DShield raportoi eilen Safarin vakavasta haavoittuvuudesta. Safari suorittaa oletuskonfiguraatiolla shell-komentoja ilman käyttäjän toimenpiteitä.
Tuolta voi suojautua ensi hätään ruksimalla Safarin asetuksista 'General'-osastolta pois 'Open Safe files after downloading"
Lisätietoja http://isc.sans.org/diary.php?storyid=1138&rss
Tuolta voi suojautua ensi hätään ruksimalla Safarin asetuksista 'General'-osastolta pois 'Open Safe files after downloading"
Lisätietoja http://isc.sans.org/diary.php?storyid=1138&rss
Vastaukset 9
Vanhimmat
Näyttää siltä että pitää Komnto i (Näytä tietoja) ottaa ensin mahdollisesti imuroiduista ja puretuista tiedostoista. Tuo demo haavoittuvuudesta näyttää videotiedostolta, mutta Komento i näyttää että tiedosto on "Pääte" tyyppiä, eli terminaalissa suoritettava scripti. Kun tuon Mac-TV-Stream.mov tiedoston avaa TextEdit-ohjelmaan niin se näyttää tältä:
# /bin/bash
while true; do
echo "Hallo Welt!"
done
Ikävä kyllä tämä lapsellinen haavoittuvuus on tosiasia, jos Avaa "turvalliset" tiedostot haun jälkeen on ruksattuna. Jos ruksia ei ole niin .zip tiedosto latautuu työpöydälle josta se klikattaessa purkautuu videotioedostoksi joka taasen klikattaessa käynnistyy Shell:ssä.
Safarissa oli aiemminkin samantyylinen haavoittuvuus Widgettien kanssa, jolloin tein itse tuon operaation, eli Safari ei koneessani avaa mitään tiedostoja automaattisesti.
vaan enemminkin X:n tavassa pakata .zippejä.
Jos tehdään vaikkapa shell-skripti ja määritellään sen tyypiksi 'Terminal' ja pakataan se, niin X lisää pakettiin tuon tiedoston tyypin sisältävän metadatan. Ja sitten kun paketti puretaan ja siitä purettu tiedosto ajetaan, niin sitä käsitellään kuten 'Terminal'-tyypistä tiedostoa kuuluukin. Siis ajetaan se shellissä.
Tuo Safarin osuus on siis vain 'hyppykeppi' automaattiseen suorittamiseen. Tosin juuri se tekee siitä vaarallisen.
Hyvin tuntui proof of concept toimivan. Pelottavaa suorastaan. Toivottavasti lähipäivinä safari "mystisesti" päivittyy.
Kerrotko meille muillekin mitä mystistä tietoturvapäivityksissä on? Älä fleimaa.
Eilen illalla on saatu selville, että myöskin X:n mail-ohjelma on altis tuole samalle haavoittuvuudelle.
Itseasiassa mail-ohjelman haavoittuvuus on pahempi, se ei tarvitse edes .zip pakettia kapselikseen. Se suorittaa kaikki sähköpostin liitetiedostot shellissä niitä klikattaessa jos vain liitetiedoston executable-bitti on asetettu ja tiedoston tyyppi on 'Pääte'.
Lisätietoja http://www.heise.de/english/newsticker/news/69919
ja kummastuttaa ettei näinkin yksinkertaisia "aukkoja" ole aiemmin otettu voimakkaasti esille. Aukko taitaa kuitenkin olla enemmän käyttäjässä.
Kun OS X ei millään saa oikeaa käyttäjän toimista riippumatonta leviävää ja toimivaa virusta niin sitten pitää kaivella kaikki mahdolliset tavat ajaa "vahingossa" koodia. Pitäisikö kuitenkin tuohon iBookinkin kanteen laittaa tarra: "Achtung! Tietokoneen käynnistys voi aiheuttaa tietoturvariskin!" :P
nyt reikä joka ei juuri vaadi käyttäjän toimia. Pelkkä selaimella vierailu pahantahtoisella web-sivulla riittää.
Voi olla tuo Intel-prosessoreihin siirtyminen on herättänyt tiettyjen tahojen kiinnostuksen X:ää kohtaan ja nyt sitä tutkitaan enemmän kuin ennen.
Tähän saakkahan on eletty sillä uskolla, ettei X:lle ole haittaohjelmia.
ettei Apple ole reagoinut asiaan oikein mitenkään.
Tuntuisi, että Applen käyttöjärjestelmän valmistajana pitäisi tiedottaa asiasta vaikkapa webbisivullaan.