Onderzoeker onthult 'kritieke' fouten in Mac OS X

Afgelopen woensdag heeft securityonderzoeker Tom Ferris informatie gepubliceerd over een aantal lekken in Mac OS X. Secunia en het Franse Security Incident Response Team hebben aangegeven de gemelde lekken 'critical' en 'highly critical' te vinden. Apple heeft laten weten bezig te zijn met een onderzoek naar de impact van de fouten en het ontwikkelen van patches om de gaten te dichten. Op dit moment zijn er nog geen exploits beschikbaar voor de lekken, waardoor Mac OS X-gebruikers nog geen gevaar te duchten hebben. Vijf van de door Ferris ontdekte gaten hebben te maken met de manier waarop Apples besturingssysteem met bepaalde afbeeldingsbestandsformaten, te weten bmp, tiff en gif, omgaat. Een zesde fout is te vinden in de code die regelt hoe Mac OS X zip-bestanden uitpakt. Tot slot geeft Ferris aan lekken gevonden te hebben in Safari. Via al deze fouten is het mogelijk om kwaadaardige code uit te laten voeren op een Mac OS X-systeem. De informatie over de lekken is sinds begin dit jaar bij Apple aanwezig, maar desondanks is er pas één lek gefixt. In het verleden heeft Ferris al vaker lekken gevonden en gemeld in onder meer iTunes, QuickTime en de Firefox-browser.

Reacties (49)

[Droepy]

Hoe weten ze nou of er geen exploits zijn voor die lekken? Dat een exploit niet vindbaar is, zegt helemaal niks of er een exploit beschikbaar is voor kwaadwillenden..

[Blokker_1999]

Er zijn er nog geen bekend, betekent niet dat ze niet bestaan. Maar moesten ze gebruikt worden door laat ons zeggen een virus dan zouden beveiligingsbedrijven dit snel opmerken.

[Minos111]

Zolang er software ontwikkeld wordt zullen er ook leaks gevonden worden, mits de software door veel mensen gebruikt wordt. Ik denk ook niet dat je softwareontwikkelaars dat kwalijk kan nemen. Het beste softwarehuis is degene die het snelst reageert op lekken. Het is echter de vraag hoe snel en hoe makkelijk bekende lekken gepatcht KUNNEN worden.

[Anoniem: 172051]

Precies.
Waarom buit iemand een lek uit? Omdat hij het kan.
Wanneer wordt zo'n lek gevaarlijk? Op het moment dat exploitatie aantrekkelijk wordt.
Wanneer wordt exploitatie aantrekkelijk? Wanneer een programma populairder wordt.

Conclusie: Wanneer je programma populairder wordt, moet je je beter gaan weren tegen lekken en sneller oplossingen kunnen zoeken. Feitelijk is dit een strategische zet, die in iedere bedrijfspolicy naar voren dient te komen.

[brinkie2004]

De enige reden waarom nu ook in Linux en Mac OS X kritieke fouten boven water komen is, dat deze platformen hun weg naar de huiskamer steeds beter weten te vinden. Met alle aandacht die de laatste tijd naar deze platformen uitgaat, neem ook de populariteit toe en daarmee ook de behoefte van kwaadwillenden om deze platformen over te kunnen nemen en gebruiken voor hun doeleinden.

De beste manier om je software veilig voor aanvallen te houden is, door te zorgen dat deze uit handen van de mainstream softwaregebruikers blijft. Zodra zij het oppikken wordt je software ook interessant voor hackers.

We weten immers: Elk stuk software is veilig 'until proven otherwise'...

[90710]

Laten we dan maar hopen dat FireFox nooit mainstream wordt.

edit:
Zo heb ik nu al het FireFox-lovers team achter me aan zitten. Dat is snel.

[Anoniem: 50893]

Kom eens met cijfers dat Linux en MacOS beter hun weg naar de huiskamers vinden

Linus is nog steeds niet interessant voor een huis,tuin en keuken gebruiker aangezien je daarvoor iets teveel moet weten van de OS zelf, alleen voor de drivers etc. en voor de Mac geldt nog steeds dat deze machine wat te duur is voor de meeste huishoudens. Begrijp dan ook niet waar je je uitspraak op baseerd.

In geval van misbruik van exploits en de gaten in OS'en ga ik nu zo langzamerhand vraagtekens neerzetten bij de ontwikkeling van een nieuw OS. Het lijkt er steeds meer op dat er maar wat gedaan word, in de zin van, een applicatie werkt, een toepassing werkt, maar er word, lijkt, niet gekeken in hoeverre iets te misbruiken valt. Lijkt me dat men wel leert van het verleden. Misschien moeten ze eens wat meer tijd en research uitrekken voor hun nieuwe OS en daarom eens in het developen het hele engineering proces omgooien. Voeg pas iets toe als het betrouwbaar is, tot die tijd, laat het eruit.

