Zawartość związana z zabezpieczeniami w przeglądarkach Safari 5.0.2 i Safari 4.1.2

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w przeglądarkach Safari 5.0.2 i Safari 4.1.2.

W celu ochrony swoich klientów firma Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń zabezpieczeń przed ich pełnym zbadaniem i udostępnieniem wszelkich niezbędnych poprawek lub wersji oprogramowania. Więcej informacji o bezpieczeństwie produktów Apple można znaleźć na tej stronie.

Informacje o kluczu PGP serwisu Bezpieczeństwo produktów Apple zawiera artykuł Używanie klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Tam, gdzie jest to możliwe, w odniesieniu do luk w zabezpieczeniach są używane identyfikatory CVE, aby ułatwić uzyskanie dalszych informacji.

Informacje o innych uaktualnieniach zabezpieczeń zawiera artykuł Uaktualnienia zabezpieczeń Apple.

Safari 5.0.2 i Safari 4.1.2

• Safari

  Identyfikator CVE: CVE-2010-1805

  Dostępne dla: systemów Windows 7, Vista, XP SP2 lub nowszych

  Zagrożenie: otwarcie pliku w katalogu, w którym inni użytkownicy mogą zapisywać dane, może spowodować wykonanie dowolnego kodu.

  Opis: w przeglądarce Safari występuje problem ze ścieżką wyszukiwania. Wyświetlając lokalizację pobranego pliku, Safari uruchamia Eksploratora Windows bez podawania pełnej ścieżki do pliku wykonywalnego. Uruchomienie przeglądarki Safari przez otwarcie pliku w określonym katalogu spowoduje uwzględnienie tego katalogu w ścieżce wyszukiwania. Próba ujawnienia lokalizacji pobranego pliku może spowodować uruchomienie aplikacji zawartej w tym katalogu, co może skutkować wykonaniem dowolnego kodu. Ten problem rozwiązano przez użycie jawnej ścieżki wyszukiwania podczas uruchamiania Eksploratora Windows. Ten problem nie występuje na komputerach z systemem Mac OS X. Problem zgłosił Simon Raner z ACROS Security.

• WebKit

  Identyfikator CVE: CVE-2010-1807

  Dostępne dla: systemów Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6.2 lub nowszych, Mac OS X Server 10.6.2 lub nowszych, Windows 7, Vista, XP SP2 lub nowszych

  Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może doprowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu.

  Opis: w procedurze obsługi zmiennoprzecinkowych typów danych przez WebKit występuje błąd sprawdzania poprawności danych wejściowych. Odwiedzenie złośliwie spreparowanej witryny może doprowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu. Ten problem rozwiązano przez poprawienie procedury sprawdzania poprawności wartości zmiennoprzecinkowych. Problem zgłosił Luke Wagner z Mozilla.

• WebKit

  Identyfikator CVE: CVE-2010-1806

  Dostępne dla: systemów Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X 10.5.8, Mac OS X Server 10.5.8, Mac OS X 10.6.2 lub nowszych, Mac OS X Server 10.6.2 lub nowszych, Windows 7, Vista, XP SP2 lub nowszych

  Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może doprowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu.

  Opis: w procedurze obsługi elementów ze stylami docierającymi w WebKit występuje błąd użycia po zwolnieniu. Odwiedzenie złośliwie spreparowanej witryny może doprowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu. Ten problem rozwiązano przez poprawienie procedury obsługi wskaźników obiektów. Problem zgłosił wushi z team509 w ramach programu Zero Day Initiative firmy TippingPoint.