Apple muss nochmal an Safari-Sicherheitsleck ran

Aktuelles Sicherheits-Update für MacOS X schließt drei Lücken

Anfang März 2006 hat Apple unter anderem ein Sicherheitsleck in dem Webbrowser Safari behoben. So war jedenfalls der Plan. Allerdings sorgte die Fehlerkorrektur nicht nur für neue Probleme, sondern das Sicherheitsleck wurde auch nicht korrekt geschlossen. Mit einem weiteren Sicherheits-Patch für MacOS X 10.3.9 sowie 10.4.5 soll der Fehler nun in einem zweiten Anlauf behoben werden.

Artikel veröffentlicht am ,

Als Apple Anfang März 2006 unter anderem vier Sicherheitslücken in Safari behoben hatte, wurde ein Sicherheitsloch nicht wie versprochen komplett geschlossen. Über dieses Safari-Leck konnten Angreifer unter bestimmten Umständen unbemerkt beliebigen Programmcode auf einem fremden System ausführen. Dazu muss eine ausführbare Datei vorgeben, etwa ein Bild oder eine Videodatei zu sein, so dass beim Öffnen einer entsprechenden Datei der dahinter steckende Programmcode ausgeführt wird.

Stellenmarkt
  1. IT-Produktmanager (m/w/d) SAP
    Stadtentwässerungsbetriebe Köln, AöR, Köln
  2. Digital Process Engineer (m/w/d) für den Bereich Tool-Logistik
    MAPAL Präzisionswerkzeuge Dr. Kress KG, Aalen
Detailsuche

Falls in Safari die Option aktiviert ist, dass sichere Downloads unmittelbar nach dem Herunterladen ausgeführt werden sollen, kann dies einen automatischen Angriff bedeuten. In einem ersten Anlauf versuchte Apple, diesen Fehler bereits Anfang März 2006 zu beseitigen, blieb allerdings erfolglos, wie jetzt bekannt wurde. Der nun veröffentlichte Patch soll das Sicherheitsleck in Safari auf den betroffenen Systemen mit MacOS X 10.4.5 endgültig schließen, indem zusätzliche Mechanismen bei der Überprüfung von Download-Dateien zum Zuge kommen.

Ein zweites mit dem aktuellen Sicherheits-Patch zu schließendes Leck betrifft die Ausführung von JavaScript-Code, wenn dieser in Dokumenten enthalten ist. Ein Angreifer kann eine beliebige Datei auf einer Website lagern, die dann geladen und auf dem betroffenen System ausgeführt wird, wenn ein manipuliertes Dokument geöffnet wird. Sowohl dieses als auch das folgende Sicherheitsleck steckt nur in MacOS X 10.4.5 und soll in früheren Versionen keine Rolle spielen.

Das dritte Sicherheitsleck wurde im Mail-Client von MacOS X gefunden. Darüber kann ein Buffer Overflow verursacht werden, indem ein Angreifer sein Opfer zum Öffnen eines präparierten E-Mail-Anhangs bewegt. Dies erlaubt dann die Ausführung beliebigen Programmcodes mit den Rechten des angemeldeten Nutzers.

Golem Karrierewelt
  1. ITIL 4® Foundation: virtueller Zwei-Tage-Workshop
    11./12.08.2022, virtuell
  2. Deep-Dive Kubernetes – Production Grade Deployments: virtueller Ein-Tages-Workshop
    20.09.2022, Virtuell
Weitere IT-Trainings

Schließlich behebt das aktuelle Update noch drei Fehler, die sich mit dem Anfang März 2006 veröffentlichten Sicherheits-Update eingeschlichen haben. So hatte die Download-Überprüfung überflüssigerweise auch vor Word-Dokumenten oder Verzeichnissen mit eigenen Icons gewarnt, was nun nicht mehr vorkommen soll. Zudem sorgte eine Einschränkung in PHP 4.4.1 dafür, dass der E-Mail-Client SquirrelMail nicht mehr korrekt funktionierte. Schließlich verursachte eine Einschränkung in der rsync-Funktion, dass das Kommando "--delete" funktionslos blieb, was nun gleichfalls mit dem Update korrigiert werden soll.

Mit einem Patch für MacOS X 10.3.9 sowie 10.4.5 sollen die genannten Sicherheitslücken und Fehler nun abschließend geschlossen werden. Das Sicherheits-Update steht kostenlos zum Download bereit und wird über die Software-Aktualisierung des Betriebssystems angeboten.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
25 Jahre Dungeon Keeper
Wir sind wieder richtig böse!

Nicht Held, sondern Monster: Darum geht's in Dungeon Keeper von Peter Molyneux. Golem.de hat neu gespielt - und einen bösen Bug gefunden.
Von Andreas Altenheimer

25 Jahre Dungeon Keeper: Wir sind wieder richtig böse!
Artikel
  1. bZ4X: Toyota bietet Rückkauf seiner zurückgerufenen E-Autos an
    bZ4X
    Toyota bietet Rückkauf seiner zurückgerufenen E-Autos an

    Toyota bietet Kunden den Rückkauf seiner Elektro-SUVs an, nachdem diese im Juni wegen loser Radnabenschrauben zurückgerufen wurden.

  2. Laptops: Vom Bastel-Linux zum heimlichen Liebling der Entwickler
    Laptops
    Vom Bastel-Linux zum heimlichen Liebling der Entwickler

    Noch vor einem Jahrzehnt gab es kaum Laptops mit vorinstalliertem Linux. Inzwischen liefern das aber sogar die drei weltgrößten Hersteller - ein überraschender Siegeszug.

  3. SMS: Lindner bat Porsche-Chef um Argumentationshilfe bei E-Fuels
    SMS
    Lindner bat Porsche-Chef um Argumentationshilfe bei E-Fuels

    Der Bundesfinanzminister hat den Porsche-Chef erst nach der Entscheidung kontaktiert, die Ausnahme für E-Fuels in die EU-Verhandlungen einzubringen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • MindStar (u. a. Samsung 980 1 TB 77€ und ASRock RX 6800 639€ ) • Alternate (u. a. Corsair Vengeance LPX 8 GB DDR4-3200 34,98€ ) • AOC GM200 6,29€ • be quiet! Deals • SSV bei Saturn (u. a. WD_BLACK SN850 1 TB 119€) • Weekend Sale bei Alternate • PDP Victrix Gambit 63,16€ [Werbung]
    •  /