Ik zou liever eens een boete systeem zien voor dit soort zaken, misschien dat dat OS developers eens aanspoort om de zaken wat serieuser te nemen dan dat men nu al doet. Alleen de consument is iedere keer de dupe, niet de OS developers, aangezien het bij geen van alle foutloos is en vrijwel dus geen marktverlies leiden, omdat ze er niet op afgerekend kunnen worden.

In het verlengde daarvan vraag ik me nu ook eens af wanneer er eens een EU initiatief word genomen om een OS te bouwen voor de toekomst, imo, nog steeds een markt waar niets mee gedaan word terwijl we genoeg knappen bollen hebben hier.

[Blokker_1999]

Linus is nog steeds niet interessant voor een huis,tuin en keuken gebruiker aangezien je daarvoor iets teveel moet weten van de OS zelf, alleen voor de drivers etc. en voor de Mac geldt nog steeds dat deze machine wat te duur is voor de meeste huishoudens. Begrijp dan ook niet waar je je uitspraak op baseerd.

Daar ga ik nu net niet mee akkoord zie. Onder een huis, tuin en keuken gebruiker versta ik iemand die af en toe eens wat opzoekt op het www, zijn mails wil nakijken en af en toe eens een babbeltje slaat via een IM programma. Deze mensen kunnen perfect over weg met Linux zonder ooit maar 1 keer in de console te hoeven komen. Het is pas als je hem echt als hobby gaat gebruiken en gespecialiseerde software nodig hebt die slechts op 1 specifiek platform draait dat je minder keuze krijgt.

En apple is ook echt zo duur niet. Je krijgt degelijke hardware, een goed OS en een knap uiterlijk voor een prijs die bij een vergelijkbare PC niet echt veel duurder is.

Wanneer je bekijkt hoeveel werk er komt bij de ontwikkeling van software en dat mensen fouten maken dan is het onmogelijk om bugs uit te sluiten, dan mag je nog zoveel kwaliteitscontrole inbouwen als je zelf wel.

Enkele cijfers die ik ooit gelezen heb:

- Standaard software bevat 10 fouten per 1000 regels programma code
- kritieke software bevat 5 fouten per 1000 regels
- het OS van de space shuttle bevat 1 fout per 1000 regels.

Windows Vista heeft zo'n 50 miljoen regels code (volgens 1 van de developers) reken maar eens uit hoeveel fouten er in die code zit. Niet elke fout is een bug of kan uitgebuit worden. Maar een OS zonder fouten bestaat niet en zal ook nooit bestaan.

[i-chat]

In geval van misbruik van exploits en de gaten in OS'en ga ik nu zo langzamerhand vraagtekens neerzetten bij de ontwikkeling van een nieuw OS, Het lijkt er steeds meer op dat er maar wat gedaan word,

bedoel dit niet als flame ofzo,
maar is "OS'en" een nederlands woord?
moet dat niet gewoon "besturings systemen" zijn????

kun je na gaan hoe lastig 't dan is een kleine 10.mijoen regels tekst (programma code) goed en doordacht te houden, als 't jouw al met een +/- 25 regels al moeilijk af gaat.

Men doet echt niet zo maar wat, men maakt werkende code, vaak binne een deadline die af en toe behoorlijk gespannen wordt door de heren managers...

er is al eens gezegt "het beste software huis, is diegene die het snelst en effectiefste reageerd op door 'users' ontdekte lekken en zwakheden" en daar sluit ik me dan ook voor de volle honderd procent bij aan.....

[DJ Henk]

moet dat niet gewoon "besturings systemen" zijn????

Dan toch op zijn minst "besturingssystemen".

[Anoniem: 35717]

Tja, in ieder geval zijn er nog geen exploits voor.
Bij microsoft moet je altijd eerst wachten totdat men exploits voor de gaten heeft voordat microsoft ze dicht.
Voorbeeld hiervan is de RPC bug waarvan microsoft al 3 jaar wist dat ie in Windows NT 4.0 zat.
En ook in Windows 2000 en XP bleek te zitten.
Pas drie jaar na de ontdekking kwam er een exploit voor die redelijk wat computers plat heeft gelegedt.
En vervolgens duurde het nog meer dan drie maanden daarna voordat microsoft een werkende patch had (na eerst een niet werkende patch uitgebracht te hebben).

