Abo
  • Services:

Neues zur Safari-Sicherheitslücke

Sicherheitsleck steckt eigentlich in QuickTime

Das gestern gemeldete Sicherheitsleck in Safari steckt eigentlich in QuickTime. Dadurch betrifft das Sicherheitsloch nicht nur Mac-Systeme, sondern auch Windows-Rechner. Als Zwischenlösung muss die Ausführung von Java im Browser deaktiviert werden. Einen Patch gibt es bislang nicht.

Artikel veröffentlicht am ,

Im Rahmen der Sicherheitskonferenz CanSecWest waren die Teilnehmer aufgerufen, ein Mac-System zu hacken und konnten dafür ein MacBook Pro gewinnen. Die beiden Gewinner behaupteten zunächst, dass sie dafür ein Sicherheitsloch in Apples Browser Safari verwendet haben. Nun hat einer der zwei Gewinner per Blog-Eintrag weitere Details zu der Sicherheitslücke veröffentlicht und klargestellt, dass der Fehler nicht in Safari steckt.

Stellenmarkt
  1. Bosch Software Innovations GmbH, Waiblingen
  2. Stadtwerke München GmbH, München

Das eigentliche Sicherheitsloch befindet sich in Apples QuickTime und tritt im Zusammenspiel mit der Ausführung eines Java-Applets auf. Dadurch findet sich das Sicherheitsloch auch in der QuickTime-Version für die Windows-Plattform. Jeder Java-fähige Browser soll für einen Angriff anfällig sein, sofern QuickTime in einer nicht korrigierten Version installiert ist. Somit kann das Sicherheitsleck außer mit Safari auch mit Firefox ausgenutzt werden.

Ein Angreifer muss sein Opfer lediglich dazu bringen, eine entsprechend präparierte Webseite mit Safari oder Firefox zu öffnen. Wenn dann QuickTime installiert und Java aktiviert ist, lässt sich Programmcode einschleusen, der dann ausgeführt werden kann. Bislang gibt es keinen Patch zur Abhilfe. Als Zwischenlösung kann Java im Browser deaktiviert werden, um sich vor solchen Angriffen zu schützen.



Anzeige
Blu-ray-Angebote
  1. (u. a. 3 Blu-rays für 20€, Boxsets im Angebot, Serien zum Sonderpreis)
  2. (u. a. The Hateful 8 Blu-ray, Hacksaw Ridge Blu-ray, Unlocked Blu-ray, Ziemlich beste Freunde Blu...

Aua 25. Apr 2007

Selten so gelacht - *für JAVA gibt es sinnvolle Anwendungen* - ja für cracker Du n00b!

:-) 24. Apr 2007

Da es hier so lustig zugeht :-) Wie wärs mit ner weiteren Abstraktion: "doppelwandiger...

Zim 24. Apr 2007

Nicht zu verwechseln mit dem Sicherheitsleck durch Gummi für Paranoide :P Zim ich konnt...

DieKatastropheH... 24. Apr 2007

schmale Brett? P.S.: Ist völlige technische Ignoranz eigentlich so etwas wie ein...

Tekl 24. Apr 2007

Wie soll das nun konkret aussehen wenn man nicht auf dubiosen Seiten surft und seinen...


Folgen Sie uns
       


Golem.de lässt Alexa schlecht lachen und rappen

Alexa kann komisch lachen und schlecht rappen - wie man im Video hört.

Golem.de lässt Alexa schlecht lachen und rappen Video aufrufen
HTC Vive Pro im Test: Das beste VR-Headset ist nicht der beste Kauf
HTC Vive Pro im Test
Das beste VR-Headset ist nicht der beste Kauf

Höhere Auflösung, integrierter Kopfhörer und ein sehr bequemer Kopfbügel: Das HTC Vive Pro macht alles besser und gilt für uns als das beste VR-Headset, das wir bisher ausprobiert haben. Allerdings ist der Preis dafür so hoch, dass kaufen meist keine clevere Entscheidung ist.
Ein Test von Oliver Nickel

  1. VR-Headset HTCs Vive Pro kostet 880 Euro
  2. HTC Vive Pro ausprobiert VR-Headset hat mehr Pixel und Komfort
  3. Vive Focus HTC stellt autarkes VR-Headset vor

HP Z2 Mini Workstation G3 im Test: Leises Rauschen hinterm Monitor
HP Z2 Mini Workstation G3 im Test
Leises Rauschen hinterm Monitor

Unterm Tisch, auf dem Tisch oder hinter den Bildschirm geklemmt: HPs Z2 Mini Workstation ist ein potentes, wenn auch nicht gerade sehr preiswertes Komplettsystem. Den Preis ist der PC aber wert, denn er ist leise, modular und kann einfach gewartet werden. Der Admin dankt!
Ein Test von Oliver Nickel

  1. HP Pavilion Gaming Hardware für Gamer, die sich Omen nicht leisten wollen
  2. Chromebook x2 HP präsentiert Chrome-OS-Detachable mit Stift
  3. Laserjet Pro M15w und M28w HPs Laserdrucker schrumpfen auf 34 Zentimeter Länge

BeA: Rechtsanwaltsregister wegen Sicherheitslücke abgeschaltet
BeA
Rechtsanwaltsregister wegen Sicherheitslücke abgeschaltet

Das deutsche Rechtsanwaltsregister hat eine schwere Sicherheitslücke. Schuld daran ist eine veraltete Java-Komponente, die für einen Padding-Oracle-Angriff verwundbar ist. Das Rechtsanwaltsregister ist Teil des besonderen elektronischen Anwaltspostfachs, war aber anders als dieses weiterhin online.
Eine Exklusivmeldung von Hanno Böck

  1. BeA Secunet findet noch mehr Lücken im Anwaltspostfach
  2. EGVP Empfangsbestätigungen einer Klage sind verwertbar
  3. BeA Anwälte wollen Ende-zu-Ende-Verschlüsselung einklagen

    •  /