В Safari исправлена критическая уязвимость

28 Апрель 2010

Apple стала второй компанией, закрывшей уязвимость, найденную в рамках ежегодного соревнования экспертов по безопасности Pwn2Own. Для выпуска обновления программистам компании понадобился всего 21 день.

Сотрудниками компании Apple был выпущен очередной патч для Mac OS X, повышающий безопасность браузера Safari. Напомним, что в марте был выпущен пакет обновлений исправлявший некоторые проблемы безопасности в данном браузере. Однако, 24 марта на ежегодном соревновании Pwn2Own Чарли Миллером из Independent Security Evaluators была найдена еще одна уязвимость, напрямую не связанная с Safari, но позволявшая получить удаленный контроль над системой через браузер.

Как стало известно, баг скрывался в модуле ATS, отвечающем за прорисовку шрифтов в системе. Этот же модуль и используется в популярном браузере от Apple. Отсутствие проверки в механизме индексации позволяло получить подступ к системе через браузер, если в загружаемую страницу внедрить специальным образом подготовленные шрифты.

На выпуск патча к обнаруженной уязвимости специалистам компании Apple было потрачено 21 день с момента ее обнародования в рамках соревнований. Пакеты обновлений доступны для версий операционных систем Mac OS X Leopard и Snow Leopard. Apple стала второй компанией, кто закрыл уязвимость, найденную в рамках соревнования. Первыми были программисты из Mozilla Foundation, закрывшие уязвимость в течение восьми дней. На сегодняшний день уязвимости в браузере Internet Explorer 8 и Safari для iPhone еще не закрыты.