Channels
Powered by True

Main » Nieuws » Personal Computer » Software » Bug in afhandeling dmg-bestanden maakt Mac kwetsbaar

Bug in afhandeling dmg-bestanden maakt Mac kwetsbaar

Door Martin Sturm, donderdag 23 november 2006 21:10
Bron: ITWeek, views: 10.082

Computerbeveiliging-onderzoekers hebben een fout gevonden in de afhandeling van dmg-bestanden op Apple-systemen waardoor het mogelijk is om kwaadaardige programmacode uit te voeren op Macs. De bug is aanwezig in alle versies van Mac OS X en Apple heeft nog geen patch beschikbaar die het probleem oplost.

Apple dmg-icoonDe meeste applicaties voor Mac OS X worden gedistribueerd in de vorm van dmg-bestanden, een archiefformaat waarin de programmabestanden en een eventueel installatieprogramma wordt gebundeld. Bepaalde onderdelen van het Mac OS X-besturingssysteem, waaronder de webbrowser Safari in Mac OS X-versies tot versie 10.4.5, openen deze bestanden automatisch wanneer een dmg-bestand wordt gedownload van het internet. Hoewel normaalgesproken dit geen kwaad kan en in feite te vergelijken is met het uitpakken van een zip-bestand, is dit gedrag door de nu gevonden bug een serieus veiligheidsrisico. De fout onstaat wanneer corrupte dmg-bestanden worden verwerkt. Hierdoor kan het werkgeheugen in een niet-consistente toestand worden achtergelaten, waardoor het voor aanvallers mogelijk is om willekeurige programmacode uit te voeren. Apple heeft tot nu toe nog niet gereageerd op het veiligheidsprobleem en dus ook nog geen patch gepubliceerd. Wel is het mogelijk om het automatisch openen van dmg-bestanden in Safari uit te schakelen, waardoor het lastiger wordt om de veiligheidsfout te misbruiken.

Volgende: Muziekspeler kan pc's omtoveren in Linux-systeem 21:43
Vorige: S3 roadmap laat DirectX 10.x-chips zien 20:46

Categorieën

Gerelateerde artikelen

Reacties

Flat modeFlat mode Sorteer aflopendSorteer aflopend Moderatie FAQModfaq
Niveaufilter: -1 Ongewenst: 32 reacties zichtbaar320 Neutraal: 29 reacties zichtbaar29+1 Meerwaarde: 10 reacties zichtbaar10+2 Verplicht leesvoer: 5 reacties zichtbaar5
«  1  2  »

Door itsmeto, donderdag 23 november 2006 21:15

Score: 0
Jammer dat er toch nog een fout gevonden is in een os dat klaar zou moeten zijn.
Tenslotte heeft Apple een tijdje terug laten weten geen nieuwe patches voor 10.4 uit te willen brengen, maar alle effort in de opvolger te willen steken

Door SyncMaster, donderdag 23 november 2006 21:19

Score: 0
Een OS is nooit klaar, en elk softwarehuis brengt nog een tijdje updates uit om veiligheidslekken te dichten, ook als de actieve ontwikkeling al is stopgezet

Door Neus, donderdag 23 november 2006 21:24

Score: 0
Spuit 11, alsog software ooit klaar is. Er zullen altijd bugs, fouten en problemen in software gevonden worden, OS of geen OS. Alsof jouw auto 100% bugvrij is; banden slijten, verbruikt olie, lekt vloeistof...

Door MahRain, donderdag 23 november 2006 22:08

Score: 2
Apple heeft nooit iets gezegd over het stoppen met patches voor 10.4, en de update 10.4.9 is momenteel in de maak, getuige de berichten hierover op sites als AppleInsider waar de voortgang van de betatests van deze update gemeld worden.

Door multimediacar, donderdag 23 november 2006 22:13

Score: 0
Bugs als deze worden meestal opgelost door een security update, welke het versienummer niet veranderd. Daarenboven heeft Apple nooit laten weten te stoppen met patches voor 10.4.

