Safarissa tietoturva-aukko
Security Tracker -sivuston mukaan Applen Safari-selaimessa on tietoturva-aukko.
Kysymyksessä on ongelma, jossa Safari muuttaa tekstiä html-koodiksi tiettyjen olosuhteiden vallitessa. Tämä taas saattaa johtaa skriptaushyökkäyksiin tai ainakin mahdollistaa ne.
SecurityTrackerin mukaan mitään päivitystä tai ratkaisua ongelmaan ei ole vielä olemassa.
keskiviikkona 9.2.2005 klo 10:14
http://www.tietokone.fi/uutta/uutinen.asp?news_id=23015&tyyppi=1
---
100% kopio uutisesta tietokone.fi sivulta. Mitään ei lisätty, eikä mitään jätetty pois.
Security Tracker -sivuston mukaan Applen Safari-selaimessa on tietoturva-aukko.
Kysymyksessä on ongelma, jossa Safari muuttaa tekstiä html-koodiksi tiettyjen olosuhteiden vallitessa. Tämä taas saattaa johtaa skriptaushyökkäyksiin tai ainakin mahdollistaa ne.
SecurityTrackerin mukaan mitään päivitystä tai ratkaisua ongelmaan ei ole vielä olemassa.
keskiviikkona 9.2.2005 klo 10:14
http://www.tietokone.fi/uutta/uutinen.asp?news_id=23015&tyyppi=1
---
100% kopio uutisesta tietokone.fi sivulta. Mitään ei lisätty, eikä mitään jätetty pois.
Vastaukset 18
Vanhimmat
a) kyseessä on bugi eikä tietoturva aukko
b) safari ei vuoda
c) vuotaminen ei liity tietoturvaan vaan ohjelma kuluttaa muistia turhaan eikä vapauta sitä, käsitteet kuntoon
d) vaikka uutinen on kopioitu tietokone.fi sivuilta ei se tarkoita sitä että se olisi käsitetty sielläkin väärin
e) lue, mieti, YMMÄRRÄ, ja vasta sitten jos on tarvetta, panikoi
Kyseisen lehden sähköiset "uutiset" tuntuvat olevan melkoisen disinformaation lähde.
Vitsihän se on koko Tietokone-lehti.
Nimittäin huono vitsi.
http://www.securitytracker.com/alerts/2005/Feb/1013087.html
Kun löytää ja kertoo myös Mac bugeista ja aukoista. Jos se kertoisi vain Windows ja Linux bugeista, niin se olisi maailman luotettavin tietolähde.
>a) kyseessä on bugi eikä tietoturva aukko
Väärin, jos tekstitiedostoon voi laittaa skriptin, joka johtaa skriptaushyökkäyksiin, on kyseessä mikään muu kuin aukko.
>b) safari ei vuoda
Väärin, jos siinä on tietoturva-aukko, niin toki se vuotaa.
>c) vuotaminen ei liity tietoturvaan vaan ohjelma
Väärin, muistin vuodolla ja tietoturvavuodolla ei ole sen enempää tekemistä kuin hananvuodolla.
>d) vaikka uutinen on kopioitu tietokone.fi sivuilta
Uutisen voi tarkista tietoturvayhtiön sivuilta:
http://www.securitytracker.com/alerts/2005/Feb/1013087.html
ja jopa tarkistaa vuotaako oma selain testisivun avulla:
http://tigger.uic.edu/~jrockw2/safari_20050204.txt
>e) lue, mieti, YMMÄRRÄ, ja vasta sitten jos on
Toiset näköään eivät edes halua ymmärtää, vaan sulkevat silmät tietoturvaongelmilta.
tämähän kävi kiinnostavaksi, sopiiko että laitat mallin kuinka tuolla fontin värin vaihtavalla html koodilla lataat mitään haitallista scriptiä?
Tuo fonttivaihto oli vain esimerkki tietoturva-aukosta, jos et tajunnut sitä, niin parempi että unohdat kaikki nämä hakkerointi jutut. Et kai tosissaan luullut että tietoturvayhtiö laittaa sivulle oikean haittakoodin joka tuhoa jotain?
>Tuo fonttivaihto oli vain esimerkki tietoturva-aukosta, jos et tajunnut sitä, niin parempi että unohdat kaikki nämä hakkerointi jutut. Et kai tosissaan luullut että tietoturvayhtiö laittaa sivulle oikean haittakoodin joka tuhoa jotain?
