Mac OS X:n aukot mahdollistavat koodin ajon paikallisesti
Tietoturvayhtiö Secunia ilmoitti kahdesta Mac OS X -käyttöjärjestelmässä piilevästä tietoturva-aukosta, jotka se on luokitellut erittäin vakaviksi. Ensimmäinen bugeista piilee Mac OS X:n ohjeselaimen URI -käsittelijässä ja se mahdollistaa paikallisten skriptien suorittamisen käyttäjän koneella.
Toinen aukko koskee levykuvien URI-käsittelijää ja mahdollistaa esimerkiksi haittaohjelman sijoittamisen kiintolevylle. Tällainen haittaohjelma voidaan helposti ajaa ohjeselaimen aukolla. Secunia kehottaa Safari-selaimen käyttäjiä laittamaan oletuksena päällä olevan automaattisen "turvallisten" tiedostojen ajon pois päältä.
http://sektori.com/uutiset/5707/mac
Tietoturvayhtiö Secunia ilmoitti kahdesta Mac OS X -käyttöjärjestelmässä piilevästä tietoturva-aukosta, jotka se on luokitellut erittäin vakaviksi. Ensimmäinen bugeista piilee Mac OS X:n ohjeselaimen URI -käsittelijässä ja se mahdollistaa paikallisten skriptien suorittamisen käyttäjän koneella.
Toinen aukko koskee levykuvien URI-käsittelijää ja mahdollistaa esimerkiksi haittaohjelman sijoittamisen kiintolevylle. Tällainen haittaohjelma voidaan helposti ajaa ohjeselaimen aukolla. Secunia kehottaa Safari-selaimen käyttäjiä laittamaan oletuksena päällä olevan automaattisen "turvallisten" tiedostojen ajon pois päältä.
http://sektori.com/uutiset/5707/mac
Vastaukset 8
Vanhimmat
Täällä korjaussarja Applen virallista odoteltaessa:
http://isophonic.net/
http://homepage.mac.com/olliewagner/dgtgf.dmg
Se on pienestä kii...
Uskaltaako niin epämääräisen tiedoston edes asentaa?
Mieluummin odotan virallista päivitystä..
asensin. (Thanks, Ollie!) Voi olla Ollien pikku softabisnekselle huono homma, jos tuo ei ole sitä mitä lupaa, joten se on.
Tämä DGTGF on käytännössä sama kuin minkä eilen postasin eri ketjuun?
http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=536&posting=22000000003388403
Readme:stä:
What DGTGF does is removes a line of code from the file OpnApp.scpt that allows for shell scripts to be run remotely.
Eli tämä poistaa sen, tuo minun versioni kysyy lupaa, jos sille vaikka olisi jotain hyötykäyttöäkin(?). Joku tähän sitten vastasikin, että tämähän ei siis korjaa koko aukkoa, vaan estää pelkästään nuo ls:n ja du:n (jne) ajon shellissä, koska tuon aukon kautta voi ajaa mitä tahansa applescriptejä. Pitäisi siis saada se help helpperi jotenkin pois päältä, tosin sekin rikkoisi sitten mahdollisen hyötykäytön.
Niin, siis DGTGF poistaa sen yhden rivin siitä skriptistä(ei koko skriptiä), ja skriptin saa takaisin ennalleen vaivattomasti restorella.
Ei ainakaan minulle ole tullut tietoon (ja jonkin verran olen tässä viime päivinä Mac-saiteille käynyt), että tästä olis ihan käytännön kokemuksia.
Turva-aukko on todellinen, mutta tässä vaiheessa enemmänkin teoreettinen.
Ja jos tuo "turvallisten" tiedostojen ajon pois päältä otto riittää ongelman korjaamiseen en pysty sitä kovin vakavana pitämään.
Mac-surffaajat alttiina hyökkäyksille, paikkaa ei saatavilla.
Secunia varoitti aukoista alunperin maanantaina. Tiistaina yhtiö nosti haavoittuvuuksien luokituksen korkeimmalle mahdolliselle tasolle. Yhtiön tietojen mukaan toimivia hyväksikäyttöjä on saatavilla useita ja lisäksi haavoittuvuuksien hyödyntäminen on erittäin helppoa.
Secunia kehottaa käyttäjiä surffaamaan ainoastaan luotetuilla sivustoilla.
http://www.itviikko.fi/uutiset/uutisalue.asp?alue=paiva&UutisID=61097
Ei olekaan löytynyt yhtään evil-linkkiä, jossa tätä potentiaalista haavoittuvuutta olisi hyväksikäytetty. Paikkakin on jo olemassa, mutta ei vielä valmistajalta itseltään.