Door xaveriussmet, donderdag 23 november 2006 22:14

Score: 0
Een OS is nooit af. Daarom wordt het ook 'slechts' in licentie gegeven, en niet 'verkocht', omdat mensen dan geen klacht kunnen indienen voor een onafgewerkt product.
(Een OS is zowat het meest ingewikkelde wat er te programmeren valt... de makers zijn zich ook bewust van het feit dat zij menselijk zijn, en dus fouten maken)

Door aerosoul, donderdag 23 november 2006 21:21

Score: 2
volgens mij is dat zowiezo al standaard dat hij niet automatisch opent.. bij mij word er in ieder geval al (vanaf clean install) naar gevraagd en ik kan het mij niet herinneren dat ik dit aan heb gezet...

Door yorndejong, vrijdag 24 november 2006 14:44

Score: 1
Ja en nee... Hij opent 'm wel, maar checkt eerst de inhoud, als er een programma in zit vraagt 'ie eerst of je 'm wel wil openen, zo nee, dan sluit hij het bestand weer en laat het achter op een manier dat je die vraag weer krijgt als je er op mocht dubbelklikken. Maar voor die check moet het bestand dus wel geopend worden.

Open maar eens een dmg waar geen executable of een onbekend bestands formaat in zit (bijvoorbeeld een dmg die alleen jpegs bevat). Je zult zien dat Safari dan geen alarm slaat.

Door multimediacar, donderdag 23 november 2006 21:24

Score: 2
Bepaalde onderdelen van het Mac OS X-besturingssysteem, waaronder de webbrowser Safari, openen deze bestanden automatisch wanneer een dmg-bestand wordt gedownload van het internet.
Onzin, DMG bestanden gedownload met Safari openen standaard juist niet. Safari vraagt steeds om de documenten te openen aan de gebruiker tenzij dit in de voorkeuren is uitgezet.

Laat niet weg dat er toch een bug ontdekt is, maar probeer dit dan tenminste juist in beeld te brengen...
Er staat in het origineel dat dit wel automatisch gebeurd, maar waarom neemt Tweakers dit klakkeloos over? |:(

Door Dlocks, vrijdag 24 november 2006 00:20

Score: 0
Er staat in het origineel dat dit wel automatisch gebeurd, maar waarom neemt Tweakers dit klakkeloos over? |:(
Verwacht je nou echt dat Tweakers bij ieder bericht gaat kijken of iets te reproduceren is en/of dat ze het driedubbel gaan controlleren bij andere bronnen? Om maar even dezelfde smilie te gebruiken: |:(

Door appelsientje, vrijdag 24 november 2006 08:54

Score: 1
Omdat ze geloofwaardig over willen komen? Iedere mac gebruiker weet dat Safari niet automtisch *.dmg bestanden opent, dus zoveel onderzoek hoefde ze er niet naar te doen.

Door Shaka, vrijdag 24 november 2006 23:01

Score: 0
Verwacht je nou echt dat Tweakers bij ieder bericht gaat kijken of iets te reproduceren is en/of dat ze het driedubbel gaan controlleren bij andere bronnen? Om maar even dezelfde smilie te gebruiken:p
Dat verwacht ik inderdaad ja. Tweakers is voor vele mensen een belangrijke nieuwsbron van ICT informatie, en als mediapartij hebben zij dan ook de verplichting om hun verhalen te controleren. Simpele journalistieke basisregels. Appelsientje heeft hier volledig gelijk in; het was nog geen drie minuten werk geweest dit bericht wat beter te controleren.

Door RM-rf, donderdag 23 november 2006 21:25

Score: 2
In de voorkeuren staat een optie 'Open "safe" files after downloading'...
deze staat al sinds de vorige kwetsbaarheid (een exploit waarbij er een shellscript met speciaal mimetype ook uitgevoerd werd; uit februari 2006: nieuws: 'Extreem kritieke' bug bedreigt OS X-gebruikers ), standaard op 'uit'

Door slindenau, donderdag 23 november 2006 21:37

Score: 2
Sowieso lijkt het me nogal onverstandig om "automatisch openen" aan te zetten. Ongeacht browser, OS of bestandstype.

