Tietoja Safari 6:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan Safari 6:n turvallisuussisällöstä.

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustossa.

Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.

CVE ID -tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.

Safari 6.0

  • Safari

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Haitallisen sivuston selaaminen saattoi aiheuttaa sivustojenvälisen komentosarjahyökkäyksen.

    Kuvaus: feed://-URL-osoitteiden käsittelyssä oli ongelma, joka koski komentosarjojen suorittamista sivustolta toiselle. Tämä päivitys poistaa feed://-URL-osoitteiden käsittelyn.

    CVE-ID

    CVE-2012-0678: Masato Kinugawa

  • Safari

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Haitallisen verkkosivuston käyttäminen saattoi aiheuttaa sen, että käyttäjän järjestelmästä lähetettiin tiedostoja etäpalvelimeen.

    Kuvaus: feed://-URL-osoitteiden käsittelyssä oli käytönvalvontaongelma. Tämä päivitys poistaa feed://-URL-osoitteiden käsittelyn.

    CVE-ID

    CVE-2012-0679: Vtty.comin Aaron Sigel

  • Safari

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Salasanat saatettiin täyttää automaattisesti, vaikka sivustolla oli määritetty, että automaattisen täydennyksen pitää olla pois käytöstä.

    Kuvaus: Salasanan syöttöelementit, joissa automaattisen täydennyksen määritys oli asetettu pois päältä, täydennettiin automaattisesti. Päivitys ratkaisee ongelman parantamalla automaattisen täydennyksen määritteen käsittelyä.

    CVE-ID

    CVE-2012-0680: Moodlen Dan Poltawski

  • Safarin lataukset

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Haitallisten tiedostojen avaaminen tietyillä verkkosivustoilla saattoi aiheuttaa sivustojen välisen komentosarjahyökkäyksen.

    Kuvaus: Safarin tuessa HTTP Content-Disposition -otsakkeen attachment-arvolle oli ongelma. Tätä otsaketta käytetään monilla verkkosivustoilla sellaisten tiedostojen käsittelyyn, jotka kolmas osapuoli on lähettänyt sivustolle. Tällaisia ovat esimerkiksi verkkopohjaisten sähköpostiohjelmien liitetiedostot. Tällä otsakearvolla käsiteltävissä tiedostoissa olevat komentosarjat suoritetaan ikään kuin tiedosto olisi palvelimen sisäinen, ja alkuperäisen palvelimen muihin resursseihin on täydet käyttöoikeudet. Ongelma on ratkaistu lataamalla otsakkeeseen liittyvät resurssit sen sijaan, että ne näytettäisiin tekstiin sidottuna.

    CVE-ID

    CVE-2011-3426: laplinker.comin Mickey Shkatov, Kyle Osborn sekä Microsoftin ja Microsoft Vulnerability Researchin (MSVR) Hidetake Jo

  • WebKit

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Haitallisella verkkosivustolla käynti saattoi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.

    Kuvaus: WebKitissä oli useita muistin vioittumiseen liittyviä ongelmia. Nämä ongelmat on ratkaistu parantamalla muistin käsittelyä.

    CVE-ID

    CVE-2011-3016: miaubiz

    CVE-2011-3021: Arthur Gerkis

    CVE-2011-3027: miaubiz

    CVE-2011-3032: Arthur Gerkis

    CVE-2011-3034: Arthur Gerkis

    CVE-2011-3035: iDefense VCP:n parissa työskentelevä team509:n wushi sekä Arthur Gerkis

