Actualizaciones de safari

La versión 3.2 de Safari corrige hasta 11 fallos de seguridad
Después de que Mozilla publicara recientemente una actualización de seguridad para su navegador Firefox, ahora le ha llegado el turno a Safari. Apple acaba de lanzar la versión 3.2 de su navegador en la que se corrigen hasta 12 vulnerabilidades, algunas de ellas catalogadas como críticas ya que podrían permitir la ejecución de código de forma remota. Recordamos que la última revisión de seguridad de Safari fue publicada a finales del mes de Junio.
Los problemas solventados en la versión 3.2 de Safari se pueden dividir en dos bloques, los que están causados por fallos en WebKit, el motor de navegación de código abierto contenido en Safari, y los propios de Safari, que son los expuestos en primer lugar:

1- Múltiples vulnerabilidades en la librería zlib 1.2.2 que podrían causar una denegación de servicio.

2- Denegación de servicio o ejecución remota de código arbitrario al procesar documentos XML especialmente manipulados. El fallo está causado por un desbordamiento de búfer basado en heap en la librería libxslt.

3- Se ha encontrado un fallo de desbordamiento de búfer basado en heap en el manejador de espacios de color de CoreGraphics. La vulnerabilidad podría ser aprovechada para hacer que la aplicación se cierre de forma inesperada o para ejecutar código arbitrario si un usuario visualiza una imagen especialmente manipulada.

4- Se han encontrado múltiples intentos de acceso a memoria no inicializada al hacer uso de la librería libtiff para intentar procesar imágenes TIFF codificadas con LZW. Esto podría ser aprovechado para hacer que Safari se cerrase de forma inesperada o para ejecutar código arbitrario, si un usuario visualiza una imagen especialmente manipulada.

5- Existe un fallo de corrupción de memoria durante el procesado que hace ImageIO de imágenes TIFF especialmente manipuladas. Esto podría ser aprovechado por un atacante remoto para ejecutar código arbitrario o causar una denegación de servicio en la aplicación.

6- Denegación de servicio o ejecución remota de código arbitrario causada por una corrupción de memoria en ImageIO al procesar imágenes JPEG especialmente manipuladas que contengan perfiles ICC.

7- Desbordamiento de búfer causado por el procesamiento de forma errónea de imágenes que contengan un perfil ICC. Esto podría ser aprovechado por un atacante remoto para ejecutar código arbitrario o hacer que Safari se cierre de forma inesperada.

8- Revelación de información sensible a usuarios locales a través de la caché del navegador.

A continuación se detallan los fallos del motor de navegación WebKit:

9- Acceso a memoria fuera de límites causado por un manejo erróneo de los índices de arrays JavaScript en Safari. Esto podría ser aprovechado por un atacante remoto para ejecutar código arbitrario o causar una denegación de servicio si se visita un página web especialmente modificada.

10- Denegación de servicio o ejecución remota de código causada por un fallo de corrupción de memoria en Webcore al manejar hojas de estilos.

11- Revelación de información sensible aprovechándose de que el interfaz de plugins de WebKit no bloquea el acceso a URLs locales desde los propios plugins.

Todos los problemas mencionados afectarían a las versiones de Safari para Windows, mientras que sólo los cuatro últimos afectarían a las distintas versiones del navegador para el sistema operativo de Apple, Mac OS X.

Se recomienda actualizar a la versión 3.2 de Safari, disponible a través de la característica de auto actualización, y para las distintas plataformas desde:

Safari 3.2 for Windows:
http://www.apple.com/support/downloads/safari32forwindows.html

Safari 3.2 for Tiger:
http://www.apple.com/support/downloads/safari32fortiger.html

Safari 3.2 for Leopard:
http://www.apple.com/support/downloads/safari32forleopard.html

Via Hispasec