拡張対応ばかりに注目が集まっている Safari 5.0.1 ですが、しっかりとセキュリティ対策もなされています。
その中で先日話題になったAutofill機能からアドレス帳の情報が漏洩する危険性が修正されたようです。
Safari 5.0.1 および Safari 4.1.1 のセキュリティコンテンツについて
Safari の自動入力機能により、Mac OS X のアドレスブック、Outlook または Windows のアドレス帳の指定の情報が Web フォームに自動的に記入されてしまうことがあります。設計上は、Web フォーム内で自動入力機能を実行するには、ユーザの操作が必要です。悪意を持って作成された Web サイトで、ユーザの操作なしに自動入力機能が実行される、実装に関する問題が発生する可能性があります。これにより、ユーザのアドレスブックカード内に含まれる情報が開示される可能性があります。この問題が発生する前提条件は、第一に、Safari の環境設定の「自動入力」の下の、「自分のアドレスブックカードの情報を使用」のチェックボックスが選択してあること、第二に、ユーザのアドレスブックに「自分のカード」として指定したカードが存在することです。自動入力機能では、この特定のカードの情報のみがアクセスされます。この問題は、自動入力機能がユーザの操作なしに情報を使うことを禁止したことで解消されています。iOS を実行しているデバイスは影響を受けません。この問題は、WhiteHat Security の Jeremiah Grossman 氏の協力により報告されました。
About the security content of Safari 5.0.1 and Safari 4.1.1
Safari's AutoFill feature can automatically fill out web forms using designated information in your Mac OS X Address Book, Outlook, or Windows Address Book. By design, user action is required for AutoFill to operate within a web form. An implementation issue exists that allows a maliciously crafted website to trigger AutoFill without user interaction. This can result in the disclosure of information contained within the user's Address Book Card. To trigger the issue, the following two situations are required. First, in Safari Preferences, under AutoFill, the "Autofill web forms using info from my Address Book card" checkbox must be selected. Second, the user's Address Book must have a Card designated as "My Card". Only the information in that specific card is accessed via AutoFill. This issue is addressed by prohibiting AutoFill from using information without user action. Devices running iOS are not affected. Credit to Jeremiah Grossman of WhiteHat Security for reporting this issue.
その他にもいくつかセキュリティ対策がなされていますので、Safari 5.0 もしくは Safari 4.1 をお使いの方はアップデートすることが推奨されます。