    CVE-2011-3036: miaubiz

    CVE-2011-3037: miaubiz

    CVE-2011-3038: miaubiz

    CVE-2011-3039: miaubiz

    CVE-2011-3040: miaubiz

    CVE-2011-3041: miaubiz

    CVE-2011-3042: miaubiz

    CVE-2011-3043: miaubiz

    CVE-2011-3044: Arthur Gerkis

    CVE-2011-3050: miaubiz

    CVE-2011-3053: miaubiz

    CVE-2011-3059: Arthur Gerkis

    CVE-2011-3060: miaubiz

    CVE-2011-3064: OUSPG:n Atte Kettunen

    CVE-2011-3068: miaubiz

    CVE-2011-3069: miaubiz

    CVE-2011-3071: HP:n Zero Day Initiativen parissa työskentelevä pa_kt

    CVE-2011-3073: Arthur Gerkis

    CVE-2011-3074: Slawomir Blazek

    CVE-2011-3075: miaubiz

    CVE-2011-3076: miaubiz

    CVE-2011-3078: Google Chrome Security Teamin Martin Barbella

    CVE-2011-3081: miaubiz

    CVE-2011-3086: Arthur Gerkis

    CVE-2011-3089: Google Chrome Security Teamin Skylined sekä miaubiz

    CVE-2011-3090: Arthur Gerkis

    CVE-2011-3913: Arthur Gerkis

    CVE-2011-3924: Arthur Gerkis

    CVE-2011-3926: Arthur Gerkis

    CVE-2011-3958: miaubiz

    CVE-2011-3966: OUSPG:n Aki Helin

    CVE-2011-3968: Arthur Gerkis

    CVE-2011-3969: Arthur Gerkis

    CVE-2011-3971: Arthur Gerkis

    CVE-2012-0682: Applen tuoteturvallisuus

    CVE-2012-0683: Mozillan Dave Mandelin

    CVE-2012-1520: Google Chrome Security Teamin Martin Barbella AddressSanitizerin avulla sekä iDefense VCP:n parissa työskentelevä spa-s3c.blogspot.comin Jose A. Vazquez

    CVE-2012-1521: Google Chrome Security Teamin Skylined sekä iDefense VCP:n parissa työskentelevä spa-s3c.blogspot.comin Jose A. Vazquez

    CVE-2012-3589: Mozillan Dave Mandelin

    CVE-2012-3590: Applen tuoteturvallisuus

    CVE-2012-3591: Applen tuoteturvallisuus

    CVE-2012-3592: Applen tuoteturvallisuus

    CVE-2012-3593: Applen tuoteturvallisuus

    CVE-2012-3594: miaubiz

    CVE-2012-3595: Google Chrome Securityn Martin Barbella

    CVE-2012-3596: Google Chrome Security Teamin Skylined

    CVE-2012-3597: Google Chrome Security Teamin Abhishek Arya AddressSanitizerin avulla

    CVE-2012-3599: Google Chrome Security Teamin Abhishek Arya AddressSanitizerin avulla

    CVE-2012-3600: Chromium-kehitysyhteisön David Levin

    CVE-2012-3603: Applen tuoteturvallisuus

    CVE-2012-3604: Google Chrome Security Teamin Skylined

    CVE-2012-3605: Google Chrome Security Teamin Chris Neckar

    CVE-2012-3608: Google Chrome Security Teamin Skylined

    CVE-2012-3609: Google Chrome Security Teamin Skylined

    CVE-2012-3610: Google Chrome Security Teamin Skylined

    CVE-2012-3611: Applen tuoteturvallisuus

    CVE-2012-3615: Chromium-kehitysyhteisön Stephen Chenney

    CVE-2012-3618: Google Chrome Security Teamin Abhishek Arya AddressSanitizerin avulla

    CVE-2012-3620: Google Chrome Security Teamin Abhishek Arya

    CVE-2012-3625: Google Chrome Security Teamin Skylined

    CVE-2012-3626: Applen tuoteturvallisuus

    CVE-2012-3627: Google Chrome Security Teamin Skylined ja Abhishek Arya

    CVE-2012-3628: Applen tuoteturvallisuus

    CVE-2012-3629: Google Chrome Security Teamin Abhishek Arya AddressSanitizerin avulla

    CVE-2012-3630: Google Chrome Security Teamin Abhishek Arya AddressSanitizerin avulla

    CVE-2012-3631: Google Chrome Security Teamin Abhishek Arya AddressSanitizerin avulla

    CVE-2012-3633: Google Chrome Security Teamin Martin Barbella AddressSanitizerin avulla

    CVE-2012-3634: Google Chrome Security Teamin Martin Barbella AddressSanitizerin avulla

    CVE-2012-3635: Google Chrome Security Teamin Martin Barbella AddressSanitizerin avulla

    CVE-2012-3636: Google Chrome Security Teamin Martin Barbella AddressSanitizerin avulla

    CVE-2012-3637: Google Chrome Security Teamin Martin Barbella AddressSanitizerin avulla

    CVE-2012-3638: Google Chrome Security Teamin Martin Barbella AddressSanitizerin avulla

    CVE-2012-3639: Google Chrome Security Teamin Martin Barbella AddressSanitizerin avulla

    CVE-2012-3640: miaubiz

    CVE-2012-3641: Slawomir Blazek

    CVE-2012-3642: miaubiz

    CVE-2012-3644: miaubiz

    CVE-2012-3645: Google Chrome Security Teamin Martin Barbella AddressSanitizerin avulla

