  CVE-ID: CVE-2009-2804

  Verfügbar für: Windows 7, Vista, XP

  Auswirkung: Das Betrachten eines in böswilliger Absicht erstellten Bildes mit einem eingebetteten Farbprofil kann zu einem unerwarteten Beenden der Anwendung oder zur Ausführung von beliebigem Code führen

  Beschreibung: Bei der Verarbeitung von Bildern mit eingebettetem Farbprofil gibt es einen Integer-Überlauf, der zu einem Heap-Pufferüberlauf führen kann. Das Öffnen eines in böswilliger Absicht erstellten Bildes mit einem eingebetteten Farbprofil kann zu einem unerwarteten Beenden der Anwendung oder zur Ausführung von beliebigem Code führen. Das Problem wird durch eine zusätzliche Validierung der Farbprofile behoben. Mac OS X v10.6-Systeme sind nicht von diesem Problem betroffen. Das Problem wurde bereits im Sicherheitsupdate 2009-005 für Mac OS X 10.5.8-Systeme behoben. Quelle: Apple.

• libxml

  CVE-ID: CVE-2009-2414, CVE-2009-2416

  Verfügbar für: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Windows 7, Vista, XP

  Auswirkung: Das Parsen von in böswilliger Absicht erstellten XML-Inhalten kann zu einem unerwarteten Abbruch der Anwendung führen

  Beschreibung: Es gibt mehrere Use-after-free-Probleme in libxml2, von denen das schwerwiegendste zu einem unerwarteten Abbruch der Anwendung führen kann. Dieses Update behebt das Problem durch eine verbesserte Speicherverarbeitung. Die Probleme wurden bereits in Mac OS X 10.6.2 und im Sicherheitsupdate 2009-006 für Mac OS X 10.5.8-Systeme behoben.

• Safari

  CVE-ID: CVE-2009-2842

  Verfügbar für: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.1 und v10.6.2, Mac OS X Server v10.6.1 und v10.6.2, Windows 7, Vista, XP

  Auswirkung: Die Verwendung von Shortcut-Menüoptionen innerhalb einer in böswilliger Absicht erstellten Website kann zur Offenlegung lokaler Informationen führen

  Beschreibung: In Safari gibt es ein Problem bei der Verarbeitung von Navigationen, die über die Kontextmenüoptionen „Bild in neuem Tab öffnen“, „Bild in neuem Fenster öffnen“ oder „Link in neuem Tab öffnen“ eingeleitet werden. Die Verwendung dieser Optionen innerhalb einer in böswilliger Absicht erstellten Website könnte eine lokale HTML-Datei laden, was zur Offenlegung vertraulicher Daten führen könnte. Das Problem wird durch die Deaktivierung der aufgeführten Kontextmenüoptionen behoben, wenn das Ziel einer Verknüpfung eine lokale Datei ist.

• WebKit

  CVE-ID: CVE-2009-2816

  Verfügbar für: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.1 und v10.6.2, Mac OS X Server v10.6.1 und v10.6.2, Windows 7, Vista, XP

  Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website kann zu unerwarteten Aktionen auf anderen Websites führen

  Beschreibung: Es gibt ein Problem in der WebKit-Implementierung von Cross-Origin Resource Sharing. Bevor eine Seite von einem Ursprung auf eine Ressource in einem anderen Ursprung zugreifen kann, sendet WebKit eine Preflight-Anfrage an den letzteren Server für den Zugriff auf die Ressource. WebKit nimmt benutzerdefinierte HTTP-Header, die von der anfragenden Seite angegeben werden, in die Preflight-Anforderung auf. Dies kann Cross-Site-Request-Forgery erleichtern. Dieses Problem wird durch das Entfernen benutzerdefinierter HTTP-Header aus Preflight-Anfragen behoben. Quelle: Apple.

• WebKit

  CVE-ID: CVE-2009-3384

  Verfügbar für: Windows 7, Vista, XP

  Auswirkung: Der Zugriff auf einen in böswilliger Absicht erstellten FTP-Server könnte zu einer unerwarteten Beendigung der Anwendung, zur Offenlegung von Informationen oder zur Ausführung von beliebigem Code führen.

  Beschreibung: Es gibt mehrere Schwachstellen bei der Verarbeitung von FTP-Verzeichniseinträgen in WebKit. Der Zugriff auf einen in böswilliger Absicht erstellten FTP-Server kann zur Offenlegung von Informationen, zur unerwarteten Beendigung der Anwendung oder zur Ausführung von beliebigem Code führen. Dieses Update behebt die Probleme durch verbessertes Parsing von FTP-Verzeichnislisten. Diese Probleme betreffen nicht Safari auf Mac OS X-Systemen. Wir danken Michal Zalewski von Google Inc. für die Meldung dieses Problems.

• WebKit

  CVE-ID: CVE-2009-2841

  Verfügbar für: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.1 und v10.6.2, Mac OS X Server v10.6.1 und v10.6.2

  Auswirkung: Mail kann Audio- und Videoinhalte remote laden, auch wenn das Remote-Laden von Bildern deaktiviert ist

  Beschreibung: Wenn WebKit auf ein HTML-5-Media-Element stößt, das auf eine externe Ressource verweist, gibt es keinen Ressourcen-Lade-Callback aus, um festzustellen, ob die Ressource geladen werden sollte. Dies kann zu unerwünschten Anfragen an entfernte Server führen. Beispielsweise könnte der Absender einer HTML-formatierten E-Mail-Nachricht auf diese Weise feststellen, dass die Nachricht gelesen wurde. Dieses Problem wird durch die Generierung von Callbacks zum Laden von Ressourcen behoben, wenn WebKit auf ein HTML-5-Media-Element trifft. Dieses Problem betrifft nicht Safari auf Windows-Systemen.