Cupertino (USA) – Con la lenta ma costante diffusione di Safari anche tra gli utenti di Windows, per Apple è sempre più importante stuccare con tempestività ogni nuova vulnerabilità di sicurezza. L’ultima versione del browser, la 3.1.1, sistema quattro differenti falle, due relative al browser vero e proprio, e altre due contenute invece nel motore di rendering open source WebKit.
Una delle falle relative a WebKit è recentemente balzata agli onori delle cronache per essere valsa al suo scopritore, Charlie Miller, un premio di 10mila dollari . Premio incassato in occasione del contest PWN to OWN svoltosi presso la conferenza CanSecWest , dove Miller è riuscito a sfruttare la succitata falla per scardinare le difese di un MacBook Air e prenderne il controllo.
In questo advisory Apple descrive la debolezza come “un buffer overflow dello heap nella gestione delle espressioni regolari JavaScript da parte di WebKit” che può essere innescato “tramite JavaScript quando si elaborano espressioni regolari con un elevato numero di ripetizioni nidificate”. “Questo – continua l’advisory – potrebbe causare la chiusura imprevista dell’applicazione o un’esecuzione arbitraria di codice”.
La seconda vulnerabilità relativa a WebKit è invece causata da una non corretta gestione degli URL contenenti un carattere due punti nel nome dell’host. Apple sostiene che un aggressore potrebbe creare una pagina web ad hoc capace, tramite un URL fatto in un certo modo, di compromettere il sistema remoto.
Entrambe le falle di WebKit interessano sia Mac OS X che Windows XP/Vista.
Gli altri due bug di Safari affliggono invece solo Windows , e possono essere sfruttati per mezzo di una pagina Web maligna: in un caso si tratta di “un problema di temporizzazione” che permette a una pagina web di cambiare il contenuto della barra degli indirizzi senza caricare il contenuto della pagina corrispondente; nell’altro caso di una corruzione della memoria nel download di certi archivi.
Apple afferma che l’ultima versione di Safari contiene anche modifiche mirate a migliorarne compatibilità e stabilità .
Safari 3.1.1 può essere scaricato sia attraverso la funzionalità Aggiornamento software dei software Apple sia attraverso la sezione Downloads del sito della Mela.
Ti potrebbe interessare
18 apr 2008