Múltiples vulnerabilidades en Apple Safari

Apple publicó la pasada semana una nueva actualización para su navegador Safari, en la que se corrigen múltiples vulnerabilidades que podrían ser aprovechadas por atacantes remotos para saltarse restricciones de seguridad, perpetrar ataques de cross-site scripting o ejecutar código arbitrario en un sistema vulnerable. Dos nuevos problemas no parcheados podrían aprovecharse para falsificar el contenido de una web, causar una denegación de servicio o incluso ejecutar código arbitrario.

Safari es un popular navegador web desarrollado por Apple. Su primera versión beta vio la luz el 7 de enero de 2003 y desde entonces ha estado incluido en las sucesivas versiones de Mac OS X. Safari está también disponible para otros sistemas operativos, existen versiones oficiales para Windows XP y Vista, además de otra no oficial para Linux.

Los dos últimos problemas de seguridad descubiertos afectan a Safari 3.1 bajo Windows, aunque también podrían darse en otras plataformas. Son los siguientes:

* Existe un error al descargar archivos con un nombre demasiado largo que podría causar una corrupción de memoria, provocando una denegación de servicio, e incluso, permitiendo la ejecución remota de código arbitrario.

* Se ha encontrado otro problema en el manejo de ventanas que podría ser aprovechado para falsificar un sitio web, mostrando un contenido que no correspondería a la dirección que se muestra en la barra de direcciones.

Se recomienda actualizar a la versión 3.1 de Safari, que puede instalarse a través de la funcionalidad de actualización (Software Update) de Mac OS X o, según versión y plataforma, descargándola directamente desde: http://www.apple.com/support/downloads/ o http://www.apple.com/safari

Pablo Molina (Hispasec)