Apple releast patches voor (on-)bekende veiligheidsbugs

Apple heeft een aantal patches uitgebracht voor zijn besturingssysteem Mac OS X, zo lezen we op Techworld. Apple zelf zegt dat de veiligheidsproblemen in het OS meevallen, maar raadt de gebruikers wel aan de bestanden meteen te downloaden. Beveiligingsbedrijf Secunia geeft de vijf patches echter 'highly critical' als rating en zegt dat door de lekken een gebruiker het risico loopt op datamanipulatie en omzeiling van de beveiliging en dat een kwaadwillende persoon in staat is om toegang te krijgen tot het volledige systeem. Op dit moment is er nog geen worm gesignaleerd die gebruik maakt van de gaten in de beveiliging van het systeem. De lekken zijn gesignaleerd in CoreFoundation, AppleFileServer, Apache 2 en IPSec.

De rating van de lekken is volgens Secunia vooral gebaseerd op de lakse manier waarop Apple met de lekken omgaat. Volgens het beveiligingsbedrijf is het waarschijnlijk dat het gevaar van de problemen groter is dan Apple zelf zal aangeven. Vorige maand gaf de Mac-fabrikant toe te weten van een Trojan die gebruik maakte van een lek in een van zijn systemen en zei deze te onderzoeken, maar weigerde verdere informatie te geven over hoe een inbraak in het systeem kon worden voorkomen. De patches zijn op de site van Apple te vinden.

Reacties (81)

[zaphod_b]

Er zijn in dit soort discussies telkens weer mensen die roepen:

"Als er net zoveel mensen Linux / Mac OS X gebruiken als nu Windows, heb je ook net zoveel virussen en hacks".

Dat is dus echt enorme bullshit, sorry .

Een UNIX heeft een totaal andere architectuur als een Windows. Er is al jaren bekend uit gedegen onderzoek dat de hele architectuur van Windows vanaf de grond af zo onveilig als wat is. Dat Microsoft de laatste jaren haar best doet om die rommel een beetje 'dicht te smeren' is prima, maar het blijft een gatenkaas.

UNIX-en daarentegen, en zeker BSD's, zijn van nature behoorlijk veilig (ook niet heilig hoor) en zijn veel meer gericht op security. Bovendien maakt de architectuur het veel lastiger voor wormpjes / virussen enzovoort om de machine over te nemen. Het kan wel, maar is veel lastiger. Voornamelijk inderdaad omdat een programma, uitgevoerd door een user, ook in userspace blijft. ALTIJD (tenzij er een bug inzit ergens).

In Windows kun je als user standaard zo ongeveer alles, tot en met de kernel aan toe. Dus kan dat attachment wat je net hebt aangeklikt in je email, in 1 seconde je hele systeem om zeep helpen.

Anyway, zonder een hele flame te willen starten... maar de mensen die roepen dat het met meer gebruikers op een UNIX / Linux net zo erg wordt hebben echt weinig kaas gegeten van de architectuur van Operating Systemen...

[bzerk]

UNIX-en daarentegen, en zeker BSD's, zijn van nature behoorlijk veilig (ook niet heilig hoor) en zijn veel meer gericht op security.

Ik ben zelf een liefhebber van de Unix filosofie, maar dit wil ik toch even tegenspreken. Unix werd begin jaren 70 ontwikkeld en gebruikt in voornamelijk academische kringen en in die tijd dacht bijna niemand nog na over security, het was gewoon geen issue.
Naderhand is dat natuurlijk wel veranderd, maar dat Unix van nature veilig is kun je dus niet zeggen.

Het grote verschil in security zit hem m.i. nu juist in de filosofie achter het OS. In Unix worden programma's "in serie" geschakeld om complexe taken te verrichten. Ieder afzonderlijk programma doet de taak waar die voor gemaakt is en niet meer dan dat.
De code van al die kleine programma's afzonderlijk is overzichtelijker en makkelijker te controleren op fouten dan de monolithische applicaties die onder MS Windows gebruikelijk zijn.

[SirBlade]

Bijna iedere gebruiker heeft genoeg rechten om in z'n home-dir/group-dir "del *.*" of "rm -rf" uit te voeren. Heel leuk dat het systeem dan nog draait voor de gebruiker is het verlies van zijn data veel erger

[Verwijderd]

Hier heb je een paar patches.. maar we vertellen er niet bij waar ze voor zijn. rare jongens die apple gasten.

