Actualización de software: Security Update 2007-007 y Safari 3.0.3 Beta

Dos actualizaciones recién salidas de los hornos de Apple para esta mañana: Safari 3.0.3 Beta y Security Update 2007-007. La primera soluciona tres vulnerabilidades de seguridad detectadas en el WebKit y corrige un problema en la versión para Windows XP y Vista que producía el cierre inesperado de la aplicación o la ejecución de código arbitrario al añadir un marcador con un título inusualmente largo.

Por otro lado, la actualización de seguridad 2007-007 soluciona un buen número de vulnerabilidades encontradas en los siguientes componentes del sistema:

Un vistazo a…

Cómo mejorar la SEGURIDAD EN INTERNET VPN, DNS y páginas con HTTPS

bzip2. Ejecutar bzgrep en un archivo cuyo nombre ha sido modificado maliciosamente puede permitir la ejecución de código arbitrario.
CFNetwork. Dos fallos: Pinchar sobre un FTP URI puede producir comandos de FTP arbitrarios y una aplicación que utilice CFNetwork para hace peticiones HTTP puede resultar vulnerable a ataques de response splitting (procesar la petición como si fueran dos de forma inadvertida).
CoreAudio. Visitar una página web con código malicioso puede permitir la ejecución de código arbitrario a causa de tres fallos en el interfaz Java.
cscope. Múltiples vulnerabilidades.
gnuzip. Ejecutar zgrep en un archivo cuyo nombre ha sido modificado maliciosamente puede permitir la ejecución de código arbitrario.
iChat. Un atacante en la red local puede causar un problema de denegación de servicio o la ejecución de código arbitrario.
Kerberos. Diversas vulnerabilidades en el daemon de administración krb5 Kerberos del MIT (kadmind).
mDNSResponder. Un atacante en la red local puede causar un problema de denegación de servicio o la ejecución de código arbitrario.
PDFKit. Abrir un PDF modificado maliciosamente puede producir el cierre inesperado de la aplicación o la ejecución de código arbitrario.
PHP. Actualización a la versión 4.4.7 de PHP para corregir las múltiples vulnerabilidades de la versión 4.4.4.
Quartz Composer. Visualizar un archivo de Quartz Composer modificado maliciosamente puede producir el cierre inesperado de la aplicación o la ejecución de código arbitrario.
Samba. Un atacante no autentificado puede provocar el cierre inesperado de la aplicación, la ejecución de código arbitrario o comandos de terminal mientras tengamos activa la compartición de archivos con Windows. Además, los usuarios pueden saltarse sus cuotas de archivos del sistema.
SquirrelMail. Actualización a la versión 1.4.10 de SquirrelMail para solucionar las múltiples vulnerabilidades de la versión 1.4.5.
Tomcat. Actualización a la versión 4.1.36 de Tomcat para solucionar múltiples vulnerabilidades.
WebCore. Diversos fallos de seguridad al visitar páginas web con código malicioso entre los que se encuentran la ejecución de un applet de Java aunque tengamos desactivado su soporte, la inyección de código o acceso al contenido de la URL.
WebKit. El soporte Unicode en los nombres de dominio puede utilizarse para enmascarar direcciones URL y hacerlas pasar como legítimas. Además, existe un problema de desvordamiento en el PCRE (Perl Compatible Regular Expressions) que puede provocar la ejecución de código arbitrario.