    CVE-2012-3646: Chromium-kehitysyhteisön Julien Chaffraix sekä Google Chrome Security Teamin Martin Barbella AddressSanitizerin avulla

    CVE-2012-3653: Google Chrome Security Teamin Martin Barbella AddressSanitizerin avulla

    CVE-2012-3655: Google Chrome Security Teamin Skylined

    CVE-2012-3656: Google Chrome Security Teamin Abhishek Arya AddressSanitizerin avulla

    CVE-2012-3661: Applen tuoteturvallisuus

    CVE-2012-3663: Google Chrome Security Teamin Skylined

    CVE-2012-3664: Chromium-kehitysyhteisön Thomas Sepez

    CVE-2012-3665: Google Chrome Security Teamin Martin Barbella AddressSanitizerin avulla

    CVE-2012-3666: Apple

    CVE-2012-3667: propaneapp.comin Trevor Squires

    CVE-2012-3668: Applen tuoteturvallisuus

    CVE-2012-3669: Applen tuoteturvallisuus

    CVE-2012-3670: Google Chrome Security Teamin Abhishek Arya AddressSanitizerin avulla sekä Arthur Gerkis

    CVE-2012-3674: Google Chrome Security Teamin Skylined

    CVE-2012-3678: Applen tuoteturvallisuus

    CVE-2012-3679: Mozillan Chris Leary

    CVE-2012-3680: Google Chrome Security Teamin Skylined

    CVE-2012-3681: Apple

    CVE-2012-3682: Google Chrome Security Teamin Adam Barth

    CVE-2012-3683: iDefense VCP:n parissa työskentelevä team509:n wushi

    CVE-2012-3686: Torch Mobilen (Peking) Robin Cao

  • WebKit

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Valitun tekstin vetäminen ja pudottaminen verkkosivulla saattoi aiheuttaa tietojen paljastumisen sivustojen välillä.

    Kuvaus: Vedä ja pudota -tapahtumien käsittelyssä oli eri alkuperään liittyvä ongelma. Ongelma on ratkaistu parantamalla alkuperän seurantaa.

    CVE-ID

    CVE-2012-3689: Cuen David Bloom

  • WebKit

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Valitun tekstin vetäminen ja pudottaminen verkkosivulla saattoi aiheuttaa sen, että käyttäjän järjestelmässä olevia tiedostoja lähetettiin etäpalvelimelle.

    Kuvaus: Vedä ja pudota -tapahtumien käsittelyssä oli käytönvalvontaan liittyvä ongelma. Ongelma on ratkaistu parantamalla alkuperän seurantaa.

    CVE-ID

    CVE-2012-3690: Cuen David Bloom

  • WebKit

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Haitallisen sivuston selaaminen saattoi aiheuttaa tietojen paljastumisen sivustojen välillä.

    Kuvaus: CSS-ominaisuusarvojen käsittelyssä oli eri alkuperään liittyvä ongelma. Ongelma on ratkaistu parantamalla alkuperän seurantaa.

    CVE-ID

    CVE-2012-3691: Apple

  • WebKit

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Haitallinen verkkosivusto saattoi pystyä korvaamaan iframen sisällön toisella sivustolla.

    Kuvaus: iframejen käsittelyssä ponnahdusikkunoissa oli eri alkuperään liittyvä ongelma. Ongelma on ratkaistu parantamalla alkuperän seurantaa.

    CVE-ID

    CVE-2011-3067: Sergey Glazunov

  • WebKit

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Haitallisen sivuston selaaminen saattoi aiheuttaa tietojen paljastumisen sivustojen välillä.

    Kuvaus: iframejen ja fragmenttien tunnisteiden käsittelyssä oli eri alkuperään liittyvä ongelma. Ongelma on ratkaistu parantamalla alkuperän seurantaa.

    CVE-ID

    CVE-2012-2815: Stanfordin yliopiston Security Laboratoryn Elie Bursztein, Baptiste Gourdin, Gustav Rydstedt ja Dan Boneh

  • WebKit

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: URL-osoitteessa olevia samannäköisiä merkkejä voitiin käyttää sivuston naamiointiin.

