Appleは「Safari 5.0.2」および「Safari 4.1.2」を公開し、ユーザーを自動ダウンロード攻撃の危険にさらす3件のセキュリティホールを修正した。
Appleは、ページを閲覧しただけで攻撃を受けてしまうこれらの脆弱性は、Windows用およびMac用のSafariに影響を及ぼすとアドバイザリで述べている。3件の脆弱性のうち1件は、多数のWindowsアプリケーションが影響を受けているDLLハイジャック問題に起因するものだ。
3件の脆弱性のうち2件は、AppleのSafariおよびiTunesで利用されている、オープンソースのレンダリングエンジンであるWebKitに影響を及ぼすものとなっている。
詳細は次の通りだ。
- CVE-2010-1805(Windows 7、Vista、XP SP2以降):Safariの検索パスに問題がある。ダウンロードされたファイルの場所が表示される際、SafariはWindows Explorerを起動しているが、その実行ファイルへの完全パスを指定していない。特定のディレクトリに存在するファイルを開くことによってSafariを起動した場合、そのディレクトリは検索パスに含まれる。ダウンロードファイルの場所を表示させようとすると、そのディレクトリ内に置かれたアプリケーションが実行される場合があり、任意のコードが実行される可能性がある。
これはDLLハイジャックの攻撃ベクターを利用したものだ。
- CVE-2010-1807(MacおよびWindows):WebKitが浮動小数点のデータタイプを処理する方法に、入力値の検証の問題が存在する。悪意を持って作成されたウェブサイトにアクセスすると、アプリケーションが予期せずに終了したり、任意のコードが実行される可能性がある。
- CVE-2010-1806(MacおよびWindows):WebKitのrun-in stylingを伴う要素の扱い方に、解放後使用の問題が存在する。悪意を持って作成されたウェブサイトにアクセスすると、アプリケーションが予期せずに終了したり、任意のコードが実行される可能性がある。
Safari 5.0.2は、Mac OS X v10.5、Mac OS X v10.6、Windowsで提供されている。また、Safari 4.1.2はMac OS X v10.4でのみ提供されている。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
CNET Japanの記事を毎朝メールでまとめ読み(無料)
ZDNET×マイクロソフトが贈る特別企画
今、必要な戦略的セキュリティとガバナンス
住環境に求められる「安心、安全、快適」
を可視化するための“ものさし”とは?
ものづくりの革新と社会課題の解決
ニコンが描く「人と機械が共創する社会」