Surfen unter Mac OS X birgt Gefahren

Die vor wenigen Tagen gemeldete Sicherheitslücke in Apples Web-Browser Safari scheint in etwas abgeändeter Form alle Browser unter Mac OS X zu betreffen. Mit einer geschickt präparierten URL der Form disk://www...../image.dmg lässt sich nämlich jeder Browser ohne Zutun des Anwenders bewegen, ein Disk-Image automatisch zu laden und mounten.

Da Mac OS X Laufwerke und Image-Dateien immer unter /Volumes/Volume-Name ins Dateisystem einbindet, kennt ein Angreifer sicher den Pfad zu Software auf seinem Image. Ein automatischer Refresh einer arglistigen Web-Seite genügt dann, um über eine help-URL den systemeigenen Help-Viewer zu starten, dem man als Parameter den Pfad zu einem Programm oder Skript auf einem gemounteten Image übergeben kann.

Solch eine Software kann dann mit Benutzerrechten zumindest im Home-Verzeichnis Schaden anrichten. Gehört der Anwender gar zur Gruppe der Administratoren, kann sie sich unter Umständen sogar als StartupItem permanent im System verankern und beim Systemstart mit den Rechten des Super-Users root ungebremst agieren.

Während unter Mac OS X 10.2 die Anwendung Disk Copy das Einbinden eines Disk-Images nicht unbemerkt vom Anwender erledigen kann, bekommt man unter Systemversion 10.3 davon nichts mehr mit. Dort erledigt das ein Hintergrundprozess. Der Start des Help Viewers ist bei beiden Systemen zu sehen, man hat dann allerdings nur noch wenig Zeit, um einen möglichen Angriff abzubrechen, ewa durch Abschießen des Viewers via Apfel-Alt-Escape.

Disk- und help-URL sind in Mac OS X standardmäßig auf Disk Copy/Image-Mounter respektive den Help-Viewer gesetzt. Pikanterweise hat Apple keinen Weg vorgesehen, um diese Zuordnung über die GUI zu ändern, sondern verlässt sich auf den Einstellungsdialog des Internet Explorer. Dort gibt es unter "Protokollhilfsprogramme" die Möglichkeit, den Eintrag help auf ein anderes Programm umzubiegen, etwa einen Web-Browser, da die Help-Dateien in einem HTML-Format vorliegen. Den Eintrag für disk muss man neu anlegen, hier empfiehlt sich ein harmloses Programm zu wählen, etwa den Taschenrechner.

Wer den Internet Explorer auf seinem Rechner gelöscht hat, kann zum Ändern der Programm-Protokoll-Zuordnungen beispielsweise die Software Misfox von iCab-Entwickler Alexander Clauss nutzen. Ebenfalls geeignet ist MoreInternet, eine Erweiterung für die Systemeinstellungen. (adb)