Acerca do conteúdo de segurança do Xcode Tools 3.1

Este documento descreve o conteúdo de segurança do Xcode 3.1.

Para proteção dos nossos clientes, a Apple não divulga, comenta nem confirma problemas de segurança enquanto não for efetuada uma investigação completa e não estiverem disponíveis as correções ou versões necessárias. Para obter mais informações acerca da segurança dos produtos Apple, consulte o site Segurança dos produtos Apple.

Para obter mais informações sobre a chave PGP de segurança dos produtos Apple, consulte o artigo "Como utilizar a chave PGP de segurança dos produtos Apple".

Sempre que possível, são utilizados ID CVE para designar as vulnerabilidades e disponibilizar mais informações.

Para saber mais sobre outras Atualizações de segurança, consulte o artigo "Atualizações de segurança da Apple".

Xcode Tools 3.1

• CoreImage Examples

  ID CVE: CVE-2008-2304

  Disponível para: Mac OS X v10.5.x

  Impacto: abrir um documento de Fun House poderá originar o encerramento inesperado da aplicação ou a execução de código arbitrário

  Descrição: o Xcode Tools contém uma aplicação exemplo denominada Core Image Fun House que processa conteúdo com a extensão ".funhouse". Poderá ocorrer uma ultrapassagem do limite máximo do buffer nesta aplicação ao processar ficheiros ".funhouse". A abertura de uma ficheiro ".funhouse" criado com intuito malicioso pode originar o encerramento inesperado da aplicação ou a execução de código arbitrário. Esta atualização resolve o problema através da verificação melhorada dos limites. Os nossos agradecimentos a Kevin Finisterre da Netragard por ter comunicado este problema.

• WebObjects

  ID CVE: CVE-2008-2318

  Disponível para: Mac OS X v10.5.x

  Impacto: os ID de sessão de WebObjects poderão ser divulgados a outros sites

  Descrição: o WebObjects contém uma API para geração de URLs em documentos HTML através do elemento dinâmico WOHyperlink. Quando o WOHyperlink é utilizado, acrescenta sempre um ID de sessão ao URL gerado, mesmo no caso dos URL absolutos. A utilização do WOHyperlink para criar URLs que apontem para outros sites poderá resultar na divulgação do ID de sessão do utilizador atual a esses sites. Esta atualização resolve o problema, acrescentando os ID de sessão aos URL absolutos apenas quando explicitamente solicitados.