Mac OS X patch: 25 veiligheidsbugs verholpen

Nadat vorige maand al 45 veiligheidsbugs werden verholpen in een megapatch, heeft Apple ook deze maand weer een update uitgebracht die flink wat veiligheidsfouten moet verhelpen. Het aantal is met 25 veiligheidsproblemen wel iets lager.

De veiligheidsfouten in het besturingssysteem Mac OS X hebben betrekking op allerlei onderdelen van het besturingssysteem. Onder andere AFP Client, AirPort, CarbonCore, de FTP-daemon, help viewer, Installer en het login venster bevatten veiligheidsproblemen die door deze patch worden opgelost. De problemen die door de veiligheidsfouten worden veroorzaakt variëren van denial-of-service aanvallen tot het krijgen van volledige toegang tot het systeem door onbevoegde personen. Ook kunnen applicaties crashen door de bugs en maken enkele fouten het mogelijk dat een kwaadwillend persoon programmacode kan uitvoeren op een ongepatcht systeem. Een van de fouten zorgt ervoor dat het mogelijk is om toch zonder wachtwoord toegang te krijgen tot een systeem in slaapstand, terwijl een wachtwoord noodzakelijk is om het systeem uit slaapstand te halen. Problemen in de Apple Installer maken het mogelijk dat speciaal aangepaste installatiepakketten kwaadaardige code kunnen uitvoeren.

Vorige maand bracht Apple ook al een patch uit voor Mac OS X die een vrij groot aantal veiligheidsgaten verhielp. Toen werden 45 veiligheidsbugs in het besturingssysteem opgelost. Een groot deel van de fouten die door die patch werden verholpen waren in januari ontdekt tijdens de Month of Apple Bugs die door enkele veiligheidsonderzoekers werd gehouden. Ook de nieuwe patch verhelpt nog drie fouten die tijdens die bugjacht zijn ontdekt. Dit jaar heeft Apple elke maand een reeks veiligheidsfouten verholpen. Ter vergelijking, in de eerste vier maanden van 2006 zijn er slechts twee veiligheidsproblemen gepatcht. In tegenstelling tot Microsoft heeft Apple geen vaste patchdata. Voor zover bekend zijn er nog geen exploits beschikbaar voor de bugs die in de laatste patch zijn verholpen. De meeste OS X-gebruikers hebben de patch inmiddels ontvangen via de automatische update-service van het besturingssysteem. Wie dat nog niet gedaan heeft kan in deze meukpost directe downloadlinks vinden.

Reacties (43)

Over dat 'OS X al dan niet veiliger dan Windows': hoeveel lekken (dus géén exploits) er gedicht zijn zegt niets over hoe goed of slecht het OS is. En ja, mensen die iets dergelijks roepen als er patches voor Windows uitkomen zijn net zo goed onzin aan het verkopen.

Gerelateerd hieraan: Er loopt momenteel een wedstrijd waarin 10.000 dollar wordt uitgeloofd voor iemand die een vers geïnstalleerde, up to date MacBook Pro die direct aan het internet hangt kan kraken. Zie http://news.com.com/8301-10784_3-9710845-7.html De Macs hebben het al een dag volgehouden.

Tot slot is het momenteel gewoon een feit dat OS X veiliger is als Windows. Ik ga niet discussiëren over hoe dit komt (marktaandeel of technologie) en ik ga niet discussiëren over of dat OS X beter maakt of niet. Maar ik wordt een beetje moe dat bij iedere patch van Apple geroepen wordt 'Ha, OS X is dus ook onveilig'. Dus nu niet meer doen he

Een bewezen feit is dat alles te kraken is en dat vrijwel alles wat met software te maken heeft "gaten" heeft.

En wat was er nu eerder, de kip of het ei OS X is gewoon dus ook onveilig, mag toch gezegd worden ? Of roer je net zo als het visa versa is ? Het gaat er meer om dat mensen juist meer gemod moeten worden met zulke uitspraken, want het nieuws item gaat over alleen Apple en vaak visa versa. Er is nooit een zinvolle discussie te voeren wat nu beter is, smaak verschilt ook.

Maar als velen zich kinderachtig gedragen om het bekende vingertje wijzen kan je ook die reply's overslaan inplaats van erop te reageren, leest een stuk makkelijker

En wat was er nu eerder, de kip of het ei OS X is gewoon dus ook onveilig, mag toch gezegd worden ?

Dat mag van mij gezegd worden, echter moet je me dan wel vertellen welk (consumenten) besturingssysteem dan wel veiliger is dan OSX. Want anders kan je nog steeds zeggen dat OSX het veiligste is.

