Push-Nachrichten von MacTechNews.de
Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?

Safari 4 schließt 49 Sicherheitslücken

Safari 4 schließt insgesamt 49 Sicherheitslücken, vornehmlich im zugrunde liegenden WebKit. Weitere Sicherheitslücken wurden zudem in den Komponenten CoreGraphics und ImageIO, libxml sowie im Windows-Installer geschlossen. Die Sicherheitslücken ermöglichten unter anderem das Einschleusen von schädlichen Programmanweisungen über manipulierte Daten und damit auftretenden Speicherüberläufen, sowie das Auslesen von Inhalten aus anderen geöffneten Webseiten mittels Cross-Site-Scripting. Die Installation von Safari 4 ist daher aus Sicherheitsgründen allen Anwendern zu empfehlen. Safari 4 benötigt mindestens Mac OS X 10.4.11 und ist als Download zwischen 30 und 50 MB groß.

Weiterführende Links:

Kommentare

bernddasbrot
bernddasbrot09.06.09 09:29
Als Systemvoraussetzungen gehört auch (alternativ) XP oder Vista.
0
Ties-Malte
Ties-Malte09.06.09 09:42
Ah, auch die Java-Lücke scheint geschlossen:

Impact: Visiting a maliciously crafted website may lead to information disclosure or arbitrary code execution

Description: WebKit allows remote websites to load Java applets from the local system. Local applets may not expect to be loaded remotely and may allow the remote site to execute arbitrary code or otherwise grant unexpected privileges to the remote site. This update addresses the issue by preventing remote websites from loading local applets.
The early bird catches the worm, but the second mouse gets the cheese.
0
godehart
godehart09.06.09 09:53
das neue safari is ja schick aber meinen Eindruck nach langsam. Arsch-langsam. Die Beta lief spürbar zackiger. hmmfff
0
alQamar
alQamar09.06.09 09:57
Bei mir lädt es Spiegel.de und nationalgeographic.com in knapp einer Sekunde.
0
maybeapreacher
maybeapreacher09.06.09 10:07
godehart: also bei mir ist die final gefühlt eine Ecke zackiger als die Beta!
0
Johnnnee
Johnnnee09.06.09 10:15
Na ob XP auch unter systemvorausetzungen aufgeführt werden sollte, darüber lässt sich streiten. Safari 4 ist mindestens auf meinem XP nicht schneller als der 3er. Und viele Webseiten werden grottenschlecht und fast unleserlich dargestellt. Z.B. apple.com und me.com.....
0
HR09.06.09 10:19
Wenn man Safari 4 installiert hat, kommt man dann auf die alte Version ohne Probleme wieder zurück?
Ich traue Apple letzter Zeit nicht mehr. Seit dem Update von 10.5.5 auf 10.5.6 geht auch mein WebDAV nicht mehr:-(
0
Retrax09.06.09 10:21
Ties-Malte

der Proof-of Concept Exploit funktioniert weiterhin. Scheint also eine andere Sache zu sein welche da gefixt wurde...
0
sierkb09.06.09 10:36
Ties-Malte:
Ah, auch die Java-Lücke scheint geschlossen

Im Zusammenhang mit Java und Safari ist eine kritische Lücke offenbar geschlossen worden. Die anderen Lücken (Mehrzahl!) bzw. der eine oder andere damit zusammenhängende Exploit, über die in den vergangenen Wochen da herausgehoben berichtet und diskutiert worden ist, noch nicht. Die können nur geschlossen werden, wenn Java selber auf den allerneuesten Stand gebracht wird. Und das ist bei Apple bisher noch nicht geschehen, zumindest nicht auf dem Rechner der breiten Schicht der Anwender.

Noch immer liegt die mittlerweile 2. Developer-Version eines Ende Mai aktualisierten "Java for MacOSX Update 4" nur den Entwicklern mit einem ADC-Account zum Testen vor, noch immer ist dieses dringend benötigte Update, welches die hier und anderswo breit diskutierten Sicherheitslöcher sinnvollerweise an der Quelle fixt (nachlesbar u.a. in den zugehörigen und den Entwicklern vorliegenden Release Notes), nicht an den Endkunden weitergereicht worden. Vielleicht ja heute Abend. Oder nächste Woche. Oder halt irgendwann.

Zu diesen und weiteren in Safari kritischen und mit dem gestrigen Safari 4 gefixten Sicherheitslücken siehe auch .
0
ginkgo09.06.09 10:49
Bei mir (MacPro 2x2.8, 10.5.7, keine Plugins) lässt sich Safari 4 nicht starten sondern stürzt sofort beim Laden ab. Ich habe es schon mal neu installiert – ohne Erfolg. Rechte reparieren hat ebenfalls nicht geholfen.

Äußerst ärgerlich!

0
Applesau
Applesau09.06.09 11:01
Noch immer liegt die mittlerweile 2. Developer-Version eines Ende Mai aktualisierten "Java for MacOSX Update 4" nur den Entwicklern mit einem ADC-Account zum Testen vor, noch immer ist dieses dringend benötigte Update, welches die hier und anderswo breit diskutierten Sicherheitslöcher sinnvollerweise an der Quelle fixt (nachlesbar u.a. in den zugehörigen und den Entwicklern vorliegenden Release Notes), nicht an den Endkunden weitergereicht worden. Vielleicht ja heute Abend. Oder nächste Woche. Oder halt irgendwann.

wusste gar nicht, dass das angesprochene update das macht. Danke!
bei der developer connection kann sich ja auch jeder anmelden und das update runterladen.
0
sierkb09.06.09 11:03
Johnnnee:
Und viele Webseiten werden grottenschlecht und fast unleserlich dargestellt.

Kann ich so nicht bestätigen. Wohl aber kann ich sagen, dass Safari 4 und WebKit nightlies anscheinend einen sog. "regression bug" haben und eine bestimmte Webseite nun entgegen der Vorversion Safari 3 nicht mehr ganz korrekt anzeigt bzw. ich da eine 1-Pixel-Verschiebung an einer bestimmten Stelle, bemerke, die da nicht hingehört. Da die Vorversion damit bisher kein Probleme hatte, Opera 9.x, Opera 10.xb und Firefox 2.x und Firefox 3.5RC damit wunderbar klarkommen, hänge ich das mal dem Browser an und nicht der betreffenden Webseite, zumal diese bzw. eine ähnliche Verschiebung zwischenzeitlich auch bei FF 3.0.x. zu verzeichnen ist, vom Mozilla-Team aber erkannt und in den Nightlies und auch in 3.5RC schon seit längerem gefixt worden ist.
0
sierkb09.06.09 11:15
Applesau:
wusste gar nicht, dass das angesprochene update das macht

Es ist seit Wochen breit diskutiert worden, dass hier Java selber aktualisiert werden muss und Apple da so hinterherhinkt, weil sowohl der Urheber, also Sun, als auch andere Distributoren dieses Java-Update ihren Kunden und Nutzern bereits seit mehr als einem halben Jahr bereitstellen. Nur bisher Apple nicht. Dieses Update seitens Apple ist also dringend überfällig!
bei der developer connection kann sich ja auch jeder anmelden und das update runterladen.

Ich empfehle, das nicht zu tun bzw. nur nach sorgfältiger Abwägung bzw. Durchlesen (und Verstehen) der betreffenden Release-Notes.
Das Ding liegt nicht ohne Grund erstmal nur den Entwicklern zum Testen vor, und nicht ohne Grund steht da in den Release Notes ganz oben: "Warning: This build has received limited testing and should not be installed on a system with critical data."

Da kann es also noch immer den einen oder anderen unangenehmen Bug seitens der Apple-Implementierung drin geben, der Dir das Leben schwerer machen kann.
So geschehen auch zwischen diesem Seed und seinem Vorgänger. Wer weiß, ob und wann Apple da vielleicht noch einen weiteren Entwickler-Build nachschiebt, bevor sie das Ding freigeben?
Es lohnt sich also in jedem Fall, die zugehörigen Release Notes gut durchzulesen bzw. sich die Stellen genau durchzulesen, wo es noch hakt bzw. wo noch Testaufwand vonnöten ist und dann genau abzuwägen. Und dann sowieso nur, wenn man bereit ist, die Risiken zu tragen. Ein normaler Nutzer ohne Kenntnisse auf diesem Gebiet sollte da lieber die Finger davon lassen.

Wie gesagt: nicht ohne Grund ist dieses Java Update noch nicht offiziell freigegeben und liegt nur den Entwicklern zum Testen vor: da gab es in der Vorversion noch Bugs vor allem die Browser bzw. die Java-Browser-Plugins betreffend, und möglicherweise ist die jetzige zweite Version auch noch nicht vollends reif, auf den Endanwender losgelassen zu werden. Möglicherweise. Wir werden sehen.
0
Applesau
Applesau09.06.09 11:16
bin halt ein ealry adopter gebt mir die bananenversionen!
0
Hannes Gnad
Hannes Gnad09.06.09 11:26
@ginkgo: Irgendwelche besonderen Schriften installiert? Sonst irgendwas "anders" an Deinem System? Startet Safari unter einem anderen Benutzeraccount?
0
sierkb09.06.09 11:38
Applesau:

Solltest Du einen Mozilla Browser und/oder Opera verwenden -- bitte im Hinterkopf behalten und ggf. befolgen:

, , ,

Auf dieses Java Embedding Plugin (JEP) greifen sowohl alle Mozilla Browser (Firefox, Camino) als auch der Opera Browser zurück. Es könnte sein, dass dieses JEP auf längere Sicht hin wohl obsolet wird mit dem neuen Java Plugin2 von Apple, doch Apple selber stuft sein neues Java-Plugin2 lt. eigenen Release Notes noch nicht als stabil und zuverlässig ein.
0
jewi
jewi09.06.09 13:29
Also bei mir läuft Safari 4 merklich schneller
0
chrisbilder
chrisbilder09.06.09 13:40
Wieso sind die Tabs nicht mehr in der Titelleiste wie bei der Beta?? Hab auf die Schnelle keine Einstellungen dazu gefunden, weiß jemand mehr?
0
Marcel_75@work
Marcel_75@work09.06.09 13:51
Erstaunlich, dass sich hier niemand darüber beschwert, dass Apple diese 49!!! Lücken nicht auch in Safari 3 fixt…
0
sierkb09.06.09 14:05
Marcel_75@work:

Ich bin geneigt, Dir zuzustimmen. Zumal das alles Fixes für bisher gewesene (mal mehr, mal weniger kritische) Sicherheitslücken sind, also nicht irgendwelche Bugfixes (die wahrscheinlich dann noch obendrauf kommen).

Apple selber sieht sein Safari4-Update wahrscheinlich auch wohl gerade deshalb als notwendiges und dringend empfehlenswertes Security-Update an, welches jeder Safari3-Nutzer unbedingt installieren sollte. Neben dem Feature-Update also auch ein Sicherheits-Update.
Aufgrund dieser Sicherheitslücken ist es wohl keinem Safari3-Nutzer angeraten, länger als notwendig mit einem Upgrade zu warten.

Andersherum fragt man sich, warum Apple die Safari3-Nutzer solange hat warten lassen, wenn hier gleich 49 teilweise empfindliche Sicherheitslücken geschlossen werden. Das ist allein ein Vertrauen darauf, dass bisher noch nichts passiert ist. Ob's verantwortungsvoll ist, da kann man sicher drüber streiten -- ich habe da so meine Zweifel.

Schadsoftware-Schreiber werden sowas sicher mit einer gewissen Zufriedenheit zur Kenntnis nehmen, dokumentiert Apple doch regelmäßig ziemlich eindrucksvoll, dass sie ihre Benutzer doch eine ziemlich lange Zeit mit ungepatchter Software im Regen stehen lassen.

Das ist Zeit genug, um sich darauf vorzubereiten, was gegen Safari und/oder MacOSX zu entwickeln, was irgendwann mal genau in eine solche Lücke stößt, in der Apple seine Benutzer immer mal wieder stehenlässt, weil Apple es offenbar lieber vorzieht, Lücken und Patches zu sammeln und zu horten, statt sie zügig zu fixen und sie unmittelbar und zeitnah an die Nutzer weiterzugeben.
0
indeltatempora09.06.09 15:48
tolle final, blöd nur, dass apple die tabs wieder auf die langweilige postition (unter der lesezeichenleiste) verbannt hat. ich fand den neuen ansatz innovativ und richtig, immerhin spart es platz. blöd auch, dass anwender erst mit so einem neuen feature "heiß" gemacht werden, dann aber doch wieder zur gängigen praxis zurückgekehrt wird. apple hätte wenigstens die möglichkeit lassen können, via preferences oder auch plist-tweak die einstellung dem user zu überlassen.

ich bin doch ganz schön enttäuscht. von safari, von apple, von der keynote, von snow leopard und von der tatsache, dass apple einfach die PPC user vor die tür setzt und ausschließt.

na wenigsten ist auch die final von safari bei mir noch ordentlich zackig. am besten lief bei mir allerdings die erste beta, die zweite war schon "subjektiv" nicht mehr ganz so schnell im seitenaufbau.
wenn jemand eine möglichkeit findet, die tabs wieder in die menuleiste wandern zu lassen, so solle er sich melden! ich hab mich so sehr daran gewöhnt, dass es schon fast keinen spass mehr macht zu surfen. gerade die leute, die viel mit tabs arbeiten beim surfen, fanden die neue position gut. schade apple
0
Johnnnee
Johnnnee09.06.09 18:09
sierkb
Danke für deine ausführlichen Erklärungen. Sehr interessant.

Hab mir allerdings schon eins gegrinst als ich sah dass ausgerechnet bei den Apple Seiten diese verschiebung zuschlägt.
Inzwischen hab ich festgestellt dass es auch Seiten gibt die jetzt deutlich besser dargestellt werden.

Kann allerdings nicht sagen ob das Problem verbreitet ist oder obs nur bei meinem alten dell-schlepptop mit xp auftritt. Mal sehen ob das noch wem hier auffällt oder obs bei mir exklusiv ist.

Wenn ich so die neuen mbp-Preise anschau glaub ich eh nicht dass der dell noch sehr alt wird bei mir.
0
croppind.
croppind.09.06.09 21:28
Hat gerade jemand nochmal den Terminal-Befehl parat, mit dem ich den alten Ladebalken wieder bekomme?
0
sierkb09.06.09 22:13
croppind.:

defaults write com.apple.Safari DebugSafari4IncludeToolbarRedesign YES|NO

You need to disable this and also DebugSafari4LoadProgressStyle to re-enable the blue progress bar in the Adress Bar.

defaults write com.apple.Safari DebugSafari4LoadProgressStyle YES|NO

You need to disable this and also DebugSafari4IncludeToolbarRedesign to re-enable the blue progress bar in the Adress Bar.

Quelle: , ,
0
fatdancer10.06.09 07:13
ist das nun ein bug oder hat safari die alten tabs zurück bekommen?
0
fatdancer10.06.09 07:47
schon gut
0
Bart S.
Bart S.10.06.09 22:41
Danke. Endlich mal konstruktive Kritik.
In manchen Kommentaren zuvor zu Safari 4 habe ich immer nur lesen müssen: "Tabs"..."Tabs"..."Tabs"!
Die benutze ich auch, aber daß man einen Browser NUR daran bewertet...Tss ,tsss!



Please take care of our planet. It's the only one with chocolate.
0
Bart S.
Bart S.11.06.09 02:38
So, jetzt habe ich "4" auch getestet. Läuft bei mir (10.4.11) auch schneller als Safari 3.
Gut finde ich auch, daß alle alten Einstellungen übernommen werden. Und noch die blauen "Schieber" (scroll bars?) Obwohl ja plötzlich viele auf das mausgraue Zeugs zu stehen scheinen.
Daß der blaue Ladebalken nicht mehr über die Webseitenadresse zieht, damit bin ich schon nach kurzer Zeit klargekommen.
Die neue Verlauf Anzeige, wie in iTunes, ist ganz lustig. Aber meiner Meinung nach Spielerei.

Ansonsten: gut Arbeit Apple...Daumen hoch!
Please take care of our planet. It's the only one with chocolate.
0

Kommentieren

Sie müssen sich einloggen, um die News kommentieren zu können.