[RèLF]

Zodra je de update download via het OS X updatevenster zie je precies waarvoor ze zijn.

[Verwijderd]

Misschien om toekomstige virusschrijvers niet op gedachten te brengen? Nu geeft windows altijd precies aan waarvoor het dient waar de bug zich bevind en dan 2 weken later is er een virus voor ontwikkeld. Dat is ook niet echt slim mijn naar mijn weten.

[[ti]]

Als een beveiligingsbedrijf (Secunia) de patches als 'highly critical' bestempeld, zullen ze deze hebben moeten analyseren om deze stempel erop te kunnen drukken. Dwz. ze hebben moeten onderzoeken welke onderdelen gepatched worden, welke files veranderde na het installeren van de patch, en hebben waarschijnlijk file compares gedaan. Met een beetje debugging skills ben je er dan al vrij snel achter wat de fout is, en hoe je deze kunt exploiteren. Als apple het probleem bagataliseerd zullen gebruikers/beheerders minder geneigd zijn de patches te installeren, waardoor er alleen maar meer kwetsbare systemen op het internet komen. Microsoft's manier is nog lang niet de juiste, maar door veel informatie te verstrekken over het probleem, de impact, technische details etc motiveer je wel de mensen om het probleem op te lossen.

Moraal: security through obscurity werkt niet.

[Verwijderd]

Secunia zegt dat Apple laks is en dat deze patches dus wel heel kritisch moeten zijn aangezien Apple zelfs maar de moeite heeft gedaan ze uit te brengen.

Daar is weinig onderzoek voor nodig.

[Verwijderd]

Het is inderdaad niet slim, maar dat heeft niets met Microsoft te maken. De Amerikaanse overheid, heeft Microsoft verplicht gesteld deze informatie vrij te geven. Apple hoeft dit niet.

EDIT:

Dit is ook de reden dat Microsoft af en toe lekken geheim houdt. Zodra ze naar buiten brengen dat er een lek is, moeten zij de informatie vrijgeven, terwijl er nog geeneens een patch is

[drienties]

het niet vermelden van de lekken heeft ook voordelen, zo kan een oplettende idioot die bij miscrosoft net een update ziet vrijkomen voor een veiligheidsgat(waar natuurlijk een hele nette uitleg over te vinden is op de microsoft site over hoe en wat) hier gelijk een worm voor schrijven omdat de meeste mensen de updates toch niet of te laat installeren.

door er niet bij te vermelden om welke lekken/bugs het gaat, kan een oplettende virusmaker dus ook niet hiet 123 een virus voor schrijven omdat hij niet weet over welke lek/bug het gaat.

edit@reacties op mij

ik heb niks tegen microsoft ofzo, ik merk alleen ff het verschil op tussen het wel en niet vrijgeven van informatie over de patch

[twi]

Toen Microsoft ditzelfde een kleine anderhalve maand geleden deed, was de wereld te klein en werden ze met rotte tomaten bekogeld door alles en iedereen. Frappant dat het nu ineens een uitgedachte strategie is.

[RetepV]

Wat een onzin lul jij. Ik denk niet dat er veel professionals zaten tussen die rotte-tomaten-gooiers.

Onze server is 2 keer gehackt. Altijd binnen een paar uur nadat Microsoft met een security patch kwam. Het fijne is dat het in Amerika een paar uur later is dan hier. Die beginnen pas te werken als het hier een uur of 2 is. Om 6 uur gaan wij hier naar huis. Als Microsoft dus in hun tijd om 13:00 een patch uit brengt is het hier 18:00. Dan zijn de meeste systeembeheerders al naar huis. We beginnen hier weer om zo'n 9:00 's ochtends. Dat betekent dat hackers na het uitbrengen van een security patch van Microsoft zo'n 14 a 15 uur vrij spel hebben om servers te gaan hacken.

Aangezien de meeste security leaks het gevolg zijn van een buffer overflow hoeven de meeste hackers hun scriptjes maar een klein beetje aan te passen om van de nieuw ontdekte leak gebruik te maken. En Microsoft levert ze de informatie waar ze het moeten zoeken.