Heb er denk ik 1 voor je gevonden. OpenBSD. 2 remote exploit mogelijkheden gevonden in 10 jaar tijd

nieuws: Tweede remote exploit voor OpenBSD in 10 jaar

@Bubbles:
Moest je die nog helemaal zoeken dan?

Heb er denk ik 1 voor je gevonden. OpenBSD.

Je kunt OpenBSD niet bepaald een consumenten OS noemen. PC of Desktop BSD misschien, maar die zijn op FreeBSD gebaseerd.

Dat van die mac aan het internet zegt eigenlijk niets Het probleem is namelijk dat het overgrote deel van de met internet verbonden computers NIET volledig gepatched is Deze test is dus meer een speurtocht naar nieuwe bugs dan een reële veillgheidstest Een betere test zou zijn om een verse mac dlrect uit de winkel te testen Helaas staat dan de uitkomst bij voorbaat vast Binnen een paar minuten gehacked Hetzelfde geldt natuurlijk voor windows en Linux, maar dit worst case scenario is een stuk waarschijnlijker dan het best case scenario wat daar getest wordt

Alle software bevat kleine of grote lekken. Zolang er geen exploits zijn is dat geen reden tot zorg

Het aantal exploits voor OS X is velen malen lager dan voor XP, dus is het voorlopig een veiliger systeem. Totdat de intresses verschuiven, maar dat is al zo vaak gezegd.

Elk veiligheidsgat is exploiteerbaar. Soms is het simpel, soms is het een stuk lastiger, maar als er een gat is, dan kan het misbruikt worden.

Enkel het feit dat er nu nog geen exploit is of zelfs dat er nooit een exploit komt veranderd daar niets aan. Het is mooi dat een veiligheidslek is verholpen voordat het misbruikt wordt, meer niet.

Misschien is het zelfs zo dat als er een bekend veiligheidslek is wat structureel niet wordt opgelost maar toch niet misbruikt wordt, dat je dan kan concluderen dat er blijkbaar nog vele andere, eenvoudiger te misbruiken, gaten in de beveiliging zitten. Ik zou me dus alleen maar meer zorgen maken als bekende problemen niet worden misbruikt.

Of het is juist niet veiliger. Als minder mensen het gebruiken en iemand máákt een exploit, dan zullen er ook minder mensen last van krijgen waardoor zo'n exploit minder snel door de ontwikkelaars opgemerkt wordt waardoor de 'besmette' mensen wellicht langer met de mogelijkheid tot datacorruptie of ergere dingen zit.

Het aantal exploits voor OS X is velen malen lager dan voor XP

Ze hebben juist 25 exploits moeten dichten en jij durft nog te roepen dat je veiliger bent met je mac
De meeste mac gebruikers moeten echt eens wakker worden en gaan inzien dat het even onveilig is als windows.

"even onveilig is als windows"

?!

Hoeveel OS X based bot-netwerken zijn er dan?
Hoeveel met een virus geïnfecteerde OS X Macs?
Hoeveel OS X Macs met spyware?

Nul, nul en nul?

Bekende Windows virussen in het wild? 114.000 verschillende? Bekende OS X-virusssen in het wild? Weer nul?

Een 'out of the box' Windows machine werd tot voor kort gemiddeld binnen 45 minuten geïnfecteerd na aansluiting op het internet. Laatste bericht (onder XP) was dat dat gezakt was naar 25 minuten. Vista heeft de situatie verbeterd, maar is zo irritant met z'n meldingen, dat veel gebruikers de helft van de beveiliging uitzetten. En dan zijn we weer terug bij af...

En zeg nou niet dat het komt doordat het relatief lage aantal Macs het ontwikkelen van een succesvol virus oninteressant maakt. Het eerste geslaagde OS X virus 'in the wild' zal daardoor juist veel media-aandacht opleveren. Zou juist een uitdaging moeten zijn! En toch blijft het bij een enkel 'proof of concept'. Zie de armzalige oogst van de MOAB.

Absoluut geen reden om lui achterover te leunen (en dat doet Apple gelukkig ook niet), maar "even onveilig is als windows"?! Dacht het niet.

Maar jij vergeet dan dat het de schrijvers niet meer om de eer gaat maar om het geld. En dan is het net als reclamemakers: een zo groot mogelijke doelgroep treffen is commercieel aantrekkelijker.

ummm nee hoor zie deze post van 2 dgn geleden over Valve, en lees vooral de comments even door:

nieuws: Opnieuw inbraak bij Valve - Update

K zou trouwens niet weten wat je kan verdienen met een virus (behalve dan degenen die cc/password gegevens etc doorsturen, maar dr zijn er nog zat die alleen de boel slopen)

Veiligheid baseer je niet op het aantal virusen/spyware e.d.
Veiligheid baseer je op het aantal leaks en bugs, die mogelijk ge-exploit kunnen worden.

