Informationen zum Sicherheitsinhalt von Safari 4.0.3

In diesem Dokument wird der Sicherheitsinhalt von Safari 4.0.3 beschrieben.

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit findest du auf der Website zur Apple-Produktsicherheit.

Informationen zum Apple-PGP-Schlüssel für die Produktsicherheit findest du unter „Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit“.

Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.

Informationen zu weiteren Sicherheitsupdates findest du unter „Apple-Sicherheitsupdates“.

Safari 4.0.3

• CoreGraphics

  CVE-ID: CVE-2009-2468

  Verfügbar für: Windows XP und Vista

  Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

  Beschreibung: Es gibt einen Heap-Pufferüberlauf beim Erstellen von langen Textstrings. Der Besuch einer in böswilliger Absicht erstellten Website kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Dieses Update behebt das Problem durch eine verbesserte Abgrenzungsprüfung. Wir danken Will Drewry von Google Inc. für die Meldung dieses Problems.

• ImageIO

  CVE-ID: CVE-2009-2188

  Verfügbar für: Windows XP und Vista

  Auswirkung: Das Anzeigen einer in böser Absicht erstellten Bilddatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung von willkürlichem Code führen.

  Beschreibung: Bei der Verarbeitung von EXIF-Metadaten kommt es zu einem Pufferüberlauf. Das Anzeigen einer in böser Absicht erstellten Bilddatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung von willkürlichem Code führen. Dieses Update behebt das Problem durch eine verbesserte Abgrenzungsprüfung.

• Safari

  CVE-ID: CVE-2009-2196

  Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.7, Mac OS X Server 10.5.7, Mac OS X 10.5.8, Mac OS X Server 10.5.8, Windows XP und Vista

  Auswirkung: Eine in böswilliger Absicht erstellte Website kann in der Safari-Ansicht „Topsites“ hinzugefügt werden.

  Beschreibung: In Safari 4 wurde die Funktion „Topsites“ eingeführt, mit der die Lieblingswebsites des Benutzers auf einen Blick zu sehen sind. Eine in böswilliger Absicht erstellte Website kann der Safari-Ansicht „Topsites“ durch automatisierte Aktionen beliebige Websites hinzufügen. Dies könnte zur Unterstützung eines Phishing-Angriffs genutzt werden. Dieses Problem wurde behoben, indem verhindert wird, dass sich automatisierte Websitebesuche auf die Liste „Topsites“ auswirken. Die Liste „Topsites“ kann nur Websites enthalten, die der Benutzer manuell besucht. Safari aktiviert standardmäßig die Erkennung betrügerischer Websites. Seit der Einführung der Funktion „Topsites“ werden betrügerische Websites nicht in der Ansicht „Topsites“ angezeigt. Wir danken Inferno von SecureThoughts.com für die Meldung dieses Problems.

• WebKit

  CVE-ID: CVE-2009-2195

  Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.7, Mac OS X Server 10.5.7, Mac OS X 10.5.8, Mac OS X Server 10.5.8, Windows XP und Vista

  Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

  Beim Parsen von Gleitkommazahlen in WebKit tritt ein Pufferüberlauf auf. Der Besuch einer in böswilliger Absicht erstellten Website kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Dieses Update behebt das Problem durch eine verbesserte Abgrenzungsprüfung. Quelle: Apple.

• WebKit

  CVE-ID: CVE-2009-2200

  Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.7, Mac OS X Server 10.5.7, Mac OS X 10.5.8, Mac OS X Server 10.5.8, Windows XP und Vista

  Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website und das Klicken auf „Los“, wenn ein Dialog bezüglich eines bösartigen Plug-Ins angezeigt wird, kann zur Offenlegung vertraulicher Daten führen.

  Beschreibung: WebKit lässt zu, dass das pluginspage-Attribut des embed-Elements auf Datei-URLs verweist. Klickt der Benutzer im Dialog, der angezeigt wird, wenn auf einen unbekannten Plug-In-Typ verwiesen wird, auf „Los“, wird er zur URL weitergeleitet, die im pluginspage-Attribut aufgeführt ist. Dadurch kann ein Remote-Angreifer möglicherweise Datei-URLs in Safari starten, sodass vertrauliche Daten offengelegt werden können. Dieses Update behebt dieses Problem durch Beschränken der pluginspage-URL-Schemas auf „http“ oder „https“. Wir danken Alexios Fakos von der n.runs AG für die Meldung dieses Problems.

• WebKit

  CVE-ID: CVE-2009-2199

  Verfügbar für: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.7, Mac OS X Server 10.5.7, Mac OS X 10.5.8, Mac OS X Server 10.5.8, Windows XP und Vista

  Auswirkung: Ähnlich aussehende Zeichen in einer URL könnten dazu verwendet werden, eine Website zu maskieren.

  Beschreibung: Die Unterstützung für internationale Domänennamen (IDN) und die in Safari eingebetteten Unicode-Schriftarten können dazu verwendet werden, eine URL zu erstellen, die ähnlich aussehende Zeichen enthält. Diese könnten in einer in böswilliger Absicht erstellten Website verwendet werden, um den Benutzer zu einer gefälschten Website zu leiten, die visuell eine legitime Domain zu sein scheint. Dieses Update behebt das Problem, indem es die Liste bekannter ähnlicher Zeichen in WebKit ergänzt. Ähnlich aussehende Zeichen werden in der Adressleiste in Punycode wiedergegeben. Danke an Chris Weber von Casaba Security, LLC für die Meldung dieses Problems.