Safari 4.0.4
-
ColorSync
CVE-ID：CVE-2009-2804
対象となるバージョン：Windows 7、Vista、XP
影響：悪意を持って作成された、カラープロファイルが埋め込まれている画像を表示すると、アプリケーションが予期せず終了したり、任意のコードが実行される可能性がある。
説明：カラープロファイルが埋め込まれている画像の処理での整数のオーバーフローが原因で、ヒープバッファがオーバーフローする可能性があります。悪意を持って作成された、カラープロファイルが埋め込まれた画像を開くと、アプリケーションが予期せず終了したり、任意のコードが実行される可能性があります。カラープロファイルの追加認証を行うことで、この問題を解決しました。この問題は Mac OS X v10.6 システムでは発生しません。Mac OS X10.5.8 システムでは、セキュリティアップデート 2009-005 で問題が解決されています。功績：Apple。
-
libxml
CVE-ID：-2009-2414、CVE-2009-2416
対象となるバージョン：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Windows 7、Vista、XP
影響：悪意を持って作成された XML コンテンツを解析すると、アプリケーションが突然終了する可能性がある。
説明：libxml2 には use-after-free (開放後使用) エラーを引き起こす問題が複数あり、もっとも深刻な場合は、アプリケーションが突然終了する可能性があります。このアップデートでは、メモリ処理を強化することで、問題が解決されています。これらの問題は Mac OS X 10.6.2 では対応済みです。Mac OS X 10.5.8 システムでは、セキュリティアップデート 2009-006 で問題が解決されています。
-
Safari
CVE-ID：CVE-2009-2842
対象となるバージョン：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.8、Mac OS X Server v10.5.8、Mac OS X v10.6.1 および v10.6.2、Mac OS X Server v10.6.1 および v10.6.2、Windows 7、Vista、XP
影響：悪意を持って作成された Web サイト内でショートカットメニューのオプションを使用すると、ローカルの情報が開示される可能性がある。
説明：「イメージを新規タブで開く」「イメージを新規ウインドウで開く」または「リンクを新規タブで開く」それぞれのショートカットメニューのオプションからの Safari の移動処理時に問題が発生します。悪意を持って作成された Web サイト内でこれらのオプションを使用すると、ローカルの HTML を読み込んで、機密情報が漏洩する可能性があります。この問題は、リンクのターゲットがローカルファイルのときに表示されるショートカットメニューのオプションを無効にすることで解決できます。
-
WebKit
CVE-ID：CVE-2009-2816
対象となるバージョン：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.8、Mac OS X Server v10.5.8、Mac OS X v10.6.1 および v10.6.2、Mac OS X Server v10.6.1 および v10.6.2、Windows 7、Vista、XP
影響：悪意を持って作成された Web サイトにアクセスすると、ほかのサイトで予期しない動作が発生する可能性がある。
説明：「Cross-Origin Resource Sharing」のWebKit の導入時に問題が発生します。1 つの起点からページが別の起点のリソースにアクセスすることを許可する前に、WebKit は後者のサーバにリソースへのアクセスのプリフライトリクエストを送信します。WebKit には、プリフライトリクエストのリクエストページで特定されているカスタム HTTP ヘッダが含まれています。これによって、クロスサイトリクエストフォージェリが引き起こされる可能性があります。この問題は、カスタム HTTP ヘッダをプリフライトリクエストから削除することで解決できます。功績：Apple。
-
WebKit
CVE-ID：CVE-2009-3384
対象となるバージョン：Windows Vista、XP
影響：悪意を持って作成された FTP サーバにアクセスすると、アプリケーションが予期せず終了したり、情報が漏洩したり、または任意のコードが実行されたりする可能性がある。
説明：FTP ディレクトリの WebKit による表示処理に複数の脆弱性の問題があります。悪意を持って作成された FTP サーバにアクセスすると、情報が漏洩したり、アプリケーションが予期せず終了したり、任意のコードが実行されたりする可能性があります。このアップデートでは、FTP ディレクトリの表示の解析を改善することで、これらの問題を解決しています。Mac OS X システムの Safari では、これらの問題は発生しません。これらの問題の報告は、Google Inc. の Michal Zalewski 氏の功績によるものです。
-
WebKit
CVE-ID：CVE-2009-2841
対象となるバージョン：Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.8、Mac OS X Server v10.5.8、Mac OS X v10.6.1 および v10.6.2、Mac OS X Server v10.6.1 および v10.6.2
影響：リモートイメージの読み込みを無効にすると、メールがリモートオーディオおよびビデオを読み込む可能性がある。
説明：WebKit で MediaElement の HTML5 が外部リソースを指すという問題が発生すると、リソースを読み込むかどうか判断するリソース読み込みコールバックを行いません。これにより、リモートサーバに不要なリクエストが送られる可能性があります。たとえば、HTML 形式のメールメッセージの送信者が、これをメッセージを既読と判断するのに使用している可能性があります。この問題は、WebKit で MediaElement の HTML5 の問題が発生したときに、リソース読み込みコールバックを生成することで解決できます。Windows システムの Safari では、この問題は発生しません。