关于 Safari 4.0.3 的安全性内容

本文稿介绍 Safari 4.0.3 的安全性内容。

为保护我们的客户,在未进行详尽的调查并推出必要的修补程序或发行版之前,Apple 不会公开、讨论或确认安全性问题。要了解有关 Apple 产品安全性的更多信息,请访问 Apple 产品安全性网站。

有关 Apple 产品安全性 PGP 密钥的信息,请参阅“如何使用 Apple 产品安全性 PGP 密钥”。

如果可能,请使用 CVE ID 来查阅漏洞的详细信息。

要了解有关其他安全性更新的信息,请参阅“Apple 安全性更新”。

Safari 4.0.3

  • CoreGraphics

    CVE-ID:CVE-2009-2468

    适用于:Windows XP 和 Vista

    影响:访问恶意制作的网站可能会导致应用程序意外终止或任意代码执行

    说明:提取长文本字符串时存在堆缓冲区溢出。访问恶意制作的网站可能会导致应用程序意外终止或任意代码执行。此更新通过改进边界检查解决了上述问题。感谢 Google Inc. 的 Will Drewry 报告此问题。

  • ImageIO

    CVE-ID:CVE-2009-2188

    适用于:Windows XP 和 Vista

    影响:查看恶意制作的图像可能会导致应用程序意外终止或任意代码执行

    说明:在处理 EXIF 元数据时存在缓冲区溢出。查看恶意制作的图像可能会导致应用程序意外终止或任意代码执行。此更新通过改进边界检查解决了上述问题。

  • Safari

    CVE-ID:CVE-2009-2196

    适用于:Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.7、Mac OS X Server v10.5.7、Windows XP 和 Vista

    影响:Safari 的 Top Sites 视图中可能会推荐恶意制作的网站

    说明:Safari 4 引入了 Top Sites 功能,让用户可以快速浏览喜爱的网站。恶意制作的网站可能会自动在 Top Sites 视图中推荐一些任意站点。这可能会被钓鱼攻击所利用。此问题可通过阻止自动访问网站以使其无法影响 Top Sites 列表来解决。Top Sites 列表中仅包含用户手动进行访问的网站。请注意,Safari 默认启用欺诈网站检测功能。由于引入了 Top Sites 功能,欺诈网站就不会在 Top Sites 视图中显示。感谢 SecureThoughts.com 的 Inferno 报告此问题。

  • WebKit

    CVE-ID:CVE-2009-2195

    适用于:Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.7、Mac OS X Server v10.5.7、Windows XP 和 Vista

    影响:访问恶意制作的网站可能会导致应用程序意外终止或任意代码执行

    说明:WebKit 解析浮点数时可能存在缓冲区溢出。访问恶意制作的网站可能会导致应用程序意外终止或任意代码执行。此更新通过改进边界检查解决了上述问题。参与人员:Apple。

  • WebKit

    CVE-ID:CVE-2009-2200

    适用于:Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.7、Mac OS X Server v10.5.7、Windows XP 和 Vista

    影响:访问恶意制作的网站并在看到恶意插件对话框时点按“前往”可能会导致敏感信息泄露

    说明:WebKit 允许“嵌入”元素的 pluginspage 属性参照文件 URL。当参照未知插件类型时,点按所显示对话框中的“前往”会重定向到 pluginspage 属性中列出的 URL。这可能会为远程攻击者启动 Safari 中的文件 URL 大开方便之门,并导致敏感信息泄露。此更新通过限制 pluginspage URL 方案中的 http 或 https 解决了上述问题。感谢 n.runs AG 的 Alexios Fakos 报告此问题。

  • WebKit

    CVE-ID:CVE-2009-2199

    适用于:Mac OS X v10.4.11、Mac OS X Server v10.4.11、Mac OS X v10.5.7、Mac OS X Server v10.5.7、Windows XP 和 Vista

    影响:URL 中相似的字符可用于网站的伪装。

    说明:由于受国际域名 (IDN) 支持且 Safari 中嵌入了 Unicode 字体,因此可以创建包含相似字符的 URL。恶意制作的网站可能会利用这些 URL,使用户访问域名看似合法的欺骗性网站。此更新通过补充 WebKit 的已知相似字符列表解决了上述问题。相似字符在地址栏中以 Punycode 表示。感谢 Casaba Security, LLC 的 Chris Weber 报告此问题。

发布日期: