Om sikkerhetsinnholdet i Safari 6
Dette dokumentet beskriver sikkerhetsinnholdet i Safari 6.
Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelig. Du finner mer informasjon om Apple Produktsikkerhet på nettstedet Apple Produktsikkerhet.
Du finner mer informasjon om PGP-nøkkelen fra Apple Produktsikkerhet under Slik bruker du PGP-nøkkelen fra Apple Product Security.
Der det er mulig, brukes CVE-ID-er som henvisning til svakhetene, slik at man kan finne mer informasjon.
Hvis du vil ha mer informasjon om sikkerhetsoppdateringer, kan du se Apple sikkerhetsoppdateringer.
Safari 6.0
Safari
Tilgjengelig for: OS X Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: Besøk på et skadelig websted kan føre til et angrep med skripting mellom websteder
Beskrivelse: Det fantes et problem med skripting på tvers av nettsteder i håndteringen av strøm:// URLer. Denne oppdateringen fjerner håndtering av strøm:// URLer.
CVE-ID
CVE-2012-0678 : Masato Kinugawa
Safari
Tilgjengelig for: OS X Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: Besøk på et skadelig nettsted kan sende filer fra brukerens system til en ekstern tjener
Beskrivelse: Det var et tilgangskontrollproblem i håndteringen av strøm:// URLer. Denne oppdateringen fjerner håndtering av strøm:// URLer.
CVE-ID
CVE-2012-0679: Aaron Sigel hos vtty.com
Safari
Tilgjengelig for: OS X Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: Passord kan autofullføres selv når nettstedet angir at autofullføring skal deaktiveres
Beskrivelse: Passordelementer med autofullfør-attributtet satt til "av", ble autofullført. Denne oppdateringen løser problemet ved å forbedre håndteringen av autofullfør-attributtet.
CVE-ID
CVE-2012-0680 : Dan Poltawski fra Moodle
Safari-nedlastinger
Tilgjengelig for: OS X Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: Åpning av skadelige filer på visse nettsteder kan føre til et angrep med skripting over flere steder
Beskrivelse: Det var et problem med Safaris støtte for "attachment"-verdien for HTTP Content-Disposition-hodet. Dette hodet brukes av mange nettsteder til å betjene filer som ble lastet opp til stedet av en tredjepart, som vedlegg i web-baserte e-postprogrammer. Et eventuelt skript i filer med denne hodeverdien som ble behandlet, ville kjøre som om filen ble behandlet integrert, med full tilgang til andre ressurser på opphavstjeneren. Dette problemet løses ved å laste ned ressurser betjent med dette hodet, i stedet for å vise dem internt.
CVE-ID
CVE-2011-3426 : Mickey Shkatov fra laplinker.com, Kyle Osborn, Hidetake Jo fra Microsoft og Microsoft Vulnerability Research (MSVR)
WebKit
Tilgjengelig for: OS X Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: Besøk på et skadelig nettsted kan føre til uventet avslutning av et program eller utføring av vilkårlig kode
Beskrivelse: Det er flere problemer med ødelagt hukommelse i WebKit. Problemene løses gjennom forbedret hukommelseshåndtering.
