Format-String-Schwachstelle in mehreren Apple-Anwendungen
Zum Abschluss des MOAB haben die Initiatoren noch einmal tief in die Kiste gegriffen und gleich vier Format-String-Schwachstellen in Mac-OS-X-Anwendungen veröffentlicht.
- Daniel Bachfeld
Zum Abschluss des Month of Apple Bugs haben Lance M. Havok aka LMH und Kevin Finisterre noch einmal tief in die Kiste gegriffen und gleich vier Format-String-Schwachstellen im Mac-OS-X-Anwendungen veröffentlicht. Die Ursache der Fehler steckt laut Bericht in zahlreichen von Apples AppKit-Framework zur Verfügung gestellten Funktionen. Sie würden von mehreren Anwendungen falsch eingesetzt, sodass daraus ein Sicherheitsproblem resultiere.
Betroffen sind der Help Viewer 3.0.0, Safari 2.0.4, iMovie HD 6.0.3 und iPhoto 6.0.5, die beim Aufruf mit präparierten Dateinamen abstürzen. Zwar seien die Lücken aufgrund eines nicht näher beschriebenen Fehlers in CoreFoundation nur sehr schwer zum Einschleusen von Code auszunutzen, trotzdem sei dies unter bestimmten Umständen möglich. Ein Patch steht nicht zur Verfügung. Im Abgesang auf den MOAB kündigen die Initiatoren noch eine Lücke im Mac-Kernel an, die sich aus der Ferne ausnutzen lassen soll. Weitere Details gibt es dazu noch nicht.
Mit einer Bewertung des Month of Apple Bugs und seinen möglichen Folgen beschäftigt sich auch ein Artikel auf heise Security:
(dab)
