Warnung: Sicherheitslücke auch in X11 und anderen Programmen

[Rastafari]

Die Sache zieht immer grössere Kreise.

Auch X11.app im Dienstprogramme-Ordner ist betroffen von dem Problem, das nun jeder inzwischen mitbekommen haben sollte.
Und das sogar übler als beim bereits bekannten Terminal-Skripting, denn da poppen noch nicht mal Fenster auf, und es wird jede x-beliebige Software ausgeführt, nicht nur Shellskripten.

Auch einige recht beliebte Programme von Drittanbietern stehen auf der Kandidatenliste.
(Hierzu will ich erst mal keine Namen nennen. Die Autoren der drei Programme, die ich bisher als "Schweinebacken" verifizieren konnte, sind verständigt.)

Als *vorübergehende* Schutzmassnahme empfehle ich jedem Benutzer folgenden einfachen Trick:
Bis zum nächsten Security- bzw Systemupdate von Apple sei jedem angeraten, seine *gesamten* Programme zu verschieben - und zwar in einen selbst angelegten Unterordner innerhalb des Programmordners. Name des Unterordners nach ganz persönlicher Laune.
(Dabei bitte weder Leerzeichen noch Umlaute oder Sonderzeichen benutzen.)

Also folgendermassen:
Zunächst alle anderen Benutzer abmelden und alle offenen Programme beenden.
Dann:
Innerhalb des Programme-Ordners einen leeren Ordner anlegen mit einem Namen wie zB: "Murutzkmarah". Solange nur 'reguläre' Zeichen verwendet werden, ist der Name völlig egal. Hauptsache ist, dass es ein Name ist, der aussenstehenden *unbekannt* ist.
Diesen Ordner versehe man mit Hilfe des Terminals mit folgenden Rechten:

sudo  chown  0:80  "/Applications/Murutzkmarah"
sudo  chmod  775  "/Applications/Muruzkmarah"

(Terminal danach wieder beenden nicht vergessen.)

Anschliessend einfach alles an Programmen reinschieben, was da ist.
(Mitsamt Unterordnern, dann findet man sich genauso zurecht wie vorher. Sollte irgendeines das nicht mögen, kann man's ja immer noch wieder rausnehmen...)

Neu anmelden - und die Nachrichten der letzten und auch der nächsten Tage können euch mal den Buckel runter...dingsbums...und so.

Und nicht vergessen, vor dem nächsten Update alles wieder an seinen alten Platz zu schubsen.
That's all. Dann könnt ihr den schadenfrohen Dosenheinis wieder eins grinsen.

Würde ich gerne mal sehen, wie eine entsprechende AdHoc-Lösung für Windows ausfallen würde... LOL

[Dante101]

Ist diese Prozedur auch für 10.3. anwendbar?

Gruß
Daniel

[Dante101]

Noch eine Frage von einem "System-Laien".

Gibt es nicht die Möglichkeit ein Programm anstelle direkt (was man ja mit Deiner Methode verhindert, wenn ich das richtig verstanden habe), über den Umweg der Aliase im Dock anzusteuern?

Und wenn ja, würde Deine Methode dann in diesem Fall nicht Lücken haben, da ja der Pfad des Dock-Aliases automatisch an die neue Position des betreffenden Programms angepasst wird.

Ich hoffe, Du weisst, was ich meine.
Ist nur ein Gedanke. Wenn es nicht so ist, dann gut so.

Gruß
Daniel

[Gunnar]

Hallo
Warum ist den plötzlich auch X11 verwundbar. Wo steht bzw stand das?

Gruss
Gunnar

[Rastafari]

Ist diese Prozedur auch für 10.3. anwendbar?

Im Prinzip ja.
Ich weiss aber momentan noch nicht, ob Panther dieses Problem überhaupt aufweist.

[Rastafari]

Gibt es nicht die Möglichkeit ein Programm anstelle direkt (was man ja mit Deiner Methode verhindert, wenn ich das richtig verstanden habe), über den Umweg der Aliase im Dock anzusteuern?

Nein, Aliase können nicht missbraucht werden.
Symlinks ja, aber dazu müsste ein Angreifer dessen exakten Namen und Pfad kennen.
Ist also kein Thema.

[Dante101]

Na passt. War ja nur so ne Idee

[Gunnar]

Ich habe dazu noch etwas bei heise.de gefunden

Zitat

Als zusätzliche Maßnahme kann man durch geschickte Rechtevergabe verhindern, dass sich der Virus im Verzeichnis /InputManager festsetzen kann:
Legen Sie, falls noch nicht vorhanden, mit dem Programm Terminal das Verzeichnis /Library/InputManagers mit
sudo mkdir /Library/InputManagers
an. Übereignen Sie es mit
sudo chown root:wheel /Library/InputManagers
dem Super-User root und seiner Gruppe wheel. Mit
sudo chmod go-w /Library/InputManagers
stellen Sie sicher, dass nur root etwas hineinschreiben darf. Analog verfahren Sie mit ~/Library/InputManagers. Diese Änderungen beinträchtigen die Funktion bereits vorhandener InputManager nicht. Für diese Vorgehensweise müssen Sie als Administrator angemeldet sein, sudo verlangt außerdem nach einem gültigen Kennwort.

Gruss
Gunnar

[Rastafari]

Hallo
Warum ist den plötzlich auch X11 verwundbar.

Weil das auch einen Mechanismus ähnlich dem Terminal besitzt. Auch dort kann man Skripten und auch andere Arten von eingeschleusten Programmen ohne Rückfragen starten lassen.

Wo steht bzw stand das?

Das steht exclusiv hier bei "Rastafari News". Brauchst du erst eine Demo damit du's glaubst?
Hier bitte, bedien dich.

[Rastafari]

Ich habe dazu noch etwas bei heise.de gefunden

Das kannst du knicken.