Apple aktualizoval Safari na verzi 5.0.1

Apple začal distribuovat Safari 5.0.1, které řeší řadu chyb a hlavně zapíná nový systém doplňků. Ti, kteří si jej již povolili pomocí Debug menu už ve verzi 5.0 často hlásili mnoho problémů s výkonem. Ačkoliv i nová verze má pár much, Apple vyřešil problém s výkonem u poslední aktualizace.

U Safari 5.0 nahrávání nových doplňků někdy způsobovalo snížení výkonu a často způsobovalo "beachballs of doom" (plážový míč zatracení), pokud bylo otevřeno více záložek. Odstranění instalovaných doplňků tento problém vyřešilo.

Nicméně neradujte se, systém doplňků stále potřebuje ještě doladit. Například některé doplňky, které instaluje toolbary se aktivují jen v nově otevřených oknech nebo řádně fungují až po restartu Safari (přestože však toolbar je vidět).

Jak již bylo zmíněno, Safari 5.0.1 má standardně zapnutý doplňkový systém. Ty jsou přístupné přes adresu extensions.apple.com.

Ale podívejme se na to, co bylo vyřešeno:

• Přesnější Top Hit výsledky v adresářovém poli
• Přesnější časování CSS animací
• Větší stabilita při použití Safari Reader keyboard zkratky
• Lepší stabilita při skrolování v MobileMe Mailu
• Opravuje zobrazování vícestránkových řádků z www.rolingstone.com v Safari Readeru
• Opravuje problém, který zabraňoval Google Wave a dalším stránkám používat JavaScript kódovací knihovny na 32-bit systémech
• Opravuje problém, který zabraňoval spouštění Safari na Leopardovu (10.5) s síťovou domácí složkou
• Opravuje problém, který způsobuje, že mizí okraje u YouTube náhledů při přejezdu myší.
• Opravuje problém, který může způsobit, že se Flashový obsah překryje s obsahem stránky na facebook.com, crateandbarrel.com a další při použití Flashe 10.1
• Opravuje problém, který zabraňuje správný tisk lístků z aa.com
• Opravuje problém, který může způsobit DNS prefetching přetížením určitých routerů
• Opravuje problém, který může způsobit, že VoiceOver špatně identifikuje elementy stránky

Safari 5.0.1 opravuje i bezpečnostní problémy Webkitu a Safari:

Safari

• CVE-ID: CVE-2010-1778
• Pro: Mac OS X 10.4.11, Mac OS X 10.5.8,  Mac OS X v10.6.2 a pozdější, klientská i serverová verze,, Windows 7, Vista, XP SP2 nebo pozdější
• Dopad: Přístupem na upravený RSS feed může být odeslán soubor ze systému uživatele na vzdálený server
• Popis: Při zpracování RSS feedů v Safari může dojít ke cross-site scriptingu. Přístupem na upravený RSS feed se tak může odeslat soubor ze systému uživatele na vzdálený server. Problém je vyřešen lepší prací s RSS feedy. Kredit: Billy Rios z Google Security Teamu.

• CVE-ID: CVE-2010-1796
• Pro: Mac OS X 10.4.11, Mac OS X 10.5.8,  Mac OS X v10.6.2 a pozdější, klientská i serverová verze,, Windows 7, Vista, XP SP2 nebo pozdější
• Dopad: Autofill funkce může prozradit informace web stránkám bez interakce s uživatelem.
• Popis: Funkce Autofill v Safari může automaticky vyplnit webový formuláře použitím příslušných informací z Mac OS X Address Booku, Outlooku nebo Windows Address Booku. Autofill funkce byla navržena tak, aby vyžadovala interakci uživatele. V implementaci je však chyba, která umožňovala odeslat data bez interakce uživatele, za předpokladu, že v Address Booku existovala vyplněná karta My Card a v předvolbách Safari bylo povoleno "Autofill web forms using info from my Address Book card". Pouze informace v My Card mohly být odeslány. Problém byl vyřešen tím, že Autofill formulář nyní nemůže použít informace bez akce uživatele. Zařízení s iOS nejsou zasaženy. Kredit: Jeremiah Grossman z WhiteHat Security. Podrobněji je problém rozebrán zde.