Zeg dat het ze een uurtje of 4 kost om hun scriptjes aan te passen aan de nieuwe security leak. Dan hebben ze nog 10 uur de tijd om bergen servers te hacken, voordat ze gepatched zijn.

Hier in Nederland lopen we daarom ook altijd achter de feiten aan.

[AntiChris]

Dus, het beste zou zijn om eerst de patch uit te brengen zonder verdere uitleg en pas na 24 uur volledige uitleg te geven.

De vraag is dan natuurlijk wel weer of mensen de ernst van zo'n patch kunnen inschatten.

[twi]

Dus als het aan jou zou liggen zou Microsoft ook nog het tijdstip moeten overwegen, zodat elke systeembeheerder ter wereld in zijn/haar werktijd alles aan kan passen?

[Verwijderd]

het moet ook niet zo zijn dat je omgevng zo is ingericht dat je zonder die patch weerloos bent. Daarom heb je firewalls., ipsec, filesecurity, ids systemen etc om jezelf te beschermen als een der onderdelen faalt.

[Verwijderd]

Ja..je krijgt hier echt het idee dat als 2 bedrijven precies dezelfde lijn volgen en het ene bedrijf heet toevallig Microsoft dat Microsoft wordt afgekraakt voor het beleid terwijl het andere bedrijf het juist weer goed doet...

Heel zielig hoor die hetze tegen MS.....

[Q]

Ik heb net mijn machine geupdated en wat valt op: Apple noemt het een "security enhancement". Zo van: het is geen bug, het is een feature...

Dit valt mij als macgebruiker tegen. Maar ach. Apple is gewoon een commercieel bedrijf en verschilt wat dat betreft niets van microsoft.

Echter, ik blijf een zwak houden voor een OS waar nog geen virussen voor zijn.

[m3gA]

waarom zou iemand moeite doen om een virus te schrijven dat niet verspreid kan worden omdat niemand het OS gebruikt?
Windows heeft een groot gedeelte van de markt in handen (apple dacht ik maar 4%) en daardoor is de impact en de media-aandacht veel groter en het gaat veel virusschrijvers toch om de aandacht

[Q]

Er is ook niemand die linux gebruikt.

Het gaat om het concept: als windows gebruiker ben je standaard superuser. Als macgebruiker of linuxgebruiker niet.

Om iets potentieel gevaarlijks te doen moet je je wachtwoord opgeven.

Een virus kan standaard weinig kwaad en in ieder geval het systeem niet naar zijn grootje helpen.

[Bigs]

Niemand die Linux gebruikt? Volgens mij bestaat bijna de helft van alle webservers op Internet uit (vaak slecht upgedate) Linux servers. Een worm van het kaliber Sasser zou daar echt wel desastreus voor zijn.

Linux heeft wat dat betreft als je over de hele linie kijkt een veel groter marktaandeel dan Apple.

[Verwijderd]

Die zgn. Trojan voor Mac OS was een storm in een glas water: http://www.spymac.com/forums/showthread.php?threadid=73065

OS X blijft ontzettend stabiel en veilig wat mij betreft.

[remier]

Als ik de patch installeer krijg ik het volgende te zien:

Security Update 2004-05-03 bevat een aantal beveiligingsverbeteringen en wordt aanbevolen voor alle Macintosh gebruikers. Deze update bevat de volgende componenten:


AFP-server
CoreFoundation
IPSec


Daarnaast is Security Update 2004-04-05 in deze beveiligingsupdate opgenomen. Security Update 2004-04-05 bevat de volgende componenten:


CUPS-afdruksysteem
libxml2
Mail
OpenSSL

Niet erg specifiek, maar is dat ook echt nodig voor de doorgaande Apple gebruiker.
Er staat wel in waar de lekken inzitten

[Verwijderd]

Dit is toch bij elke computerfabrikant zo?? Hoelang duurde het soms niet voordat Windows een patch uitbracht voor een lek in Windows?
En precies of ze gaan over hun eigen producten zeggen dat het een zeef is Als je iets koopt in een winkel zeggen ze ook dat dat het beste product is hoor.

Ieder besturingssysteem heeft lekken, de een al wat minder dan de ander; maar ik vind toch dat Apple hier nogal hard wordt aangepakt.

[Verwijderd]

"Dit is toch bij elke computerfabrikant zo?? Hoelang duurde het soms niet voordat Windows een patch uitbracht voor een lek in Windows?"

Een patch voor de Sasser worm was er op 16 April... paar weken voordat de Worm op het internet verscheen, mensen die "Automatic Updating Service" gebruiken waren compleet beveiligd en hadden geen last van het Sasser-gedoe

[cavey]

[offtopic] en het lek waar sasser gebruik van maakt was al een half jaar bekend ongeveer ...

[Verwijderd]

Blijkbaar een lastig probleem om op te lossen. Ze kunnen binnen een paar uur een patch opleveren als het moet. Compleet getest is een ander verhaal dat duurt langer.

(Voor wie een paar uur lang vind, dat valt wel mee je moet tenslotte het probleem analyseren, bij ms indienen, het probleem moet worden gereproduceerd, opgelost en getest worden)

[Verwijderd]

Ze worden volgens mij vooral hard aangepakt omdat ze niet willen aanduiden wat het probleem is, niet omdat er een lek is op zich.

[Verwijderd]

er zijn heus wel virussen, alleen veeeeeel minder..
Bovendien zijn de securityleaks op os x /freeBSD Veel minder 'kritiek' als de lekken die sasser, blaster ed mogelijk maken. Of dat lek dat MS onlangs na een half jaar pas ging patchen..

[TheGhost]

er zijn heus wel virussen, alleen veeeeeel minder..
Bovendien zijn de tot nu toe gevondensecurityleaks op os x /freeBSD Waarschijnlijkveel minder 'kritiek' als de lekken die sasser, blaster ed mogelijk maken. Of dat lek dat MS onlangs na een half jaar pas ging patchen..

Dat komt alleen maar omdat MacOS X / freeBSD veel minder gebruikers heeft en dus veel minder interessant is voor virusmakers / cr-/hackers en ander tuig... Op het moment dat er veeeeeel meer gebruikers zijn zijn er dus ook veel meer virussen...

[Verwijderd]

Dat komt alleen maar omdat MacOS X / freeBSD veel minder gebruikers heeft en dus veel minder interessant is voor virusmakers / cr-/hackers en ander tuig... Op het moment dat er veeeeeel meer gebruikers zijn zijn er dus ook veel meer virussen...

Dat is onzin.
Zoals ik al vaker heb gezegd heeft Apache (70% marktaandeel) veeeeel minder last van wormen dan IIS (25%).

Dus kom maar met een beter argument

[Verwijderd]

Als je alle prive installaties meetelt van IIS valt het wel mee met dat marktaandeel

[FailFr8er]

Dit is dus kul. Het is voornamelijk omdat de gehele beveiliging anders geregeld is.

Ik ga het niet allemaal uitleggen, maar het uitbeelden met een artikel
http://www.theregister.co.uk/2003/10/06/linux_vs_windows_viruses/

Leest, and awe

[smerik]

Je kan ook zeggen: de meeste hackers die een virus schrijven, zijn Windows gebruikers en hebben geen verstand van Macs :-)

offtopic:
Ik vind beide systemen (PC en Mac) voor- en nadelen hebben. Maar qua look zou ik toch voor een Mac gaan. Wat een geil apparaat

[Verwijderd]

Dus het s veiliger van op een systeem te werken dat niet van een monopolist komt?

[AntiChris]

[oeps]

[dimi]

OSX is gebaseerd op NET BSD, klein verschil...

[FailFr8er]

Was Secunia trouwens ook niet de firma die dacht dat Sasser maar een minor security hazzard was?
Ga ik me toch zorgen maken over de uitspraken van die lui...

[NBK]

Tis ook maar een minor security hazard. D'r is al bijna een maand een patch voor te krijgen en met een router of firewall heb je nergens last van.

[wica]

Valt mij zwaar tegen van Apple. Had toch wel verwacht dat ze er meer rekening mee zouden houden.

[zordaz]

Hoezo? Verbaast me niets hoor, Apple is net als Microsoft een commercieel bedrijf dat alles zoveel mogelijk "gesloten" houdt.