Neues zur Safari-Sicherheitslücke

Sicherheitsleck steckt eigentlich in QuickTime

Das gestern gemeldete Sicherheitsleck in Safari steckt eigentlich in QuickTime. Dadurch betrifft das Sicherheitsloch nicht nur Mac-Systeme, sondern auch Windows-Rechner. Als Zwischenlösung muss die Ausführung von Java im Browser deaktiviert werden. Einen Patch gibt es bislang nicht.

Im Rahmen der Sicherheitskonferenz CanSecWest waren die Teilnehmer aufgerufen, ein Mac-System zu hacken und konnten dafür ein MacBook Pro gewinnen. Die beiden Gewinner behaupteten zunächst, dass sie dafür ein Sicherheitsloch in Apples Browser Safari verwendet haben. Nun hat einer der zwei Gewinner per Blog-Eintrag weitere Details zu der Sicherheitslücke veröffentlicht und klargestellt, dass der Fehler nicht in Safari steckt.

Das eigentliche Sicherheitsloch befindet sich in Apples QuickTime und tritt im Zusammenspiel mit der Ausführung eines Java-Applets auf. Dadurch findet sich das Sicherheitsloch auch in der QuickTime-Version für die Windows-Plattform. Jeder Java-fähige Browser soll für einen Angriff anfällig sein, sofern QuickTime in einer nicht korrigierten Version installiert ist. Somit kann das Sicherheitsleck außer mit Safari auch mit Firefox ausgenutzt werden.

Ein Angreifer muss sein Opfer lediglich dazu bringen, eine entsprechend präparierte Webseite mit Safari oder Firefox zu öffnen. Wenn dann QuickTime installiert und Java aktiviert ist, lässt sich Programmcode einschleusen, der dann ausgeführt werden kann. Bislang gibt es keinen Patch zur Abhilfe. Als Zwischenlösung kann Java im Browser deaktiviert werden, um sich vor solchen Angriffen zu schützen.