WebKit

• CVE-ID: CVE-2010-1780
• Pro: Mac OS X 10.4.11, Mac OS X 10.5.8,  Mac OS X v10.6.2 a pozdější, klientská i serverová verze,, Windows 7, Vista, XP SP2 nebo pozdější
• Dopad: Navštívení upravené www stránky může vést k pádu aplikace nebo spuštění nežádoucího kódu
• Popis: Při práci s prvky stránky je používán objekt po jeho uvolnění. Navštívení upravené www stránky, může vést k pádu aplikace nebo spuštění nežádoucího kódu. Problém je řešen lepší prací s prvky. Kredit: Tony Chang z Google Inc.

• CVE-ID: CVE-2010-1782
• Pro: Mac OS X 10.4.11, Mac OS X 10.5.8,  Mac OS X v10.6.2 a pozdější, klientská i serverová verze,, Windows 7, Vista, XP SP2 nebo pozdější
• Dopad: Navštívení upravené www stránky může vést k pádu aplikace nebo spuštění nežádoucího kódu
• Popis: Při renderování inline prvků dochází k poškození paměti. Navštívení upravené www stránky může vést k pádu aplikace a spuštění nežádoucího kódu. Problém je vyřešen lepší kontrolou hranic. Kredit wushi z team509 za nahlášení chyby

• CVE-ID: CVE-2010-1783
• Pro: Mac OS X 10.4.11, Mac OS X 10.5.8,  Mac OS X v10.6.2 a pozdější, klientská i serverová verze,, Windows 7, Vista, XP SP2 nebo pozdější
• Dopad: Navštívení upravené www stránky může vést k pádu aplikace nebo spuštění nežádoucího kódu
• Popis: Při práci s dynamickými modifikacemi textových uzlů dochází k poškození paměti. Navštívení upravené www stránky může vést k neočekávanému ukončení aplikace nebo spuštění nežádoucího kódu. Problém je vyřešen lepší kontrolou správy paměti.

• CVE-ID: CVE-2010-1784
• Pro: Mac OS X 10.4.11, Mac OS X 10.5.8,  Mac OS X v10.6.2 a pozdější, klientská i serverová verze,, Windows 7, Vista, XP SP2 nebo pozdější
• Dopad: Navštívení upravené www stránky může vést k pádu aplikace nebo spuštění nežádoucího kódu
• Popis: Při práci s CSS počítadly dochází k poškození paměti. Navštívením upravené www stránky dochází k pádu aplikace nebo spuštění nežádoucího kódu. Problém je vyřešen lepší správou paměti. Kredit: wushi z team509

• CVE-ID: CVE-2010-1785
• Pro: Mac OS X 10.4.11, Mac OS X 10.5.8,  Mac OS X v10.6.2 a pozdější, klientská i serverová verze,, Windows 7, Vista, XP SP2 nebo pozdější
• Dopad: Navštívení upravené www stránky může vést k pádu aplikace nebo spuštění nežádoucího kódu
• Popis: Při práci s pseudo elementy :first-letter a :first-line v SVG textových elementech je přistupováno k neinicializované paměti. Navštívením upravené www stránky pak může dojít k pádu aplikace nebo spuštění nežádoucího kódu. Problém je vyřešen nerendrováním pseudo elementů :first-letter a :first-line v SVG text elementu. Kredit: wushi z team509

• CVE-ID: CVE-2010-1786
• Pro: Mac OS X 10.4.11, Mac OS X 10.5.8,  Mac OS X v10.6.2 a pozdější, klientská i serverová verze,, Windows 7, Vista, XP SP2 nebo pozdější
• Dopad: Navštívení upravené www stránky může vést k pádu aplikace nebo spuštění nežádoucího kódu
• Popis: Při práci s cizím objektem v SVG dokumentu dochází k použití již uvolněného objektu. Navštívení upravené www stránky pak může způsobit pád aplikace nebo spuštění cizího kódu. Problém je vyřešen lepší kontrolou SVG dokumentu. Kredit: wushi z team509

• CVE-ID: CVE-2010-1787
• Pro: Mac OS X 10.4.11, Mac OS X 10.5.8,  Mac OS X v10.6.2 a pozdější, klientská i serverová verze,, Windows 7, Vista, XP SP2 nebo pozdější
• Dopad: Navštívení upravené www stránky může vést k pádu aplikace nebo spuštění nežádoucího kódu
• Popis: Při práci s float elementy v SVG dokumentu dochází k poškození paměti. Návštěvou upravené www stránky může vést k neočekávanému pádu aplikace nebo spuštění cizího kódu. Problém je vyřešen lepší správou paměti.