[Anoniem: 99613]

Er zitten nog geen exploits in ? Welk bewijs heb je daar dan voor.. Wat de mens niet weet...

[MacWolf]

Tja... als je dit verhaal zo leest is het desondanks slechte reclame. Immers: in dit geval zijn de problemen dus al redelijk lang bekend bij Apple en er zijn (op 1 uitzondering na) geen acties ondernomen. Ook lijkt mij dat de betreffende fouten ook niet al te moeilijk zijn te repareren.

Ik hoop dat Apple snel met een patch komt voor alle genoemde fouten, hoewel ik niet verwacht dat Apple de komende tijd een gewild platform zal worden voor virusschrijvers.

[Anoniem: 27648]

Het valt me de laatste tijd op dat men er steeds meer moeite voor doet om negatief nieuws te brengen over Apple. Ook vind ik het apart dat er zo overdreven met aantallen word gegooid...

Kan natuurlijk aan mij liggen maar ik vind het gewoon opvallend dat ze steeds meer onder vuur liggen. Ik ga er van uit dat dit ook door de groeiende populariteit komt...

[HyperMan]

Ik vind dit eerder illustratief voor het feit dat er in Mac OS X ook fouten zitten, net zoals die er in Windows te vinden zijn

[Carbon]

Ik vind dit eerder illustratief voor het feit dat er in Mac OS X ook fouten zitten

En dat is nieuws?
MacOSX is software, natuurlijk zitten daar fouten!

Het is pas nieuws als iemand er in slaagt om een dergelijk exploit te benutten.

[J.J.J. Bokma]

Ben jij getrouwd met je OS? Waarom nemen mensen hun OS zo persoonlijk? Het is echt geen verlengstuk van je je weetwel.

[Maxxi]

Je OS is wel zo ongeveer "Je PC".

[weebl]

Van windows zijn we deze aantallen wel gewend tegenwoordig (dinsdag, patchdag).

En nu Apple steeds meer pc's gaat verkopen, en dus meer mensen OS X gaan gebruiken is dit toch best groot nieuws. En negatief nieuws is ook nieuws...

Helemaal als er bugs als 'highly-critical' beschouwd worden.

En trouwens staat OS X als zeer veilig te boek. Althans, er zijn nog maar weinig veiligheidslekken voor gevonden.

Dus dat Apple telkens negatief in het nieuws komt zal vast wel een keer een reden hebben. Meer mensen gebruiken hun producten, dus de kans dat er fouten aan het licht komen is ook groter dan vroeger.

En er wordt zowat wekelijks negatief over MS geschreven, dus het kan altijd 'erger'...

[Anoniem: 53795]

Onderzoeker onthult 'kritieke' fouten in Mac OS X

Ik kan me vergissen natuurlijk, maar hoe komt het dat Microsoft bugs altijd kritiek zijn, terwijl Mac OS X bugs 'kritiek' zijn ?

[Anoniem: 80466]

Bij Apple is de styling belangrijk

[blender]

Als Microsoft zelf aangeeft dat ze kritiek zijn is het zonder quotes. In dit geval heeft een derde partij, niet Apple zelf, deze kwetsbaarheden als kritiek bestempeld, vandaar de quotes.
Hetzelfde gebeurt trouwens wanneer een derde partij 'kritieke' kwetsbaarheden voor Windows bekend maakt, die staan (of horen te staan) tussen quotes.

[Sebast1aan]

Omdat er geen enkele informatie is vrij gegeven waaruit blijkt dat de lekken ook daadwerkelijk kritiek zijn. Het enige wat we hebben is zijn personen die dat claimen, maar direct bewijs is er niet.

In principe zouden er zelfs helemaal geen lekken kunnen zijn. Maar we mogen wel aannemen dat Tom Ferris niet volledig uit zijn nek loopt te l*llen, want anders gooit hij zijn reputatie te grabbel. Wat wel aannemelijk is dat hij het of heeft aangedikt of het tegenovergestelde, afhankelijk van zijn agenda.

[Anoniem: 155220]

Zon gast zoeken ze bij microsoft nog

[Abom]

Wat is een zon gast?

[Carbon]

Wat is een zon gast?

Dit is een zon gast.

[brehloi]

Eentje die de problemen van de concurrent kan aantonen en die concurrent daarmee negatieve publiciteit bezorgd.

[TheZeroorez]

Is dat met die plaatjes net zoiets als waar Windows eerst last van had?

[Proxy]

Bij Windows was het een GDI-bug wat voor een buffer overflow kon zorgen. Bij dit TIFF-probleem onder MacOS gaat het om:

Apple OS X 10.4.5 .tiff "LZWDecodeVector ()" Heap Overflow

[dtech]

Volgens mij is een buffer opgedeeld in een heap en een stack, een heap-overflow is dus ook een bufferoverflow, zeker weten doe ik het niet, ben geen hoe-worden-instructies-uitgevoerd-door-de-processor expert.

[brompot758]

Een buffer kan op de heap staan of op de stack. Een buffer op de stack is potentieel veel gevaarlijker omdat bij het corrumperen van de stack de uit te voeren code makkelijk beinvloed kan worden.

Als een buffer op de heap staat dan hoeft een buffer overflow nog geen heap overflow te zijn, een buffer kan in de volgnde buffer op de heap schrijven. Pas als de buffer overflow resulteert in een adres buiten de heap heb je een heap overflow.

[Tha_Butcha]

k hoop dat mensen nu gaan nadenken voordat ze windows gaan bashen.

hoe vaak moet dat nou nog worden uitgelegd? De reden dat de security van windows by default gewoon zuigt. Out-of-the-box administrator rights is per definitie rot.

[108886]

is dat niet ergens logisch? als je winxp koopt dat je er dan alles mee kan/mag doen?

supertof! je installeert windowsXP of je kooppt een nieuwe PC, mag je niks installeren, of om de 5 botten moet ge een paswoord invoeren of afmelden...

[maxxware]

Het probleem is dat 'Out-of-the-box administrator rights' perfect werkt, zolang je alle software op de wereld kunt vertrouwen. 'Out-of-the-box administrator rights' op een systeem waarvoor meer malware dan 'goodware' bestaat, is zoiets als een kind van 2 een doorgeladen pistool geven waar geen veiligheidspal op zit...

[Pruttelpot]

Dat is juist het grote probleem. Elk process word in windows standaard als administrator gerunt, ook internet explorer bv, dus zodra in een willekeurig programma een lek zit waardoor iemand code kan uitvoeren is hij per direct admin en kan dus alles doen en laten wat hij/zij wilt.

In een willekeurig nix variant is dat anders, ook onder macosx, ook onder linux/bsd/unix. Elk process loopt als of een eigen gebruiker (bijvoorbeeld een deamon account, www account, ftp acount) en mocht je admin rechten nodig hebben gebruik je gewoon het commando su ofzo wat je tijdelijk admin maakt. Kortom, mocht er in een willekeurig programma in een bsd/linux/unixx variant een lek zitten waardoor code uitgevoerd kan worden, dan is deze zo goed als nooit admin en dus is het al een stuk veiliger.

[Anoniem: 159944]

(...)kwaadaardige code uit te laten voeren(...)

Is altijd hét probleem bij browsers als ik de artikels lees

Nuja, ik vertrouw op Apple, ze zullen wel hun best doen, zoals altijd als het opveiligheid aankomt.

[Anoniem: 143754]

toch hebben mac os x én linux een groot voordeel tov windows: ze kunnen worden verbeterd door open-source programmeurs (het opendarwin project van mac os x) en dat voordeel heeft windows niet en zal ze ook wel nooit krijgen.

verder denk ik dat het nog wel even duurt voordat er zo veel malfide software voor mac en linux is dan er nu is voor windows....

[The - DDD]

Ja en nee...

Want open source programmeurs zijn net zulke prutsers als jij en ik. Wat ik hiermee wil zeggen is dat er maar weinig echt goede ontwikkelaars zijn en dat daar weer een deel open source programmatuur ontwikkeld.

Dat de code open toegankelijk is impliceerd niets over de kwaliteit. Zie bijvoorbeeld deze tomcat bash: BileBlog over Tomcat

Trek bijna iedere willekeurige open source repository maar is open en er zitten echt zat juweeltjes van onkunde tussen die zo op "the daily WTF" kunnen. Stomme is alleen als je een wat ouder project van jezelf open trekt dat je dan vaak ook jezelf zit te verbazen over je eigen stommiteiten.

offtopic:
Wel geweldig hoe een topic over lekken in OSX toch weer uitkomt op Linux(/opensource) vs. Windows.

Zolang OSX niet gebashed wordt, vind ik het best. Heb trouwens deze issues is wat beter bekeken, ja er is een risico dat er code gedraaid kan worden. Nee er is geen root escalatie, maar ja als je al code kan draaien, dan zal dat ook niet al te lastig moeten zijn.