Oke. Microsoft heeft minder bugs/leaks. 7 ongeveer, Windows Vista

JIJ basseert het daarop..

Over het algemeen is het natuurlijk van vele factoren afhankelijk. Daarbij is het aantal lekken/bugs van het OS er 1.. maar als niemand er misbruik van maakt, zie je dat niemand problemen of last van de bugs heeft.

Tuurijk, ook OSX heeft bugs en gaten, maar het feit is en blijft dat deze nauwelijks misbruikt worden. Daarom is op dit moment OSX veiliger als je kijkt naar het aantal computers dat geexploiteert wordt.

Vista heeft de situatie verbeterd, maar is zo irritant met z'n meldingen, dat veel gebruikers de helft van de beveiliging uitzetten. En dan zijn we weer terug bij af...

Na mijn mening is dit ook een beetje de verantwoordelijkheid van de gebruiker. Voor een auto heb je ook een rijbewijs nodig en moet je de verkeersregels weten, ook al zou je de auto zonder rijbewijs perfect kunnen besturen.

als je met minder mensen zoekt, zal je ook minder vinden.

Op het gebied van virussen en spyware geldt dat nog steeds hoor.

Ze hebben juist 25 exploits moeten dichten en jij durft nog te roepen dat je veiliger bent met je mac

Noem eens 1 exploit, zou ik zeggen. Ik durf trouwens best te roepen dat ik veiliger ben op mn mac, geen virussen en geen spyware. Voorlopig dan, want het is natuurlijk niet zo dat OS X onfeilbaar is. Maar vooralsnog heeft geen 1 van de 25 miljoen OS X gebruikers een virus, worm of spyware geschreven.

Exploits, dat zijn dus hacks die gebruik maken van de bugs. Zie ook de volgende quote uit het artikel.

Voor zover bekend zijn er nog geen exploits beschikbaar voor de bugs die in de laatste patch zijn verholpen.

Het punt over 'grotere user-base van Windows' is met geen mogelijkheid te falsificeren, gelijk Popper al zo'n 100 jaar geleden meldde. Next argument, please.

Waar heb jij het nou weer over?

Grappig dat mensen puur op het aantal gedichte lekken kan bepalen hoe veilig een OS, terwijl je nul komma nul weet over de ernst van de lekken, hoe makkelijk er exploits voor te maken zijn en hoeveel lekken er nog niet gedicht zijn.

Naar mijn mening is de beste manier om de 'veiligheid' van een OS te meten toch echt te kijken wat de kans is dat je gehackt wordt of met een virus besmet wordt als je met een bepaald OS werkt. En of je het nou leuk vindt of niet: Windows steekt wat dat betreft nog altijd met kop en schouders boven de rest uit. En of dit nou komt omdat Windows inherent onveiliger is dan Mac OS X, of omdat Mac OS X minder gebruikers heeft, doet er volslagen niet toe.

Windows, MAC of linux,

Mensen doen net of die drie hetzelfde zijn?

het marktaandeel, de userbase, de mate van eenvoud tot het programmeren van nieuwe features etc. bepalen het grote verschil.

De meeste veiligheidslekken in Windows, komen door de functionaliteiten die erin zitten.
Voor veel gebruikers zijn die functionaliteiten een extraatje.
Zo kon je vroeger vanuit IE allerlei programma's openen en kon je dus met een simpele 'intranet' pagina een soort aangepaste werkomgeving creeeren.
Je kon zelf allerlei waardes meegeven om bijvoorbeeld CMD te voorzien van extra parameters.
Totdat er mensen zijn die 'foute' code op hun website zetten die er andere bedoelingen mee hadden.
Nu kun je nog steeds eenzelfde trucje doen met een .BAT bestand of andere bestandjes, maar ook dat wordt nu beschouwd als onveilig. En daarbij zien die zwart/witte batchbestanden er niet zo gelikt uit.

Dus eigenlijk is MAC veiliger, door het grote gebrek aan features!

Op de I-Mac, kon je niet eens je rechtermuisknop gebruiken? Dat is toch gewoon een gemis. (waarschijnlijk om één of ander patent)
En tevens een reden dat je minder kan 'verklooien'.

De rechtermuisknop is onder Mac OS beschikbaar door links te klikken terwijl je de ctrl toets ingedrukt houdt

Zou voor sommige mensen een uitkomst zijn trouwens, zo'n 1-knops muis.