Asiallisesti toimivat tietoturvayhtiöt ottavat ensimäiseksi yhteyttä ohjelmiston valmistajaan ja antavat hetken aikaa tehdä asialle jotain.
ei olisi ensimäinen kerta kun tietoturvayhtiö julkaisee haitallista tietoa, muistanet sen jpg tietoturva aukon, se yritys joka siitä kohun nosti (ja miljoonia mainoslatauksia tempauksellaan) suorastaan kirjoitti ohjeet kuinka sitä voidaan hyväksikäyttää.
http://en.wikipedia.org/wiki/Hacker
Lisäksi en ymmärrä miksi firefoxin aukot eivät saa ihmisiä reagoimaan?
esim:
Firefoxista löytyi aukkoja
Mozilla Firefox -selaimesta on löytynyt kolme html-elementtien raahaustoimintoon (drag and drop) liittyvää haavoittuvuutta. Näiden avulla hyökkääjä voi tehdä cross site scripting -hyökkäyksen tai pahimmillaan saada tietokoneen hallintaansa.
Haavoittuvuuksien hyödyntäminen edellyttää käyttäjältä toimia, minkä vuoksi tietoturvayhtiö K-Otik luokittelee aukot matalaksi uhaksi.
Ensimmäinen aukko on saanut nimen "Firedragging". Se mahdollistaa suorittettavien tiedostojen tekemisen työpöydälle. Käyttäjän on siirrettävä kuvaksi naamioitu suoritettava tiedosto työpöydälle. Normaalisti selain tekee selainikkunasta työpöydälle siirrettävästä suoritettavasta tiedostosta linkin. Haavoittuvuuden avulla työpöydälle siirtyy kuitenkin koko tiedosto.
"Firetabbing" aukkon hyödyntämiseksi käyttäjän on raahattava linkki välilehdestä toiseen. Aukko kiertää selaimen turvaominaisuuden, joka estää skriptien suorittamisen toisen sivuston ikkunassa tai välilehdessä.
Kolmas aukko "Fireflashing" mahdollistaa asetusten muokkaamisen "about: config" -ikkunasta. Käyttäjän on tuplaklikattava tiettyä kohtaa selainikkunasta, jotta tämä onnistuisi. Lisäksi esimerkkihyväksikäyttö toimii vain, jos selaimeen on asennettu Flash 7.
Bugzillan raportin mukaan Firedragging-, Firetabbing- ja Fireflashing-aukoille on saatavissa korjaukset.
Haavoittuvuuksille on julkaistu proof-of-consept-esimerkkikoodit, jotka toimivat Firefox 1.0 -selaimella Windows-ympäristössä. Vastaavia ongelmia on myös Mozilla- ja Netscape-selaimissa. (Digitoday)
tämä edellispäivän tietokone.fi sivuilta
>Asiallisesti toimivat tietoturvayhtiöt ottavat ensimäiseksi yhteyttä ohjelmiston valmistajaan ja antavat hetken aikaa tehdä asialle jotain.
Ja mistä sitä tiedät ettei tietoturvayhtiö ole ilmoittanut valmistajalle? Ja kauanko pitää odottaa että valmistaja reagoi, kuukausi, kaksi, puoli vuotta, vuosi? Tämä sama tietoturvayhtiö on aikaisemminkin antanut valmistajille aikaa korjata bugit, ennen kuin julkaisi tiedot, mutta jos valmista ei reagoi, niin toki on parasta julkaista tiedot. Microsoftille kun ei edes riitä kolme kuukautta paikkauksien tekemiseen.
>Lisäksi en ymmärrä miksi firefoxin aukot eivät saa ihmisiä reagoimaan?
Katkeruudelta haiskahtaa, eli IE ja Firefox aukoista ja bugeista saa ja pitää puhua, mutta kun reikä on Applen tuotteessa, niin pitää olla hiljaa, ja lakaista kaiken maton alle?
Ja kyllä IE ja Firefox aukoista puhutaan jopa kymmenenuutisissa. Enkä todellakaan ymmärrä, miksi suutut kun esille otetaan Mac ongelmat. Eikö niistä saisi puhua, kun Apple on TÄYDELLINEN ja PYHÄ?
Ja Security Tracker
Kun löytää ja kertoo myös Mac bugeista ja aukoista. Jos se kertoisi vain Windows ja Linux bugeista, niin se olisi maailman luotettavin tietolähde.
Kirjoittanut: on myös vitsi.
Mitä tarkoittaa esimerkiksi: Ja Security Tracker Kun löytää ja kertoo myös Mac bugeista ja aukoista.?
Kerro, hyvä on myös vitsi!
mahdollisimman kauas itse asiasta.
mitä tarkoittaa: "Tyypillistä RepeRuutikallolle mahdollisimman kausa asiasta", kirjoittanut "viedä keskustelu".
Ymmärrätkö sinä, viedä keskustelu? Tai ymmärtääkö edellinen kirjoittaja, on myös vitsi? Oletteko muuten sukua toisillenne, kun kumpikin raapustaa käsittämättömiä?
