Safari 4.0.3
-
CoreGraphics
CVE-ID：CVE-2009-2468
対象 OS：Windows XP または Vista
影響：悪意を持って作成された Web サイトにアクセスすると、アプリケーションが突然終了したり任意のコードが実行される可能性がある。
説明：長い文字列の描画にヒープバッファオーバーフローが存在します。悪意を持って作成された Web サイトにアクセスすると、アプリケーションが突然終了したり任意のコードが実行される可能性があります。このアップデートでは、バウンドチェック機能を改良することで問題が解消されています。この問題は Google Inc. の Will Drewry 氏からご報告いただいたものです。
-
ImageIO
CVE-ID：CVE-2009-2188
対象 OS：Windows XP または Vista
影響：悪意を持って作成された画像を表示すると、アプリケーションが突然終了したり任意のコードが実行される可能性がある。
説明：EXIF メタデータの処理にバッファオーバーフローが存在します。悪意を持って作成された画像を表示すると、アプリケーションが突然終了したり任意のコードが実行される可能性があります。このアップデートでは、バウンドチェック機能を改良することで問題が解消されています。
-
Safari
CVE-ID：CVE-2009-2196
対象 OS：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.7、Mac OS X Server v10.5.7、Windows XP または Vista
影響：悪意を持って作成された Web サイトが Safari の Top Sites に表示される可能性があります。
説明：Safari 4 には Top Sites 機能があり、ユーザのお気に入りの Web サイトが一目でプレビューできるようになっています。悪意のある Web サイトにより、任意の Web サイトが Top Sites に自動的に表示されてしまう可能性があります。これによってフィッシング攻撃が容易になるおそれがあります。この問題は、自動的に Web サイトにアクセスした時には Top Sites の一覧に影響が及ばないようにすることで解決されます。ユーザが手動でアクセスした Web サイトのみが Top Sites の一覧に追加できます (Safari ではデフォルトで詐欺サイトの検出が有効になっています)。Top Sites 機能の導入以降、詐欺サイトは Top Sites には表示されません。この問題は SecureThoughts.com の Inferno 氏からご報告いただいたものです。
-
WebKit
CVE-ID：CVE-2009-2195
対象 OS：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.7、Mac OS X Server v10.5.7、Windows XP または Vista
影響：悪意を持って作成された Web サイトにアクセスすると、アプリケーションが突然終了したり任意のコードが実行される可能性がある。
説明：WebKit の浮動小数点数解析にバッファオーバーフローが存在します。悪意を持って作成された Web サイトにアクセスすると、アプリケーションが突然終了したり任意のコードが実行される可能性があります。このアップデートでは、バウンドチェック機能を改良したことで問題が解消されています。報告者はアップル。
-
WebKit
CVE-ID：CVE-2009-2200
対象 OS：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.7、Mac OS X Server v10.5.7、Windows XP または Vista
影響：悪意を持って作成された Web サイトを閲覧し、「実行」をクリックして悪意あるプラグインダイアログを表示すると、ユーザの個人情報が漏洩する可能性がある。
説明：WebKit で、embed 要素の pluginspage 属性がファイル URL を参照できるようになっています。未知のプラグインタイプの参照時に表示されるダイアログで「実行」をクリックすると、pluginspage 属性に列記されている URL にリダイレクトされます。これによって遠隔攻撃者が Safari のファイル URL を起動し、それが個人情報の漏洩につながる可能性があります。このアップデートでは、pluginspage URL スキームを http と https に制限することで問題が解消されています。この問題は n.runs AG の Alexios Fakos 氏からご報告いただいたものです。
-
WebKit
CVE-ID：CVE-2009-2199
対象 OS：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.7、Mac OS X Server v10.5.7、Windows XP または Vista
影響：URL 中の紛らわしい文字が Web サイトの偽装に悪用される可能性がある。
説明：Safari に組み込まれている国際ドメイン名 (IDN：International Domain Name) サポートや Unicode フォントが、似たような文字を含む URL の作成に悪用される可能性があります。これらが悪意ある Web サイトで悪用され、ユーザが本物のドメインと視覚的によく似たドメインのなりすましサイトにアクセスしてしまうことがあります。このアップデートでは、WebKit の既知の偽装文字リストを更新することにより問題が解消されています。偽装文字はアドレスバーに Punycode でレンダリングされます。この問題は Casaba Security, LLC の Chris Weber 氏からご報告いただいたものです。