Neun Sicherheitslecks in MacOS X

Apple seit Anfang 2006 informiert, aber keine Patches verfügbar

Das Anfang April 2006 veröffentlichte MacOS X 10.4.6 enthält eine Reihe von Sicherheitslücken, die zum Teil als gefährlich eingestuft werden. Unter anderem genügt die Anzeige von HTML-Seiten oder das Öffnen von BMP-, JPG- respektive ZIP-Dateien, damit Angreifer beliebigen Programmcode ausführen können.

Artikel veröffentlicht am 24. April 2006, 10:46 Uhr, Ingo Pakalski

Insgesamt haben die Sicherheitsexperten von Security Protocols neun Sicherheitslücken in Apples Betriebssystem entdeckt, die in MacOS X 10.4.6 und womöglich auch in vorherigen Versionen stecken. Allein im Browser Safari wurden drei Sicherheitslecks gefunden, die einem Angreifer das Ausführen von Programmcode gestatten, indem einem Opfer entsprechend modifizierte HTML-Dateien untergeschoben werden. Diese Sicherheitslecks wurden bereits Anfang Januar 2006 an Apple gemeldet, ohne dass diese bislang bereinigt wurden.

Die Anzeige von BMP- oder JPG-Dateien erlaubt über zwei verschiedene Sicherheitslecks in MacOS X ebenfalls die Ausführung beliebigen Programmcodes. Auch die Anzeigeroutinen für TIFF-Dateien weisen zwei Sicherheitslöcher auf, die allerdings jeweils nur einen Absturz verursachen können. Nach Angaben von Security Protocols weiß Apple von den vier Sicherheitslücken bei der Ansicht von Bilddateien bereits seit Anfang 2006, ohne bisher reagiert zu haben.

Ein weiterer Fehler steckt in der Betriebssystemkomponente, über die ZIP-Archive geöffnet werden. Der Fehler kann einen Heap Overflow verursachen, so dass Angreifer einen Absturz provozieren oder beliebigen Programmcode auf einem anderen System ausführen können. Eine entsprechend manipulierte ZIP-Datei würde dafür bereits ausreichen. Apple soll seit Ende Februar 2006 davon Kenntnis haben, aber auch dafür bislang keinen Patch veröffentlicht haben.