>Ja mistä sitä tiedät ettei tietoturvayhtiö ole ilmoittanut valmistajalle?
siitä koska jos se olisi varoittanut ja mitää ei olisi tapahtunut, olisi se kerrottu isolla ja lujaa tuolla samalla sivulla, kuten on tapahtunut niissä tapauksissa joissa valmistaja ei ole reagoinut.
>Ja kauanko pitää odottaa että valmistaja reagoi, kuukausi, kaksi, puoli vuotta, vuosi?
Kriittisissä puhutaan vuorokausista, muutoin viikoista.
>Katkeruudelta haiskahta
sanonko mikä haisee?
on se kumma juttu jos joku taho tekee VÄÄRIN TULKITTAVAN tiedotteen tai uutisen, sen korjaaminen tai huomauttaminen tekee henkilöstä mac evankelistan joka ei salli mitään väärää sanottavan tuotteistaan mitä käyttää. Etkö todellakaan näe mistä on kyse?
on Mac-ongelma? Yksikään Macista löydetty aukko ei ole ollut vielä ongelma; se on ollut "vain" aukko, ei enempää eikä vähempää. Pitäisi varmaan vihdoinkin löytää joku, joka todistaa, että jostakin aukosta on ollut hänen kohdallaan oikein ongelmaksi asti. Ei luulisi olevan mahdotonta, kun OS X -käyttäjiä on 15-20 miljoonaa.
Kirveellä voi lyödä pahasti koipeensa, se on kiistatta turva-aukko kirveen tiimoilla, mutta niin kauan kuin ei lyö, ei ole ongelmaakaan.
Tietenkään aukkoja ei saisi olla ollenkaan, mutta taitaa olla ihmiselle mahdotonta koodata kerralla täysin aukoton systeemi. Yhdet ovat sitten vain vähäaukkoisempia kuin toiset, jopa paljonkin.
Kirjoitit aluksi otsikolla: "Safari vuotaa kuin seula!!". Tuollaisia kommentteja tästä aiheesta antaisi vain provosoiva trolli, etenkin kun on selvää ettei Safari vuoda kuin seula. Mielestäni sheriffi voisi poistaa sinun muokkaamasi viestinkin, kun tarkoituksenasi on vain postittaa roskaa palstalle.
Jos ja kun jossain tuotteessa on aukkoja, asioista on hyvä keskustelella asialliseen sävyyn. Tuollaisesta provosoimisesta ja asioiden suurentelemisesta (=paniikin lietsonta) ei ole MITÄÄN hyötyä kenellekään.
"Ja kyllä IE ja Firefox aukoista puhutaan jopa kymmenenuutisissa. Enkä todellakaan ymmärrä, miksi suutut kun esille otetaan Mac ongelmat."
Tämä kommentti vain kertoo selvästi, että olet kateellinen PC-käyttäjä, joka ei tiedä mitään Maceista. Kyseisestä aukosta on keskusteltu mm. Hopeinen Omena-keskustelupalstalla. Jos olisit aktiivinen tietoturvasta kiinnostunut Mac-käyttäjä, olisit varmasti huomannut asian myös sieltä. Nyt käytät lähteenä tietokone.fi-sivua, joka on käytännössä PC-raamattu.
Kyllä esimerkiksi osa Firefoxin ongelmista, on myös ns. "Mac-ongelmia", kun sitä Firefoxia voi käyttää myös tässä Macissa, jos et sattunut tietämään.
Apple ei ole täydellinen ja pyhä, mutta se on onnistunut tietoturva-asioissa huomattavasti kilpailijoitaan paremmin. Ehkäpä tämä seikka (ja se, että Macille ei ole edelleenään yhtään virusta) on kateutesi syy.
PS. Älä lähetä Mac-emulaattorilla otettua kuvaruutukaappausta, jolla "todistat" olevasi Mac-käyttäjä.
Ei ole Repe ainoa jonka mielestä nimimerkki-kenttään pitäisi kirjoittaa nimimerkki. Rasittava lukea tuommoista.
"Kysymyksessä on ongelma, jossa Safari muuttaa tekstiä html-koodiksi tiettyjen olosuhteiden vallitessa"
Alkupeäisellä sivulla ei kyllä sanota näin, vaan että Safari voi erehtyä luulemaan tavallista tekstiä HTML-koodiksi, koska se ei huomioi headerissa olevaa tyyppitietoa.
Esimerkiksi annetaan pelkäksi tekstiksi merkitty HTML-koodi, jonka pitäisi näkyä HTML:nä Safarissa, no – minun Safarissani se kyllä näkyy tekstinä, joten en näe tässä mitään kohkaamisen aihetta.
Toisekseen, en näe kyllä mitään turvariskiäkään siinä että jokin selain yrittäisi rendata vahinkossa ASCIIta HTML:nä, yhtä hyvin sen skriptin voi laittaa sinne hötömölöönkin.
Joten, mr. Flame, älä viitsi...