En dan nog je verhaal over features...
Wil ik antwoord van jou op mijn volgende vraag:
Hoe vaak heb jij met Mac OS X gewerkt?

Als je dat namelijk gedaan had, dan zou je zien dat Mac OS X meer features heeft dan windows.
Zo zie ik Expose niet in windows om maar een voorbeeld te noemen.

En ja, ik ben mac user.
En ik werk onder een user account, niet onder een admin account.
Als ik iets ingrijpends wil wijzigen moet ik een admin pass geven.
Dat scheelt ook een heel stuk, daar het grootste deel van de windows thuisgebruikers gewoon onder een admin account werkt. (en er mensen zijn die alles binnenhalen wat er binnen te halen valt)

Jep, of sudo... Iets wat Windows niet heeft. Windows heeft sinds 2000 veel toestemmingsparameters, jammer alleen dat het door het "ik ben de gebruiker en beheerder" concept nooit goed heeft gewerkt.
Ik snap ook werkelijk niet waarom Microsoft geen sudo in Windows Vista heeft gestopt. Ben je gelijk van problemen met lastige programma's af. Je programma werkt met sudo namelijk gewoon onder je EIGEN profiel/gebruikersomgeving ipv de beheerdersaccount...
*nix systemen zijn met een simpeler beveiligingsmodel veiliger!

Inderdaad. Ik kreeg net ook twee security updates bij Linux binnen. De eerste voor "man" zorgde ervoor dat je root kon worden als je al op het systeem kon inloggen met een normale gebruikersaccount. De andere werkte alleen als je een grafische sessie hebt, dus geld niet voor servers.

Het aantal gevonden fouten zegt weinig. Wat meer zegt zijn het aantal dat remote exploitable is, en wat je er dan mee kunt. Ook iedere een "crash" is potentieel een veiligheidslek (je zit dan dicht in de buurt van een fout in het programma). Of je deze fout ook kan uitbuiten is de vraag. Dit soort "lekken" kunnen ook in een mega security patches al gedicht worden.

Nog even en dan begint Mac OS X ook op Windows XP te lijken.. met zoveel updates

Beter zoveel updates dan dat er fouten blijven zitten.

Helemaal een eerlijke vergelijking is het niet.. Want bijvoorbeeld de patch voor fstpd (en ook bv. fetchmail) word hier meegeteld, maar patches voor de Internet Information Services (waar MS ftp-daemon in zit) worden (zo ver ik weet) niet bij de windows pachtes geteld.

Wel een eerlijke vergelijking, moet je kijken hoeveel filmpjes Apple heeft gemaakt waarin ze de beveiliging van Windows afkraken: http://www.youtube.com/re...pple+vs+mac&search=Search
If you can't handle the heat, stay out of the kitchen.

Incorrect. Apple integreert bijvoorbeeld Apache webserver in OSX, maar dat wil niet zeggen dat Apple verantwoordelijk is voor bugs in Apache. Apple is immers niet de ontwikkelaar van Apache. Bij MS FTP ligt dat anders. MS ontwikkelt dat zelf en is dus ook direct verantwoordelijk voor fouten in MS FTP.

Een echte eerlijke vergelijking om aan te geven wie software met de minste fouten op de markt zet zou zijn om het aantal bugs per x-aantal regels code te gaan vergelijken in eigen software.

Dat is natuurlijk een logisch gevolg als een bestuurings systeem populair word. Ben wel benieuwd hoe het zich gaat houden. kwa basis is het beter (bsd) maar als het een intersant target word voor spyware schrijvers dan zullen er toch echt ook exploits in zitten die bruikbaar zijn.

Nog even ? je bedoelt zeker nog 5 min.

Zo zie je maar. Geen enkel OS is perfect.

"Bugs" gewoon een patch die een aantal compenenten wat lekkerder laat lopen, ik zou niet zeggen dat er nu 45 exploiteerbare bugs zijn gedicht, en die apple bug of teh months was i grote grap qua watvoor "bugs" daar wel niet allemaal langs kwamen.

OSX zou misschien veiliger kunnen zijn dan Windows.
Die discussie heeft ook niet echt zin.

Wat wel zo is en dat zal niemand kunnen ontkennen is dat er voor Windows slecht een enkele patch komt.
Dit terwijl er genoeg exploits zijn die niet opgelost worden.

Apple doet het goed vorige maand 45 problemen opgelost en deze maand wederom 25.

Het geen mij toch enigzinds doet vermoeden dat Apple iets meer zijn best doet om exploits te dichten.

Je mag proberen om er een te hacken... :

http://news.com.com/8301-...10845-7.html?tag=nefd.aof