• CVE-ID: CVE-2010-1788
• Pro: Mac OS X 10.4.11, Mac OS X 10.5.8,  Mac OS X v10.6.2 a pozdější, klientská i serverová verze,, Windows 7, Vista, XP SP2 nebo pozdější
• Dopad: Navštívení upravené www stránky může vést k pádu aplikace nebo spuštění nežádoucího kódu
• Popis: Při práci s "use" prvky v SVG dokumentu dochází k poškození paměti. Navštívením upravené www stránky je tak možné spustit nežádoucí kód nebo cizí kód. Problém je vyřešen lepší kontrolou "use" prvků v SVG dokumentu. Kredit: Justin Schuh z Google, Inc.

• CVE-ID: CVE-2010-1789
• Pro: Mac OS X 10.4.11, Mac OS X 10.5.8,  Mac OS X v10.6.2 a pozdější, klientská i serverová verze,, Windows 7, Vista, XP SP2 nebo pozdější
• Dopad: Navštívení upravené www stránky může vést k pádu aplikace nebo spuštění nežádoucího kódu
• Popis: Při práci s JavaScriptovými textovými řetězci dochází k přetečení bufferu. Navštívením upravené www stránky je tak možné spustit nežádoucí kód nebo cizí kód. Problém je vyřešen lepší kontrolou hranic. Kredit: Apple

• CVE-ID: CVE-2010-1790
• Pro: Mac OS X 10.4.11, Mac OS X 10.5.8,  Mac OS X v10.6.2 a pozdější, klientská i serverová verze,, Windows 7, Vista, XP SP2 nebo pozdější
• Dopad: Navštívení upravené www stránky může vést k pádu aplikace nebo spuštění nežádoucího kódu
• Popis: Při práci s just-in-time kompilovanými JavaScriptovým stuby dochází k chybě, která umožňuje pád aplikace nebo spuštění cizího kódu po přístupu na upravenou www stránku. Problém je vyřešen lepší synchronizací.

• CVE-ID: CVE-2010-1791
• Pro: Mac OS X 10.4.11, Mac OS X 10.5.8,  Mac OS X v10.6.2 a pozdější, klientská i serverová verze,, Windows 7, Vista, XP SP2 nebo pozdější
• Dopad: Navštívení upravené www stránky může vést k pádu aplikace nebo spuštění nežádoucího kódu
• Popis: Při práci s JavaScriptovými poli může za určitých okolností vést k pádu aplikace nebo spuštění cizího kódu. Problém je vyřešen lepší prací s JavaScriptovými poli. Kredit: Natalie Silvanovich.

• CVE-ID: CVE-2010-1792
• Pro: Mac OS X 10.4.11, Mac OS X 10.5.8,  Mac OS X v10.6.2 a pozdější, klientská i serverová verze,, Windows 7, Vista, XP SP2 nebo pozdější
• Dopad: Navštívení upravené www stránky může vést k pádu aplikace nebo spuštění nežádoucího kódu
• Popis: Při práci s regulárními výrazy může dojít k poškození paměti. Navštívení upravené stránky pak může vést k pádu aplikace nebo spuštění cizího kódu. Problém je vyřešen lepší kontrolou regulárních výrazů. Kredit: Peter Varga z Szeged University

• CVE-ID: CVE-2010-1793
• Pro: Mac OS X 10.4.11, Mac OS X 10.5.8,  Mac OS X v10.6.2 a pozdější, klientská i serverová verze,, Windows 7, Vista, XP SP2 nebo pozdější
• Dopad: Navštívení upravené www stránky může vést k pádu aplikace nebo spuštění nežádoucího kódu
• Popis: Při práci s"font-face" a "use" prvky může být volán již uvolněný objekt. Navštívení upravené stránky pak může vést k pádu aplikace nebo spuštění cizího kódu. Problém je vyřešen lepší prací s "font-face" a "use" prvky v SVG dokumentech. Kredit: Aki Helin z OUSPG.

Jak je vidět z těchto příspěvku, je zřejmé, že válka Google versus Apple běží jen na vysokých úrovních. Ostatní stále spolupracují. Zbývá jen dodat, že update Safari je k dispozici přes Software Update nebo ze stránek Apple a je velký 35 MB.

Publikováno 30.11.2009