Door BugBoy, vrijdag 24 november 2006 10:40

Score: 1
Als je al zover bent om de DMG te downloaden, dan zal je hem ook wel gaan openen. Of dat nu automatisch gebeurd of jij op de knop drukt maakt dan niet meer zoveel uit.

Door Datafeest, donderdag 23 november 2006 22:25

Score: 0
Geef Apple een monopolie op OS gebied en dan zal blijken dat OS X zo lek als een mandje is.
Jammergenoeg voor de OS X bashers (en omg, die zijn er veel :P) is dat dus niet het geval.. dus dat argument is eigenlijk vrij irrelevant.

Ik kan trouwens bevestigen dat standaard Safari geen DMG files opent. Na het downloaden vraagt hij "Are you sure you want to continue downloading "Blaa.dmg"?", enkel bij een positief antwoord wordt de DMG file gemount (/opent). Default install, default settings met Safari op een Macbook.

Door GoBieN-Be, vrijdag 24 november 2006 10:15

Score: 0
Ik denk het niet, de basis van Mac OSX, is namelijk FreeBSD en zoals je misschien weet profileren de BSD's UNIX varianten zich als de OS'en die meest letten op veiligheid en bugs.

Dus een goede basis (FreeBSD) heeft Mac OSX al, maar er kunnen natuurlijk altijd nog bugs inzitten, deze is trouwens geheel Apple's verantwoordelijkheid want het dmg formaat is niet afkomstig van BSD.

Overigens moest er voor iedere windows bug een nieuwspost zijn zouden we alleszins veel meer leesvoer hebben.

Ps: Ik gebruik geen Mac OSX, wel windows, maar eerlijk is eerlijk, qua veiligheid is windows niet de sterkste. Maar ik wel dus dat compenseert ;)

Door Datafeest, donderdag 23 november 2006 22:32

Score: 0
maar dat nu blijkt dat ook MacOS niet perfect is vind ik stiekem toch wel een mooi iets.
Diegene die dat denken leven al vele jaren lang in een grot :P.
Bij elk negatief OS X bericht hoeft dat niet meer te worden vertelt denk ik. Het moet nu wel een keer duidelijk zijn dat OS X geen totale perfectie is (alhoewel het wel dichterbij in de buurt komt dan Windows XP lijkt mij :P).

Door iBrainiac, donderdag 23 november 2006 22:30

Score: 0
Dit is bij mijn weten nog slechts proof-of-concept. En het is inderdaad niet zo dat dmg-bestanden automatisch geopend worden.

Door G3rtjuh, donderdag 23 november 2006 22:44

Score: 1
Het maakt OS X niet kwetsbaar, er komt een kernel panic en de Mac wordt opnieuw gestart. Nee, veel wind, klein glas.

Door iBrainiac, donderdag 23 november 2006 22:49

Score: 0
'k Denk toch wel als zo'n lekken in staat (zouden kunnen) zijn om kernel panics teweeg te brengen, ze het OS kwetsbaar maken.

Door t-h, donderdag 23 november 2006 23:17

Score: 0
ligt eraan wat je opvatting is. kwetsbaar is een relatief begrip, en een herstart stelt niet zoveel voor. hoewel het wel een groot verschil is met nu (van niks naar..)

Door Hensz, vrijdag 24 november 2006 01:38

Score: 0
De truuk zit 'm er natuurlijk in wat er tussen de download en die herstart is gebeurt, kennelijk potentieel gevaarlijk.
Verder mag die optie om automatisch dmg's te openen standaard uit staan, er zijn genoeg mensen die 'm aan hebben staan. Minstens 1 in ieder geval, maar kennelijk is het tijd om 'm uit weer uit te zetten. :)

Door BugBoy, vrijdag 24 november 2006 10:39

Score: 1
Een kernel panic vind ik toch wel erg vervelend. Alles wat je open hebt staan is verloren gegaan.
«  1  2  »

Op dit item kan niet meer gereageerd worden.

Volgende: Muziekspeler kan pc's omtoveren in Linux-systeem 21:43
Vorige: S3 roadmap laat DirectX 10.x-chips zien 20:46
Powered by True
RSS VNU Media logo
© 1998 - 2008 Tweakers.net - Alle rechten voorbehouden
Uitgever van: