本期主持人：茶茶

如無安裝在線播放插件，可直接下載音頻：http://netsecurity.51cto.com/secu/radio/safari_2011Pwn2own.mp3

相關內(nèi)容：

繼谷歌和Mozilla為準備Pwn2Own黑客大賽發(fā)布Chrome 和Firefox安全更新之后，安全研究員今天透露，在下周Pwn2Own黑客大賽開始之前，蘋果公司將修復Safari瀏覽器漏洞。 在本周早些時候，谷歌和Mozilla為準備Pwn2Own黑客大賽已經(jīng)發(fā)布Chrome 和Firefox安全更新。若沒錯的話，蘋果公司將同樣如此。

周三，蘋果修復了其iTunes音樂軟件中57個漏洞；其中50個漏洞是由于Safari所基于的開源瀏覽器引擎WebKit引起的。而iTunes依賴WebKit引擎渲染網(wǎng)絡商店組件。

法國安全公司Vupen在Twitter上發(fā)布消息稱 “再一次迎戰(zhàn)Pwn2Own黑客大賽：蘋果修復了WebKit（iTunes）50個漏洞，并且正為Safari / Mac OS X更新做準備。”

Vupen提到的Pwn2Own指的是網(wǎng)絡安全大會CanSecWest每年在加拿大舉行的全球黑客大賽。今年的黑客大賽舉行時間是3月9日至3月11日。

在Pwn2Own黑客大賽上，安全研究人員將角逐65000美元獎金，試圖拿下最新版本的蘋果Safari 5，谷歌的Chrome 9，微軟的IE8和Mozilla的Firefox 3.6。

在發(fā)布修補程序前修復WebKit，這對蘋果來說并不尋常。在過去，它通常先修復Safari中WebKit漏洞，然后才為iTunes打補丁。

關于Safari更新的其它線索，來源于惠普TippingPoint—恰巧它是Pwn2Own的贊助商—昨日發(fā)布了關于iTunes音樂軟件中兩個WebKit漏洞補丁的報告。這些漏洞最初是報告給TippingPoint的ZDI零日計劃 (Zero Day Initiative) 漏洞獎賞計劃的。

兩個報告均表明，攻擊者可以利用這個漏洞來“執(zhí)行蘋果WebKit漏洞上的任意代碼”并且該漏洞通過“驅動式”方式觸發(fā)，只需受害者訪問一個惡意網(wǎng)站。

另一個消息來自蘋果公司周三發(fā)布的iTunes報告，暗示Safari將很快被修復。報告上所列出的50個漏洞中，沒有一個采用蘋果一貫的描述方法。相反，蘋果公司只是標記了CVE（通用漏洞披露）標識和首次發(fā)現(xiàn)漏洞的研究員名單。

假設蘋果更新Safari，那么Pwn2Own四個目標瀏覽器中，只有IE瀏覽器在比賽前仍然沒有打補丁。微軟上一次為IE修復漏洞是在2月28號，該漏洞是作為每月周二補丁的一部分。

相關音頻內(nèi)容：Pwn2Own2011大賽落幕 瀏覽器手機淪陷各半(音頻)