Abo
  • Services:

Apple beseitigt gefährliches DNS-Sicherheitsleck

Sicherheitslücken in zwölf Komponenten von MacOS X

Mit einem Patch beseitigt Apple das DNS-Sicherheitsloch im BIND-Server und schließt Sicherheitslücken in elf weiteren Komponenten von MacOS X. Sieben davon können zum Ausführen von Schadcode missbraucht werden und werden als entsprechend gefährlich eingestuft.

Artikel veröffentlicht am ,

Anfang Juli 2008 wurde das DNS-Sicherheitsloch gemeldet und vor rund einer Woche Schadcode gesichtet, der das Sicherheitsleck ausnutzt, um etwa Nutzer auf fremde Webseiten zu lotsen. Nun hat Apple mit einem Patch reagiert, der den Fehler im BIND-Server von MacOS X 10.4.11 sowie 10.5.4 korrigiert. Standardmäßig ist dieser nicht aktiviert.

Stellenmarkt
  1. Horváth & Partners Management Consultants, München
  2. cbb-Software GmbH, Stuttgart

Im Betriebssystemkernel befindet sich ein gefährliches Sicherheitsleck, das sich mit langen Dateinamen ausnutzen lässt. Dann kann ein Angreifer entweder gezielt einen Absturz hervorrufen oder aber auch beliebigen Programmcode ausführen. Mit dem nun veröffentlichten Patch soll der Fehler beseitigt werden.

Gleich zwei gefährliche Sicherheitslecks beseitigt der Patch in der CoreGraphics-Komponente von MacOS X, die beide zum Ausführen schadhaften Codes missbraucht werden können. Ein Opfer muss lediglich dazu gebracht werden, eine manipulierte PDF-Datei oder eine entsprechend präparierte Webseite anzuzeigen.

Mit einer manipulierten Datei im Format von Microsofts Officepaket lässt sich ebenfalls Schadcode ausführen oder ein Programmabsturz provozieren. Schuld daran sind gleich mehrere Sicherheitslöcher in QuickLook, die nun mit dem Patch beseitigt sein sollen. Ein Sicherheitsloch in OpenSSL kann ebenfalls zum Ausführen von Schadcode missbraucht werden. Dazu ist ein manipuliertes Datenpaket erforderlich, das im harmloseren Fall zum Programmabsturz führt.

Ein weiteres Sicherheitsleck in der Open-Scripting-Architektur von MacOS X gestattet einem lokalen Nutzer die Ausweitung von Benutzerrechten und somit auch die Ausführung von Schadcode. Dazu muss der Angreifer direkten Zugriff auf das betreffende System besitzen. Gleiches gilt für das Sicherheitsloch im Disk Utility in MacOS X 10.4.11. Läuft das Reparaturrechte-Werkzeug, kann ein angemeldeter Nutzer über emacs Befehle mit Systemrechten ausführen.

Zudem beseitigt der Patch einen Fehler in der Data-Detector-Komponente von MacOS X 10.5.4, der zum Programmabsturz führt. Das gleiche Angriffsszenario findet sich in OpenLDAP, das mittels spezieller LDAP-Nachrichten ausgenutzt werden kann. Ein Fehler in rsync gestattet die Einsicht oder das Überschreiben von Dateien und soll nun korrigiert sein. Gleich eine Reihe von Sicherheitslecks und Fehler werden mit dem Patch in der PHP-Komponente von MacOS X 10.5.4 beseitigt.

Der Sicherheitspatch für MacOS X 10.4.11 sowie 10.5.4 steht ab sofort zum Download bereit und gilt auch für die Serverausführungen des Betriebssystems. Die Patches werden auch über die Updatefunktion des Betriebssystems verteilt.



Anzeige
Top-Angebote
  1. 84,99€
  2. 54,99€
  3. 79,98€

SzeneKenner 05. Aug 2008

Desewgen entscheinden sich mehr und mehr für das sichere Vista: http://www.zdnet.de/news...

Deppen-Hasser... 05. Aug 2008

Hättest du dir den Teil in der Klammer gespart würde dein Satz nicht das genaue...

TheHeitmann 03. Aug 2008

Yo ZeroBrain! Was auch Du anscheinend noch immer nicht in Deine Hohlpfanne von Schädel...

anton3 03. Aug 2008

http://blog.ncircle.com/blogs/sync/archives/2008/08/apple_dns_patch_fails_to_rando.html...

Deppen-Hasser... 02. Aug 2008

Richtig, da wo sowas produktiv eingesetzt wird nimmt kein normaler Mensch einen Mac...


Folgen Sie uns
       


Leistungsschutzrecht und Uploadfilter - Golem.de Live

Nach der EU-Kommission und den Mitgliedstaaten sprach sich am Mittwoch in Brüssel auch der Rechtsausschuss des Europaparlaments für ein Recht aus, das die digitale Nutzung von Pressepublikation durch Informationsdienste zustimmungspflichtig macht. Ein Uploadfilter, der das Hochladen urheberrechtlich geschützter Inhalte verhindern soll, wurde ebenfalls auf den Weg gebracht. Doch was bedeutet diese Entscheidung am Ende für den Nutzer? Und wer verfolgt eigentlich welche Interessen in der Debatte?

Leistungsschutzrecht und Uploadfilter - Golem.de Live Video aufrufen
Smartphone von Gigaset: Made in Bocholt
Smartphone von Gigaset
Made in Bocholt

Gigaset baut sein Smartphone GS185 in Bocholt - und verpasst dem Gerät trotz kompletter Anlieferung von Teilen aus China das Label "Made in Germany". Der Fokus auf die Region ist aber vorhanden, eine erweiterte Fertigung durchaus eine Option. Wir haben uns das Werk angeschaut.
Ein Bericht von Tobias Költzsch

  1. Bocholt Gigaset baut Smartphone in Deutschland

Elektromobilität: Regierung bremst bei Anspruch auf private Ladesäulen
Elektromobilität
Regierung bremst bei Anspruch auf private Ladesäulen

Die Anschaffung eines Elektroautos scheitert häufig an der fehlenden Lademöglichkeit am heimischen Parkplatz. Doch die Bundesregierung will vorerst keinen eigenen Gesetzesentwurf für einen Anspruch von Wohnungseigentümern und Mietern vorlegen.
Ein Bericht von Friedhelm Greis

  1. Elektroautos Daimler-Betriebsrat will Akkuzellen aus Europa
  2. Elektromobilität Elektrisches Surfboard Rävik flitzt übers Wasser
  3. Elektromobilität UPS lässt sich von Thor neuen E-Truck bauen

Segelschiff: Das Vindskip steckt in der Flaute
Segelschiff
Das Vindskip steckt in der Flaute

Hochseeschiffe gelten als große Umweltverschmutzer. Neue saubere Antriebe sind gefragt. Der Norweger Terje Lade hat ein futuristisches Segelschiff entwickelt. Doch solch ein neuartiges Konzept umzusetzen, ist nicht so einfach.
Ein Bericht von Werner Pluta

  1. Energy Observer Toyota unterstützt Weltumrundung von Brennstoffzellenschiff
  2. Hyseas III Schottische Werft baut Hochseefähre mit Brennstoffzelle
  3. Kreuzschifffahrt Wie Brennstoffzellen Schiffe sauberer machen

    •  /