Windows 用 Safari 3.1.2 のセキュリティコンテンツについて

この記事では Windows 用 Safari 3.1.2 のセキュリティコンテンツについて説明します。このセキュリティコンテンツは、システム環境設定の「ソフトウェアアップデート」パネル、または Apple の「ダウンロード

Apple では、ユーザ保護の観点から、完全な調査が終了して必要なパッチやリリースが利用可能になるまではセキュリティ上の問題を公開、説明、または是認いたしません。Apple 製品のセキュリティについては、こちらを参照してください。

Apple Product Security PGP キーについては、こちらの記事を参照してください。

CVE ID を使って脆弱性を調べることもできます。

その他のセキュリティアップデートについては、こちらの記事を参照してください。

Windows 用 Safari 3.1.2

Safari

CVE-ID: CVE-2008-1573

対象 OS：Windows XP または Vista

影響：悪意を持って作成された BMP または GIF 画像を表示すると、情報が漏洩する可能性がある。

説明：BMP および GIF 画像の処理で領域外のメモリ読み込みが発生する可能性があり、メモリのコンテンツが漏洩する可能性があります。このアップデートでは、BMP および GIF 画像の検証を強化することで問題が解消されています。この問題は、Mac OS X 10.5.3 を実行しているシステム、およびセキュリティアップデート 2008-003 を搭載した Mac OS X 10.4.11 で解消されています。この問題の報告は、Hispasec の Gynvael Coldwind 氏の功績によるものです。

Safari

CVE-ID: CVE-2008-2540

対象 OS：Windows XP または Vista

影響：信頼できないファイルを Windows デスクトップに保存すると、任意のコードが実行される可能性がある。

説明：Windows デスクトップが実行可能ファイルを処理する方法に問題があります。信頼できないファイルを Windows デスクトップに保存すると、問題がトリガされ、任意のコードが実行される可能性があります。Web ブラウザは、ファイルをデスクトップに保存する方法です。この問題を軽減するため、ダウンロードファイルを保存する前にプロンプトを表示するよう、Safari ブラウザがアップデートされました。また、デフォルトのダウンロード場所が、Windows Vista ではユーザの「ダウンロード」フォルダに、Windows XP ではユーザの「ドキュメント」フォルダに変更されます。この問題は、Mac OS X を搭載しているシステムでは発生しません。詳しくは http://www.microsoft.com/technet/security/advisory/953818.mspx を参照してください。この問題の報告は、Aviv Raff 氏の功績によるものです。

Safari

CVE-ID: CVE-2008-2306

対象 OS：Windows XP または Vista

影響：信頼された Internet Explorer ゾーンにある悪意のある Web サイトにアクセスすると、任意のコードが自動的に実行される可能性がある。

説明：Web サイトが「アプリケーションと安全でないファイルの起動」設定が「有効」に設定された Internet Explorer 7 ゾーン内にあるか、Internet Explorer 6 の「ローカルイントラネット」または「信頼済みサイト」ゾーンにある場合、Safari はサイトからダウンロードされた実行可能ファイルを自動的に起動します。このアップデートでは、ダウンロードされた実行可能ファイルを自動的に起動せず、「常に確認する」設定が有効になっている場合はファイルをダウンロードする前にユーザに確認することによって、問題が解消されています。この問題は、Mac OS X を搭載しているシステムでは発生しません。この問題の報告は、CERT/CC の Will Dormann 氏の功績によるものです。この問題に対処するため Microsoft Security Response Center に協力いただいたことに感謝します。

WebKit

CVE-ID: CVE-2008-2307

対象 OS：Windows XP または Vista

影響：悪意を持って作成された Web サイトにアクセスすると、アプリケーションが予期せず終了したり、任意のコードが実行されたりする可能性がある。

説明：WebKit による JavaScript 配列の処理にメモリ破損の脆弱性が存在します。悪意を持って作成された Web サイトにアクセスすると、アプリケーションが予期せず終了したり、任意のコードが実行されたりする可能性があります。このアップデートでは、配列境界チェック機能を改善することで問題が解消されています。この問題の報告は、James Urquhart 氏の功績によるものです。