CVE-ID
CVE-2011-3016: miaubiz
CVE-2011-3021 : Arthur Gerkis
CVE-2011-3027: miaubiz
CVE-2011-3032 : Arthur Gerkis
CVE-2011-3034 : Arthur Gerkis
CVE-2011-3035 : wushi fra team509 som arbeider med iDefense VCP, Arthur Gerkis
CVE-2011-3036: miaubiz
CVE-2011-3037: miaubiz
CVE-2011-3038: miaubiz
CVE-2011-3039: miaubiz
CVE-2011-3040: miaubiz
CVE-2011-3041: miaubiz
CVE-2011-3042: miaubiz
CVE-2011-3043: miaubiz
CVE-2011-3044 : Arthur Gerkis
CVE-2011-3050: miaubiz
CVE-2011-3053: miaubiz
CVE-2011-3059 : Arthur Gerkis
CVE-2011-3060: miaubiz
CVE-2011-3064 : Atte Kettunen fra OUSPG
CVE-2011-3068: miaubiz
CVE-2011-3069: miaubiz
CVE-2011-3071 : pa_kt som arbeider ved HPs Zero Day Initiative
CVE-2011-3073 : Arthur Gerkis
CVE-2011-3074: Slawomir Blazek
CVE-2011-3075: miaubiz
CVE-2011-3076: miaubiz
CVE-2011-3078 : Martin Barbella i Google Chrome Security Team
CVE-2011-3081: miaubiz
CVE-2011-3086 : Arthur Gerkis
CVE-2011-3089 : Skylined i Google Chrome Security Team, miaubiz
CVE-2011-3090 : Arthur Gerkis
CVE-2011-3913 : Arthur Gerkis
CVE-2011-3924 : Arthur Gerkis
CVE-2011-3926 : Arthur Gerkis
CVE-2011-3958 : miaubiz
CVE-2011-3966 : Aki Helin of OUSPG
CVE-2011-3968 : Arthur Gerkis
CVE-2011-3969 : Arthur Gerkis
CVE-2011-3971 : Arthur Gerkis
CVE-2012-0682 : Apple Product Security
CVE-2012-0683 : Dave Mandelin fra Mozilla
CVE-2012-1520 : Martin Barbella i Google Chrome Security Team med AddressSanitizer, Jose A. Vazquez fra spa-s3c.blogspot.com som arbeider med iDefense VCP
CVE-2012-1521 : Skylined i Google Chrome Security Team, Jose A. Vazquez fra spa-s3c.blogspot.com som arbeider med iDefense VCP
CVE-2012-3589 : Dave Mandelin fra Mozilla
CVE-2012-3590 : Apple Product Security
CVE-2012-3591 : Apple Product Security
CVE-2012-3592 : Apple Product Security
CVE-2012-3593 : Apple Product Security
CVE-2012-3594: miaubiz
CVE-2012-3595 : Martin Barbella i Google Chrome Security
CVE-2012-3596 : Skylined i Google Chrome Security Team
CVE-2012-3597 : Abhishek Arya i Google Chrome Security Team med AddressSanitizer
CVE-2012-3599 : Abhishek Arya i Google Chrome Security Team med AddressSanitizer
CVE-2012-3600 : David Levin i Chromium-utviklingsfellesskapet
CVE-2012-3603 : Apple Product Security
CVE-2012-3604 : Skylined i Google Chrome Security Team
CVE-2012-3605 : Cris Neckar i Google Chrome Security team
CVE-2012-3608 : Skylined i Google Chrome Security Team
CVE-2012-3609 : Skylined i Google Chrome Security Team
CVE-2012-3610 : Skylined i Google Chrome Security Team
CVE-2012-3611 : Apple Product Security
CVE-2012-3615 : Stephen Chenney i Chromium-utviklingsfellesskapet
CVE-2012-3618 : Abhishek Arya i Google Chrome Security Team med AddressSanitizer
CVE-2012-3620 : Abhishek Arya i Google Chrome Security Team
CVE-2012-3625 : Skylined i Google Chrome Security Team
CVE-2012-3626 : Apple Product Security
CVE-2012-3627 : Skylined og Abhishek Arya i Google Chrome Security team
CVE-2012-3628 : Apple Product Security
CVE-2012-3629 : Abhishek Arya i Google Chrome Security Team med AddressSanitizer
CVE-2012-3630 : Abhishek Arya i Google Chrome Security Team med AddressSanitizer
CVE-2012-3631 : Abhishek Arya i Google Chrome Security Team med AddressSanitizer
CVE-2012-3633 : Martin Barbella i Google Chrome Security Team med AddressSanitizer
CVE-2012-3634 : Martin Barbella i Google Chrome Security Team med AddressSanitizer
CVE-2012-3635 : Martin Barbella i Google Chrome Security Team med AddressSanitizer
CVE-2012-3636 : Martin Barbella i Google Chrome Security Team med AddressSanitizer
CVE-2012-3637 : Martin Barbella i Google Chrome Security Team med AddressSanitizer