    Kuvaus: Safarin kansainvälisten IDN-domain-nimien tukea ja Safariin upotettuja Unicode-fontteja voitiin käyttää samannäköisiä merkkejä sisältävän URL-osoitteen luomiseen. Haitallinen sivusto pystyi käyttämään tällaista URL-osoitetta käyttäjän ohjaamiseen väärennettyyn sivustoon, joka näytti oikealta domainilta. Ongelma on ratkaistu täydentämällä WebKitin tunnettujen samannäköisten merkkien luetteloa. Samannäköiset merkit muunnetaan osoiterivillä Punycode-muotoon.

    CVE-ID

    CVE-2012-3693: Symantecin Matt Cooley

  • WebKit

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Tiedoston vetäminen ja pudottaminen Safariin saattoi paljastaa tiedostojärjestelmän polun verkkosivustolle.

    Kuvaus: Vedettyjen tiedostojen käsittelyssä oli tietojen paljastumiseen liittyvä ongelma. Ongelma on ratkaistu parantamalla vedettyjen tiedostojen käsittelyä.

    CVE-ID

    CVE-2012-3694: Googlen Daniel Cheng sekä vtty.comin Aaron Sigel

  • WebKit

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Haitallisen sivuston selaaminen saattoi aiheuttaa sivustojenvälisen komentosarjahyökkäyksen.

    Kuvaus: URL-osoitteiden käsittelyssä oli kanonisointiongelma. Tämä saattoi johtaa komentosarjojen suorittamiseen sivustojen välillä sivustoissa, joissa käytettiin location.href-ominaisuutta. Ongelma on ratkaistu parantamalla URL-osoitteiden kanonisointia.

    CVE-ID

    CVE-2012-3695: Masato Kinugawa

  • WebKit

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Haitallisen sivuston selaaminen saattoi aiheuttaa HTTP-pyynnön jakamisen.

    Kuvaus: WebSocketsin käsittelyssä oli HTTP-otsakkeen lisäysongelma. Ongelma on ratkaistu parantamalla WebSockets URI -puhdistamista.

    CVE-ID

    CVE-2012-3696: BlackBerry Security Incident Response Teamin David Belcher

  • WebKit

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Haitallinen sivusto saattoi pystyä väärentämään URL-osoiterivin arvon.

    Kuvaus: Istuntohistorian käsittelyssä oli tilan hallintaan liittyvä ongelma. Navigointi senhetkisellä sivulla olleeseen fragmenttiin saattoi saada Safarin näyttämään virheellisiä tietoja URL-osoiterivillä. Ongelma on ratkaistu parantamalla istunnon tilan seurantaa.

    CVE-ID

    CVE-2011-2845: Jordi Chancel

  • WebKit

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Hyökkääjä saattoi päästä pois eristyksestä ja päästä mihin tahansa tiedostoon, johon senhetkisellä käyttäjällä oli pääsy.

    Kuvaus: Tiedostojen URL-osoitteiden käsittelyssä oli käytönvalvontaongelma. Hyökkääjä, joka pystyi suorittamaan mielivaltaista koodia Safarin WebProcessissa, saattoi pystyä ohittamaan eristyksen ja pääsemään mihin tahansa tiedostoon, johon Safarin käyttäjällä oli pääsy. Ongelma on ratkaistu parantamalla tiedostojen URL-osoitteiden käsittelyä.

    CVE-ID

    CVE-2012-3697: Vtty.comin Aaron Sigel

  • WebKit

    Saatavuus: OS X Lion 10.7.4 ja OS X Lion Server 10.7.4.

    Vaikutus: Haitallisen sivuston selaaminen saattoi aiheuttaa muistin sisällön paljastumisen.

    Kuvaus: SVG-kuvien käsittelyssä oli alustamattoman muistin käyttöongelma. Ongelma on ratkaistu parantamalla muistin alustamista.

    CVE-ID

    CVE-2012-3650: Apple

Muita kuin Applen valmistamia tuotteita sekä itsenäisiä verkkosivustoja (joita Apple ei hallitse tai joita se ei ole testannut) koskevat tiedot on tarkoitettu vain tiedoksi. Apple ei suosittele tai tue niitä. Apple ei vastaa muun valmistajan verkkosivustojen tai tuotteiden valikoimasta, suorituskyvystä tai käytöstä. Apple ei vastaa muun valmistajan verkkosivuston oikeellisuudesta tai luotettavuudesta. Internetin käyttöön liittyy riskejä. Pyydä lisätietoja valmistajalta. Muut yritysten ja tuotteiden nimet saattavat olla omistajiensa tavaramerkkejä.

Julkaisupäivämäärä: