Obsah zabezpečenia v nástrojoch Xcode 3.1

V tomto dokumente sa popisuje obsah zabezpečenia v nástrojoch Xcode 3.1.

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy úplne nepreskúmajú a nie sú k dispozícii potrebné opravy alebo vydania. Ďalšie informácie o zabezpečení produktov spoločnosti Apple nájdete na webovej stránke týkajúcej sa zabezpečenia produktov spoločnosti Apple.

Ďalšie informácie o kľúči PGP zabezpečenia produktov spoločnosti Apple nájdete v článku Používanie kľúča PGP zabezpečenia produktov spoločnosti Apple.

Ak je to možné, ako odkazy na ďalšie informácie o príslušných rizikách sa používajú identifikátory CVE.

Informácie o ďalších aktualizáciách zabezpečenia nájdete v článku Aktualizácie zabezpečenia Apple.

Nástroje Xcode 3.1

• CoreImage Examples

  CVE-ID: CVE-2008-2304

  Dostupné pre: Mac OS X 10.5.x

  Dopad: Otvorenie dokumentu Fun House môže viesť k neočakávanému ukončeniu aplikácie alebo spusteniu ľubovoľného kódu

  Popis: Nástroje Xcode obsahujú vzorovú aplikáciu s názvom Core Image Fun House, ktorá pracuje s obsahom s príponou .funhouse. Pri spracúvaní súborov .funhouse môže v tejto aplikácii dôjsť k pretečeniu medzipamäte. Otvorenie súboru .funhouse so škodlivým kódom môže viesť k neočakávanému ukončeniu aplikácie alebo spusteniu ľubovoľného kódu. Táto aktualizácia rieši tento problém vylepšenou kontrolou rozsahu. Poďakovanie za nahlásenie tohto problému si zaslúži Kevin Finisterre (Netragard).

• WebObjects

  CVE-ID: CVE-2008-2318

  Dostupné pre: Mac OS X 10.5.x

  Dopad: Identifikátory relácií WebObjects môžu byť sprístupnené iným webovým lokalitám

  Popis: WebObjects obsahuje rozhranie API na generovanie URL adries v dokumentoch HTML prostredníctvom dynamického prvku WOHyperlink. Keď sa použije WOHyperlink, k vygenerovanej URL adrese vždy pripojí identifikátor relácie, a to aj v prípade absolútnych URL adries. Použitie prvku WOHyperlink na vytváranie URL adries smerujúcich na iné webové lokality môže mať za následok sprístupnenie identifikátora relácie aktuálneho používateľa týmto lokalitám. Táto aktualizácia rieši tento problém tak, že k absolútnym URL adresám sa identifikátory relácií pripájajú len vtedy, keď sa to výslovne požaduje.