Katastrophale Security-Politik von Apple?

[Birnenfreund]

Hallo,

nachdem hier ja sehr gerne die grandiose Sicherheit von Mac OS X im Vergleich zu Windows bejubelt wird, sollte man vielleicht auch folgenden Artikel auf heise.de kennen: http://www.heise.de/newsticker/Exploit-fuer-ungepatchte-Luecke-in-Mac-OS-X-Update--/meldung/138217

Kurz gesagt scheint es einen (Apple) seit Dezember des Vorjahres bekannten Bug in der Java-Implementierung zu geben, der einen Angreifer potentiell die Kontrolle über einen Rechner übernehmen lässt. Auch das Update 10.5.7 bietet keine Lösung für das Problem. Die einzige Lösung scheint zu sein, Java im Browser zu deaktivieren.

Ich verstehe unter Sicherheit etwas anderes.

 

[Nathraq]

Ich bin gespannt wie sich das entwickelt. Möglichkeit 1. Es ist eine Ente. Möglichkeit 2. Es ist war und dann wär es fatal. Da es nicht das erste mal ist das Apple es verschläft bekannte Sicherheitslücken zu schließen hier

 

[eyecandy]

Katastrophale Security-Politik von Apple?

man sollte die kirche im dorf lassen …

 

[ApfelLeon]

Lt. dem Artikel gilt dies auch für Firefox.....katastrophale Security-Politik von Windows, weil auf den meisten PC´s FF läuft?

 

[MacAlzenau]

Na ja, heise.... Ich kann's zwar nicht abschätzen (denke aber, wenn was dran wäre, hätte hier der eine oder andere Experte schon was dazu geschrieben), aber mich erinnert sowas an einen sogenannten Experten, der im Fernsehen mal lauthals verkündete, daß der Mac ja jetzt auch unsicher sei.
Weil man Windows drauf installieren könne....
Da kann man doch nur den Kopf an die Wand hauen ob solcher Pseudokompetenz.
Ein Mac ist ein Mac mit OS X, wenn es um Sicherheit geht, denn Sicherheit bietet immer nur System/Software und nicht irgendwelche Hardware. Schließlich sagt auch kein Mensch, Dellcomputer seien unsicher, man nennt Windows beim Namen.
Aber so kann man Unsicherheit schüren.

 

[MartioReo]

Sicherheitslücke Safari MacOsX und Java

Laut Heise gibt es in MacOsX eine ungepatchte Sicherheitslücke durch die ein Angreifer die Kontroller über den Rechner übernehmen kann.
Artikel hier: http://www.heise.de/newsticker/Exploit-fuer-ungepatchte-Luecke-in-Mac-OS-X-Update--/meldung/138217

Und die Demonstration der Sicherheitslücke gibt es hier zum Testen:
http://landonf.bikemonkey.org/static/moab-tests/CVE-2008-5353/hello.html

Wenn die Sprachausgabe ertönt, ist der Rechner anfällig.


Diese Lücke ist wohl direkt im Java und gilt auch für den Firefox

Seit einem Java-Update ist diese Lücke für Dosen geschlossen,
bisher durch Apple nicht.

Also Augen auf beim browsen und als Workaround Java abschalten.

P.S. Fall jemand schon schneller war, einfach löschen

Schönen Abend
MartioReo

 

[harden]

Lt. dem Artikel gilt dies auch für Firefox.....katastrophale Security-Politik von Windows, weil auf den meisten PC´s FF läuft?

Nein, da der Fehler in Java liegt und nicht in Safari oder Firefox. Und Java ist unter OSX von Apple handgemacht, daher muss Apple hier nachbessern und nicht Sun. Steht übrigens auch im Artikel so drin...

 

[proteus]

Und da sich insbesondere Heise ja immer wieder durch gründlich recherchierte, kompetente Artikel - gerade über Macs - hervortut und auf Bildzeitungsniveau fundierte 40 Wort Artikel verbricht ist das natürlich die seriöseste Quelle, die ich finden kann. Ich frage auch einen katholischen Pfarrer, wenn ich was über Teufelskult wissen will, in der Erwartung, eine sachliche Antwort zu bekommen.

Das es immer wieder Leute gibt, die diesen Mist überhaupt lesen.

 

[computerschreck]

Und da sich insbesondere Heise ja immer wieder durch gründlich recherchierte, kompetente Artikel - gerade über Macs - hervortut und auf Bildzeitungsniveau fundierte 40 Wort Artikel verbricht ist das natürlich die seriöseste Quelle, die ich finden kann. Ich frage auch einen katholischen Pfarrer, wenn ich was über Teufelskult wissen will, in der Erwartung, eine sachliche Antwort zu bekommen.

Das es immer wieder Leute gibt, die diesen Mist überhaupt lesen.

