Apple が『iPhone』『Mac OS X』『Safari』の脆弱性に対応

この記事のURLhttp://japan.internet.com/webtech/20070802/11.html

Apple (NASDAQ:AAPL) は7月31日、『iPhone』『Mac OS X』『Safari 3 Beta』それぞれに対するセキュリティ更新を公開した。

iPhone のセキュリティ更新『iPhone v1.0.1 Update』では、発売のほぼ直後に明らかになった Safari 関連の脆弱性2件と、公にはならなかった脆弱性3件に対応した。

クロスサイト スクリプティング問題は2件あり、1件は『JavaScript』を用いて特定ページが異なるドメインのページを変更してしまうという、Safari のセキュリティモデルに関係するものだ。もう1件は、『WebCore』に存在する問題で、「XMLHttpRequest」により HTTP インジェクションが可能になるというものだった。

3件目は Safari に関係するもので、『Perl』互換正規表現ライブラリにヒープバッファ オーバーフローの脆弱性が見つかった。4件目は『WebKit』に関係する脆弱性で、国際ドメイン名 (IDN) 対応に問題があり、よく似た文字を使って URL アドレスを偽装できるという内容だ。

5件目は WebKit のフレームセット表示処理に問題があり、正しくない型変換の結果としてメモリ破壊が起こり、遠隔コード実行を招くおそれがあるという。

Apple は、iPhone 以外の製品にもセキュリティ更新をリリースしている。

『Mac OS X 10.3.9』および『Mac OS X 10.4.10』のセキュリティ更新『Security Update 2007-007』では、25件の問題に対応した。ネットワーク機能やオーディオ機能、セキュリティ機能の『Kerberos』、『PHP』、『Tomcat』に見つかった脆弱性をはじめ、クロスサイト スクリプティングや遠隔コード実行につながる Web ベースの多数の脆弱性などを修正している。

最後に Safari 3 Beta の更新『Safari 3 Beta Update 3.0.3』では、4件の問題に対応した。このうち2件は、iPhone で見つかったものと同じ IDN 関係の脆弱性と Perl 互換正規表現ライブラリの脆弱性だ。3件目は、ユーザーが『Java』を無効にしていても、悪質サイトで Java アプレットの読み込みと実行を許してしまう問題だ。4件目の問題は、Windows 版の Safari 3 Beta に存在する脆弱性で、ブックマークに新しい URL を追加する際、タイトルが過度に長い場合、バッファオーバーフローが発生し、任意コード実行に至るおそれがあったという。