A Safari 4.0.3 biztonsági változásjegyzéke

Ez a dokumentum a Safari 4.0.3 biztonsági változásjegyzékét ismerteti.

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma teljes körű kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. Az Apple-termékekkel kapcsolatos biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

Az Apple termékbiztonsági PGP-kulcsáról „Az Apple termékbiztonsági PGP-kulcs használata” című cikkben talál bővebb információkat.

Ahol csak lehetséges, a cikk a CVE-azonosítójuk alapján hivatkozik az egyes biztonsági résekre.

Más biztonsági frissítésekről „Az Apple biztonsági frissítései” című cikkből tájékozódhat.

Safari 4.0.3

• CoreGraphics

  CVE-azonosító: CVE-2009-2468

  A következőkhöz érhető el: Windows XP és Vista

  Érintett terület: Előfordult, hogy egy ártó szándékkal létrehozott webhely meglátogatása váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezetett.

  Leírás: A hosszú karakterláncok kirajzolásakor halompuffer-túlcsordulás következhetett be. Az ártó szándékkal létrehozott webhelyek felkeresése váratlan alkalmazásleállást idézhetett elő, illetve önkényes kódfuttatást tehetett lehetővé. Ez a frissítés hatékonyabb határérték-ellenőrzéssel hárítja el a problémát. Köszönjük Will Drewry-nak (Google Inc.) a probléma jelentését.

• ImageIO

  CVE-azonosító: CVE-2009-2188

  A következőkhöz érhető el: Windows XP és Vista

  Érintett terület: Előfordulhatott, hogy az ártó szándékkal létrehozott képek megtekintésekor váratlan alkalmazásleállásra vagy tetszőleges programkód végrehajtására került sor.

  Leírás: Halompuffer-túlcsordulás következett be az EXIF-metaadatok kezelése során. Az ártó szándékkal létrehozott képek megtekintése váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethet. Ez a frissítés hatékonyabb határérték-ellenőrzéssel hárítja el a problémát.

• Safari

  CVE-azonosító: CVE-2009-2196

  A következőhöz érhető el: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.7, Mac OS X Server 10.5.7, Mac OS X 10.5.8, Mac OS X Server 10.5.8, Windows XP és Vista

  Érintett terület: Egy ártó szándékkal létrehozott webhely bekerülhetett a Safari Legnépszerűbb webhelyek nézetébe.

  Leírás: A Safari 4-ben vált elérhetővé a Legnépszerűbb webhelyek nézet, ahol a felhasználó egyben áttekinthette a kedvenc webhelyeit. Előfordulhatott, hogy az ártó szándékkal létrehozott webhelyek automatizált műveletekkel tetszőleges webhelyeket helyezhettek el a Legnépszerűbb webhelyek nézetben. Ennek nyomán adathalászati csalásokat is véghez lehetett vinni. A problémát az automatikus webhelyfelkeresések a Legnépszerűbb webhelyekre kifejtett hatásának letiltásával oldották meg. Csak a felhasználó által manuálisan felkeresett webhelyek kerülhetnek be a Legnépszerűbb webhelyek listájába. Mellesleg a Safari alapértelmezés szerint engedélyezi a csalárd webhelyek észlelését. A Legnépszerűbb webhelyek funkciójának bevezetése óta a csalárd webhelyek nem jelennek meg a Legnépszerűbb webhelyek nézetében. Köszönjük Infernónak (SecureThoughts.com) a probléma jelentését.

• WebKit

  CVE-azonosító: CVE-2009-2195

  A következőkhöz érhető el: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.7, Mac OS X Server 10.5.7, Mac OS X 10.5.8, Mac OS X Server 10.5.8, Windows XP és Vista

  Érintett terület: Az ártó szándékkal létrehozott webhelyek felkeresése váratlan alkalmazásleállást idézhetett elő, illetve tetszőleges kód futtatását tehette lehetővé.

  Leírás: Puffertúlcsordulás következett be a lebegőpontos számok WebKit általi elemzésekor. Az ártó szándékkal létrehozott webhelyek felkeresése váratlan alkalmazásleállást idézhetett elő, illetve önkényes kódfuttatást tehetett lehetővé. Ez a frissítés hatékonyabb határérték-ellenőrzéssel hárítja el a problémát. Köszönet az Apple-nek.

• WebKit

  CVE-azonosító: CVE-2009-2200

  A következőkhöz érhető el: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.7, Mac OS X Server 10.5.7, Mac OS X 10.5.8, Mac OS X Server 10.5.8, Windows XP és Vista

  Érintett terület: Az ártó szándékkal létrehozott webhelyek felkeresése, majd az ártó szándékkal készített bővítmény megtekintésekor az „Ugrás” gombra kattintás bizalmas adatok közzétételét okozhatta.

  Leírás: A Webkit lehetővé tette az „embed” elem bővítménytér-attribútumának, hogy URL-címekre hivatkozzon. Ismeretlen bővítménytípus hivatkozása esetén a megjelenő párbeszédablakban az „Ugrás” gombra kattintva a felhasználó át lesz irányítva a bővítménytér-attribútumban feltüntetett URL-címre. Ez lehetővé teheti, hogy egy távoli támadó fájl-URL-címeket indítson el a Safariban, ami bizalmas adatok közzétételéhez vezethet. Ez a frissítés a bővítménytér URL-sémájának a http és https protokollra történő korlátozásával küszöböli ki a hibát. Köszönjük Alexios Fakosnak (n.runs AG) a probléma jelentését.

• WebKit

  CVE-azonosító: CVE-2009-2199

  A következőkhöz érhető el: Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.7, Mac OS X Server 10.5.7, Mac OS X 10.5.8, Mac OS X Server 10.5.8, Windows XP és Vista

  Érintett terület: Hasonló karakterek az URL-címben való használatával álcázni lehetett egy webhelyet.

  Leírás: Az International Domain Name (IDN) támogatásával és a Safariba beágyazott Unicode-betűtípusokkal egyes karakterekre hasonlító tartalmú URL-címeket lehetett létrehozni. Ezeket fel lehet használni egy ártó szándékkal létrehozott webhelyen arra, hogy egy olyan hamis webhelyre irányítsa a felhasználót, amely ránézésre valós tartománynévnek tűnik. Ez a frissítés a WebKit ismert hasonló karakterek listájának kiegészítésével orvosolja a problémát. A hasonló karakterek Punycode-ban jelennek meg a címsoron. Köszönjük Chris Webernek (Casaba Security, LLC), hogy jelentette a problémát.