Over de beveiligingsinhoud van Safari 4.0.4

In dit document wordt de beveiligingsinhoud van Safari 4.0.4 beschreven.

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Bezoek de website Apple-productbeveiliging voor meer informatie over Apple-productbeveiliging.

Raadpleeg "Hoe gebruikt u de Apple PGP-sleutel voor productbeveiliging" voor meer informatie over het gebruik van de Apple PGP-sleutel voor productbeveiliging.

Waar mogelijk worden CVE-ID's als referentie voor kwetsbaarheden gebruikt voor verdere informatie.

Ga naar Apple beveiligingsupdates voor meer informatie over andere beveiligingsupdates.

Safari 4.0.4

  • ColorSync

    CVE-ID: CVE-2009-2804

    Beschikbaar voor: Windows 7, Vista, XP

    Impact: het bekijken van een kwaadwillig vervaardigde afbeelding met een ingebed kleurprofiel kan leiden tot het onverwacht beëindigen van een programma of het uitvoeren van willekeurige code

    Beschrijving: er treedt een overloop bij gehele getallen op bij het verwerken van afbeeldingen met een ingebed kleurprofiel dat kan leiden tot een heapbufferoverloop. Het openen van een kwaadwillig vervaardigde afbeelding met een ingebed kleurprofiel kan leiden tot het onverwacht beëindigen van een programma of het uitvoeren van willekeurige code. Het probleem wordt verholpen door een extra controle van de kleurprofielen uit te voeren. Dit probleem is niet van invloed op systemen met Mac OS X v10.6. Dit probleem is al verholpen in Security Update 2009-005 voor systemen met Mac OS X 10.5.8. Met dank aan: Apple.

  • libxml

    CVE-ID: CVE-2009-2414, CVE-2009-2416

    Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Windows 7, Vista, XP

    Impact: het parseren van kwaadwillig vervaardigde XML-inhoud kan leiden tot het onverwacht beëindigen van het programma

    Beschrijving: er treden meerdere "use-after-free"-problemen op in libxml2, waarvan de ernstigste kunnen leiden tot het onverwacht beëindigen van het programma. Deze update verhelpt de problemen door een verbeterde afhandeling van het geheugen. Dit probleem is al verholpen in Mac OS X 10.6.2 en in Security Update 2009-006 voor systemen met Mac OS X 10.5.8.

  • Safari

    CVE-ID: CVE-2009-2842

    Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.1 en v10.6.2, Mac OS X Server v10.6.1 en v10.6.2, Windows 7, Vista, XP

    Impact: het gebruik van het contextueel menu van een kwaadwillig vervaardigde website kan leiden tot het vrijgeven van lokale informatie

    Beschrijving: er treedt een probleem in Safari op bij de afhandeling van navigaties die worden begonnen met de opties "Open afbeelding in nieuw tabblad", "Open afbeelding in nieuw venster" of "Open koppeling in nieuw tabblad" van het contextueel menu. Het gebruik van deze opties van een kwaadwillig vervaardigde website kan een lokaal HTML-bestand laden waarbij vertrouwelijke informatie wordt vrijgegeven. Het probleem wordt verholpen door de opties van het contextueel menu uit te schakelen wanneer het doel van een link een lokaal bestand is.

  • WebKit

    CVE-ID: CVE-2009-2816

    Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.1 en v10.6.2, Mac OS X Server v10.6.1 en v10.6.2, Windows 7, Vista, XP

    Impact: een bezoek aan een kwaadwillig vervaardigde website kan op andere sites tot onverwachte acties leiden

    Beschrijving: er treedt een probleem op bij de implementatie van Cross-Origin Resource Sharing door WebKit. Voordat een pagina van een plaats toegang krijgt tot een bron op een andere plaats verstuurt WebKit een "preflight"-verzoek naar de laatste server voor toegang tot de bron. WebKit heeft aangepaste HTTP-headers gespecificeerd door de verzoekende pagina in het "preflight"-verzoek. Dit kan de vervalsing van een cross-site-verzoek vereenvoudigen. Het probleem wordt verholpen door aangepaste HTTP-headers in "preflight"-verzoeken te verwijderen. Met dank aan: Apple.

  • WebKit

    CVE-ID: CVE-2009-3384

    Beschikbaar voor: Windows 7, Vista, XP

    Impact: de toegang tot een kwaadwillig vervaardigde FTP-server kan leiden tot het onverwacht beëindigen van het programma, het vrijgeven van informatie of het uitvoeren van willekeurige code

    Beschrijving: er bestaan meerdere zwakke punten in de afhandeling van directory listings door Webkit. De toegang tot een kwaadwillig vervaardigde FTP-server kan leiden tot het onverwacht beëindigen van het programma, het vrijgeven van informatie of het uitvoeren van willekeurige code. In deze update worden deze problemen verholpen door verbeterde parsering van FTP directory listings. Deze problemen zijn niet van invloed op Safari in systemen met Mac OS X. Met dank aan Michal Zalewski van Google Inc. voor het melden van deze problemen.

  • WebKit

    CVE-ID: CVE-2009-2841

    Beschikbaar voor: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.1 en v10.6.2, Mac OS X Server v10.6.1 en v10.6.2

    Impact: Mail kan mogelijk externe audio- en video-inhoud laden wanneer het laden van externe afbeeldingen is uitgeschakeld

    Beschrijving: wanneer WebKit een HTML 5 Media Element vindt dat wijst naar een externe bron, verstuurt het geen callback voor het laden van de bron om te bepalen indien de bron dient te worden geladen. Dit kan leiden tot onverwachte verzoeken van externe servers. Voorbeeld: de zender van een HTML-geformatteerd e-mailbericht kan dit gebruiken om te bepalen of het bericht werd gelezen. Het probleem wordt verholpen door callbacks voor het laden van de bron te genereren wanneer een HTML 5 Media Element door WebKit wordt gevonden. Dit probleem is niet van invloed op Safari in systemen met Windows.

Publicatiedatum: