Safari 4.0.3
-
CoreGraphics
Référence CVE : CVE-2009-2468
Disponible pour : Windows XP et Vista
Conséquences : la consultation d’un site web construit de manière malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution de code quelconque
Description : il existe un dépassement de mémoire tampon dans l’extraction de longues chaînes de texte. La consultation d’un site web construit de manière malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution de code quelconque. Cette mise à jour résout le problème par la vérification améliorée des limites. Nous remercions Will Drewry, de Google Inc., d’avoir signalé ce problème.
-
ImageIO
Référence CVE : CVE-2009-2188
Disponible pour : Windows XP et Vista
Conséquences : l’affichage d’une image malveillante peut provoquer l’interruption inopinée d’une application ou l’exécution arbitraire de code.
Description : il existe un dépassement de mémoire tampon lors de la gestion des métadonnées EXIF. L’affichage d’une image malveillante peut provoquer l’interruption inopinée d’une application ou l’exécution arbitraire de code. Cette mise à jour résout le problème par la vérification améliorée des limites.
-
Safari
Référence CVE : CVE-2009-2196
Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.7, Mac OS X Server v10.5.7, Windows XP et Vista
Conséquences : un site web construit de manière malveillante peut passer dans la présentation Top Sites de Safari.
Description : Safari 4 est doté de la nouvelle fonction Top Sites qui permet de fournir une présentation en un coup d’œil des sites web préférés d’un client. Un site web malveillant peut promouvoir des sites arbitraires dans la présentation Top Sites par l’intermédiaire d’actions automatisées. Cela pourrait être utilisé pour faciliter une attaque de phishing. Ce problème est résolu en empêchant les consultations de sites web automatisés d’avoir des conséquences sur la liste Top Sites. Seuls les sites web que l’utilisateur consulte manuellement peuvent être ajoutés à la liste Top Sites. De plus, Safari active par défaut la détection de sites frauduleux. Depuis l’introduction de la fonction Top Sites, les sites frauduleux ne s’affichent plus dans la présentation Top Sites. Nous remercions Inferno de SecureThoughts.com pour avoir signalé ce problème.
-
WebKit
Référence CVE : CVE-2009-2195
Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.7, Mac OS X Server v10.5.7, Windows XP et Vista
Conséquences : la consultation d’un site web construit de manière malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution de code quelconque
Description : il existe un dépassement de mémoire tampon lors de l’analyse des nombres à virgule flottante de WebKit. La consultation d’un site web construit de manière malveillante peut entraîner la fermeture inopinée d’une application ou l’exécution de code quelconque. Cette mise à jour résout le problème par la vérification améliorée des limites. Source : Apple.
-
WebKit
Référence CVE : CVE-2009-2200
Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.7, Mac OS X Server v10.5.7, Windows XP et Vista
Conséquences : la consultation d’un site web construit de manière malveillante et le fait de cliquer sur « Go » lorsque la zone de dialogue d’un module externe malveillant s’affiche peut entraîner la divulgation d’informations sensibles.
Description : WebKit autorise l’attribut pluginspage de l’élément « incorporer » à référencer les URL des fichiers. Cliquer sur « Go » dans la zone de dialogue qui apparaît lorsqu’un type de module externe inconnu est référencé redirige vers l’URL répertoriée dans l’attribut pluginspage. Cela permet à un attaquant distant de lancer des URL de fichiers dans Safari et peut mener à la divulgation d’informations sensibles. Cette mise à jour résout le problème en limitant la structure des URL pluginspage à http ou https. Nous remercions Alexios Fakos de n.runs AG pour avoir signalé ce problème.
-
WebKit
Référence CVE : CVE-2009-2199
Disponible pour : Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.7, Mac OS X Server v10.5.7, Windows XP et Vista
Conséquences : des caractères semblables dans une URL pourraient être utilisés pour usurper un site web.
Description : la prise en charge des noms internationaux de domaines (IDN) et les polices Unicode intégrées à Safari pourraient être utilisées pour créer une URL contenant des caractères semblables. Ceux-ci pourraient être utilisés dans un site web malveillant pour diriger l’utilisateur vers un faux site qui apparaît visuellement comme un domaine légitime. Cette mise à jour résout le problème en complétant la liste des caractères semblables connus de WebKit. Les caractères semblables sont rendus en Punycode dans la barre d’adresse. Nous remercions Chris Weber de Casaba Security, LLC pour avoir signalé ce problème.