CVE-2012-3638 : Martin Barbella i Google Chrome Security Team med AddressSanitizer
CVE-2012-3639 : Martin Barbella i Google Chrome Security Team med AddressSanitizer
CVE-2012-3640: miaubiz
CVE-2012-3641: Slawomir Blazek
CVE-2012-3642: miaubiz
CVE-2012-3644: miaubiz
CVE-2012-3645 : Martin Barbella i Google Chrome Security Team med AddressSanitizer
CVE-2012-3646 : Julien Chaffraix fra Chromium-utviklingsfellesskapet, Martin Barbella i Google Chrome Security Team med AddressSanitizer
CVE-2012-3653 : Martin Barbella i Google Chrome Security Team med AddressSanitizer
CVE-2012-3655 : Skylined i Google Chrome Security Team
CVE-2012-3656 : Abhishek Arya i Google Chrome Security Team med AddressSanitizer
CVE-2012-3661 : Apple Product Security
CVE-2012-3663 : Skylined i Google Chrome Security Team
CVE-2012-3664 : Thomas Sepez fra Chromium-utviklingsfellesskapet
CVE-2012-3665 : Martin Barbella i Google Chrome Security Team med AddressSanitizer
CVE-2012-3666: Apple
CVE-2012-3667 : Trevor Squires i propaneapp.com
CVE-2012-3668 : Apple Product Security
CVE-2012-3669 : Apple Product Security
CVE-2012-3670 : Abhishek Arya i Google Chrome Security Team med AddressSanitizer, Arthur Gerkis
CVE-2012-3674 : Skylined i Google Chrome Security Team
CVE-2012-3678 : Apple Product Security
CVE-2012-3679 : Chris Leary fra Mozilla
CVE-2012-3680 : Skylined i Google Chrome Security Team
CVE-2012-3681: Apple
CVE-2012-3682 : Adam Barth i Google Chrome Security Team
CVE-2012-3683: wushi fra team509 som arbeider med iDefense VCP
CVE-2012-3686 : Robin Cao fra Torch Mobile (Beijing)
WebKit
Tilgjengelig for: OS X Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: Dra og slipp av merket tekst på en nettside kan føre til fremlegging av informasjon på tvers av nettsteder
Beskrivelse: Det var et problem med opprinnelse på tvers av nettsteder i håndteringen av dra-og-slipp-hendelser. Dette problemet er løst gjennom bedre sporing av opphavssted.
CVE-ID
CVE-2012-3689 : David Bloom fra Cue
WebKit
Tilgjengelig for: OS X Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: Dra og slipp av merket tekst på en nettside kan føre til at filer fra brukerens system blir sendt til en ekstern tjener
Beskrivelse: Det var et tilgangskontrollproblem i håndteringen av dra-og-slipp-hendelser. Dette problemet er løst gjennom bedre sporing av opphavssted.
CVE-ID
CVE-2012-3690 : David Bloom fra Cue
WebKit
Tilgjengelig for: OS X Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: Besøk på et skadelig nettsted kan føre til fremlegging av informasjon via skripting mellom nettsteder
Beskrivelse: Det er et problem på tvers av opprinnelsessteder i håndteringen av CSS-egenskapsverdier. Dette problemet er løst gjennom bedre sporing av opphavssted.
CVE-ID
CVE-2012-3691: Apple
WebKit
Tilgjengelig for: OS X Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: Et skadelig nettsted kan være i stand til å erstatte innholdet i en iframe på et annet nettsted
Beskrivelse: Det er et problem på tvers av opprinnelsessteder i håndteringen av iframes i popupvinduer. Dette problemet er løst gjennom bedre sporing av opphavssted.
CVE-ID
CVE-2011-3067: Sergey Glazunov
WebKit
Tilgjengelig for: OS X Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: Besøk på et skadelig nettsted kan føre til fremlegging av informasjon via skripting mellom nettsteder
Beskrivelse: Det var et problem med opprinnelse på tvers av nettsteder i håndteringen av iframes og fragmentidentifikatorer. Dette problemet er løst gjennom bedre sporing av opphavssted.
CVE-ID
CVE-2012-2815 : Elie Bursztein, Baptiste Gourdin, Gustav Rydstedt og Dan Boneh fra Stanford University Security Laboratory
WebKit
Tilgjengelig for: OS X Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: Tegn som ser like ut i en URL-adresse, kan brukes til å maskere et nettsted
Beskrivelse: IDN-støtten (International Domain Name) og Unicode-fontene som er innebygd i Safari, kunne brukes til å opprette en URL-adresse som inneholder tegn som ser like ut. Disse kunne brukes på et skadelig nettsted for å sende brukeren til et forfalsket nettsted som visuelt ser ut til å være et legitimt domene. Dette problemet løses ved å supplere WebKits liste over kjente tegn som ser like ut. Tegn som ser like ut, gjengis i Punycode på adresselinjen.
CVE-ID
CVE-2012-3693 : Matt Cooley i Symantec
WebKit
Tilgjengelig for: OS X Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: En fil som dras og slippes til Safari kan avsløre filsystembanen til filen på nettstedet
Beskrivelse: Det var et problem med fremlegging av informasjon i håndteringen av filer som ble dratt. Problemet løses ved forbedret håndtering av filer som dras.
CVE-ID
CVE-2012-3694 : Daniel Cheng i Google, Aaron Sigel i vtty.com
WebKit
Tilgjengelig for: OS X Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: Besøk på et skadelig websted kan føre til et angrep med skripting mellom websteder
Beskrivelse: Det var et kanoniseringsproblem i håndteringen av URLer. Dette kan ha ført til et problem med skripting på tvers av nettsteder på nettsteder som bruker egenskapen location.href. Problemet løses ved forbedret kanonisering av URLer.
CVE-ID
CVE-2012-3695 : Masato Kinugawa
WebKit
Tilgjengelig for: OS X Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: Besøk på et skadelig nettsted kan føre til splitting av HTTP-forespørsel
Beskrivelse: Det var et problem med HTTP-hodeinjeksjon i håndtering av WebSockets. Problemet løses gjennom forbedret rensing av WebSockets URI.
CVE-ID
CVE-2012-3696 : David Belcher i BlackBerry Security Incident Response Team
WebKit
Tilgjengelig for: OS X Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: Et skadelig nettsted kan være i stand til å forandre verdien på URL-linjen
Beskrivelse: Det var et problem med tilstandsadministrasjon i håndteringen av økthistorikken. Navigering til et fragment på gjeldende side kan føre til at Safari viser feil informasjon på URL-linjen. Dette problemet løses ved forbedret sporing av økttilstand.
CVE-ID
CVE-2011-2845: Jordi Chancel
WebKit
Tilgjengelig for: Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: En angriper kan være i stand til å slippe unna "sandbox" og få tilgang til alle filer som gjeldende bruker har tilgang til
Beskrivelse: Det var et tilgangskontrollproblem i håndteringen av fil-URler. En angriper som oppnår utføring av vilkårlig kode i en Safari WebProcess, kan være i stand til å slippe unna "sandbox" og få tilgang til hvilken som helst fil som Safari-brukeren har tilgang til. Problemet løses ved forbedret håndtering av fil-URLer.
CVE-ID
CVE-2012-3697: Aaron Sigel hos vtty.com
WebKit
Tilgjengelig for: Lion v10.7.4, OS X Lion Server v10.7.4
Virkning: Besøk på et skadelig nettsted kan føre til fremlegging av innholdet i hukommelsen
Beskrivelse: Det var et problem med ikke initialisert hukommelsestilgang i håndteringen av SVG-bilder. Problemet løses ved forbedret initialisering av hukommelsen.
CVE-ID
CVE-2012-3650: Apple
Informasjon om produkter som ikke er laget av Apple, samt uavhengige nettsteder som ikke kontrolleres eller testes av Apple, er gitt uten anbefaling eller godkjenning. Apple påtar seg ikke noe ansvar for utvalget av, bruken av eller ytelsen til nettsteder og produkter fra tredjeparter. Apple garanterer ikke for nøyaktigheten eller påliteligheten til tredjeparters nettsteder. Kontakt leverandøren for mer informasjon.