Surfen unter Mac OS X bietet weiterhin Angriffspunkte
Mit dem Security Update vom 24. Mai hat Apple lediglich den HelpViewer ausgetauscht.
Mit dem Security Update vom 24. Mai hat Apple nicht alle in letzter Zeit bekannt gewordenen Schwachstellen behoben, sondern lediglich den Help Viewer ausgetauscht [1]. Er lässt sich in der aktualisierten Form (für Mac OS X 10.2.8 [2] / 10.3.3 [3]) nicht mehr von manipulierten Help-URLs auf Web-Seiten anweisen, Programme oder Skripte zu starten.
Nach wie vor lassen sich jedoch über speziell präparierte URLs der Form "disk://...." Disk Images an eine klar definierte Stelle im Dateisystem einhängen. Das alleine schadet zwar nicht, führte aber mit dem alten Help Viewer zu dem Sicherheitsproblem [4] in Web-Browsern. Immerhin schafft es ein Angreifer über diesen Weg, sofern man keine Gegenmaßnahmen [5] ergriffen hat, seinen Code auf den Rechner des Surfers zu schmuggeln. Der HelpViewer scheidet nun zwar als Starthelfer aus, unter Umständen gelingt ein Programmstart aber über die LaunchServices des Betriebssystems.
Ebenfalls noch nicht behoben ist das problematische Verhalten von telnet-URLs [6], das es ermöglicht, vorhandene Dateien zu überschreiben, wenn deren Speicherort bekannt ist. (adb [7])
URL dieses Artikels:
https://www.heise.de/-99073
Links in diesem Artikel:
[1] https://www.heise.de/news/Apple-schliesst-HelpViewer-Sicherheitsluecke-98947.html
[2] http://www.apple.com/support/downloads/securityupdate_2004-05-24_(10_2_8).html
[3] http://www.apple.com/support/downloads/securityupdate__2004-05-24_(10_3_3).html
[4] https://www.heise.de/news/Surfen-unter-Mac-OS-X-birgt-Gefahren-98863.html
[5] https://www.heise.de/news/Surfen-unter-Mac-OS-X-birgt-Gefahren-98863.html
[6] https://www.heise.de/news/Schwachstelle-in-Opera-ermoeglicht-Loeschen-von-Dateien-2-Update-98485.html
[7] mailto:adb@ct.de
Copyright © 2004 Heise Medien