/signed

 

[Erunno]

Demonstration der Sicherheitslücke (Java muss aktiviert sein):

http://landonf.bikemonkey.org/static/moab-tests/CVE-2008-5353/hello.html

 

[Bettarg]

Ja krass, was macht die Demo ? Ausser Hello World Posten ?

Edit: Ok ich voll Hong hatte den Ton aus ^^

 

[quarx]

Die Demo ist ein Proof of Concept und formatiert natürlich nicht sämtliche Festplatten.
Genaue Informationen über die Sicherheitslücke kann man übrigens diesem Blogeintrag entnehmen, der das Proof of Concept motiviert hat.
Dass der Fehler im JRE von OS X seit fast einem halben Jahr nicht behoben worde, ist einfach nur peinlich für Apple. Überhaupt kann ich den stiefmütterlichen Java-Support in OS X nicht so recht verstehen. Warum gibt es Java 6 nicht für 32 Bit-Macs?

 

[harden]

Das es immer wieder Leute gibt, die diesen Mist überhaupt lesen.

Und damit man sich nicht auf heise verlassen muss gibt es dort eine Quellenangabe, die man stattdessen lesen kann. Und die wesentlichen Informationen (Lücke in Apple JVM vorhanden bei Sun jedoch vor 5 Monaten geschlossen) haben es sogar bis nach heise geschafft.

Bei den Folgen dieser Lücke übertreibt heise imho etwas, da sie von "... die Kontrolle über einen Rechner übernehmen ..." schreiben. Aber dafür kann man ja die bei heise verlinkte Quelle lesen, natürlich nur, wenn man seinen Ekel überwunden hat und auf einen Link zu heise geklickt hat.

 

[eyecandy]

Überhaupt kann ich den stiefmütterlichen Java-Support in OS X nicht so recht verstehen.

wie auch im blogpost von julien tinnes hingeweisen, ist das problem nicht eines unter osx, auch viele windows-systeme werden, trotz des seitens suns erfolgten patches, wahrscheinlich noch angreifbar über diesen exploit sein, bedingt durch die fehlende anbindung des java-update-mechanismus an das ms-update-system.

als reine java anwendung ist der exploit ausführbar unter safari, ff, ie auf osx, win, linus, etc.

 

[Retrax]

Ich möchte nicht wissen wieviele Mac-Bot-Netze es tatsächlich schon gibt...

Es ist ja nicht das erstemal dass Apple sich auf der Insel der Glückseligen weilt und OS X für unantastbar hält, und bekannte Sicherheitslücken erst nach massivem Druck von außen patcht...

 

[Erunno]

wie auch im blogpost von julien tinnes hingeweisen, ist das problem nicht eines unter osx, auch viele windows-systeme werden, trotz des seitens suns erfolgten patches, wahrscheinlich noch angreifbar über diesen exploit sein, bedingt durch die fehlende anbindung des java-update-mechanismus an das ms-update-system.

als reine java anwendung ist der exploit ausführbar unter safari, ff, ie auf osx, win, linus, etc.

Im oben verlinkten Blog steht eigentlich nur, dass nicht alle Windows Benutzer aus verschiedensten Gründen die aktuellste Version von Java verwenden. Das veraltete Software unter Umständen schon längst behobene Fehler beinhalten kann, ist jetzt keine bahnbrechend neue Erkenntnis. Im Gegensatz dazu hat aber ein OS X Benutzer momentan überhaupt nicht die Möglichkeit, auf eine neuere Version ohne den hier beschriebenen Exploit umzusteigen.

Meinem Verständnis nach bezieht sich der folgende Absatz nicht speziell auf diesen Exploit (den dieser funktioniert tatsächlich nur auf OS X), sondern beschäftigt sich mit hypothetischen zukünftigen Fehlern in Java und das diese vermutlich auf allen Plattformen gleich funktionieren werden. Laut Julien Tinnes scheint Java unter erheblich mehr Schwierigkeiten zu leiden als nur dieser eine Exploit, weswegen er generell zum Verzicht des Browser Plugins rät.

Interessant auch:

Moreover, even without taking into consideration Java vulnerabilities themselves, since the Java plugin allocates all memory as RWX and doesn't opt-in for randomization, a Java applet can be used to bypass ASLR and non executability (DEP on Windows) in browser exploits.

 

[GunBound]

Gebt mir den Keks, wenn diese ewigen Mythen aufhören…

 

[quarx]

Die JVM-Sicherheitslücke ist aber nun mal kein Mythos.

 

[GunBound]

Die JVM-Sicherheitslücke ist aber nun mal kein Mythos.

Ok, Java != OS-abhängig, ich weiss.

 

[Erunno]

Ok, Java != OS-abhängig, ich weiss.

Für den Endbenutzer dürfte es auch wenig Unterschied machen, wodurch die Sicherheitslücken verursacht werden. Und Apple kann auch nicht aus der Pflicht genommen werden, da es sich um "first-party" Software handelt.