Macbook mit voll gepatchtem Safari in 2 min gehackt

S

SelonScience

"Charlie Miller brauchte nicht einmal 2 Minuten, um Safari auf einem voll gepatchten Macbook zu kapern.Miller ist kein Unbekannter; der Sicherheitsexperte hatte bereits im vergangenen Jahr einen Preis davongetragen. Safari wurde von "Nils" dann auch noch ein zweites Mal übernommen."

Ebenso wurden IE8 und Firefox gehackt.

http://www.heise.de/newsticker/Pwn2own-Wettbewerb-Safari-IE8-und-Firefox-gehackt--/meldung/134822

http://cansecwest.com/

Also gibt es fur alle Arbeit ohne Ende, wirkliche Sicherheit scheint es nicht zu geben. Um Euch wieder mal in Sachen Sicherheit zu sensibilisieren.
 
Klar gibt es Sicherheit - Surfen auf nem iPhone oder einem anderen mobilen Geraet :)
 
macht sich immer gut für die schlagzeilen, wenn die nicht sagen, wie lange er gebraucht hat, um den exploit überhaupt erst zu finden ;)
 
Wenn jemand dein Passwort hat, ist er in 3 Sekunden drin. :eek:

Was war es diesmal? Flash Player?
 
  • Gefällt mir
Reaktionen: cypher_tc
Waren wieder Schnittstellen wie Javascript schuld?
 
Was lernen wir daraus?

Augen auf beim Surfen - und zwar egal, ob mit Safari, IE oder Firefox. Nicht jede Webseite ist koscher.

Wobei ich mich als böser Hacker derzeit eher noch auf den IE oder Firefox konzentrieren würde. Die Erfolgschancen sind größer.
 
Gibt’s Informationen, ob die Leute bei den jeweiligen Fällen als Admin oder User eingeloggt waren? Damit meine ich auch die Win7-Kiste / IE8, die gehackt wurde, und die Firefox-Installation. Auf der Website fand ich nur „default installation“.
 
Kein JAVA, da am ersten Tag gehackt, in 2 min.


maba_de:
""Zehn Sekunden, nachdem dieser angeklickt wurde, hatte Miller vollständige Kontrolle über den Mac, was er mit mehreren Beispielaktionen demonstrierte."

Quelle: http://winfuture.de/news,45970.html


Der angemeldete User klickt einen Link an und dadurch erhält der Angreifer vollständige Kontrolle über das System. Sicherheit ist was anderes."

User oder admin nicht relevant, da schon user rechte genuegen, um mist zu machen.

"Day 1: Default install no additional plugins. User goes to link.
Day 2: flash, java, .net, quicktime. User goes to link.
Day 3: popular apps such as acrobat reader ... User goes to link

What is owned? - code execution within context of application "

Uebringens sind Microsoft UND Adobe Sponsoren dieses Hack events ;)
Da sieht man mal, dass die an der Veroeffentlichung von Leaks interessiert sind. Apple ist weniger interessiert, die koennen es sich noch leisten.
 
Zuletzt bearbeitet von einem Moderator:
Die Tester waren wohl mit Adminrechten angemeldet. Standardinstallation eben.
 
So wie ich das mitbekommen habe war wieder physischer Zugriff und Adminrechte für Safari notwendig.

Thema hier ____________________________________ mein A**ch hier. :hehehe:
 
Und somit ist es ein Trojaner...
 
Dieses Thema betrifft euch natürlich nicht, wenn ihr an euren Macs nicht mit dem Adminaccount surft.
 
wenn standard einstellung ein admin ist, werden 90% der leute mit admin unterwegs sein. obwohl auch ohne admin account user files und vieles mehr ueberschrieben und program preferenzen/usereinstellunge veraender werden koenne, ohne das man es mitbekommt.
 
Es schützt aber vor der Kompromittierung des gesamten Systems und ist von daher auf jeden Fall empfehlenswert. :)
 
SelonScience schrieb:
wenn standard einstellung ein admin ist, werden 90% der leute mit admin unterwegs sein.
Zum Vergrößern anklicken....

Die meisten Leute machen auch kein Backup und haben dann auch irgendwann Probleme. Das ist immer so. Und ich glaube, mit Nicht-Admin-Account, Firefox + NoScript und 5 Backups auf der "sicheren" Seite zu sein.
 
Shetty schrieb:
Dieses Thema betrifft euch natürlich nicht, wenn ihr an euren Macs nicht mit dem Adminaccount surft.
Zum Vergrößern anklicken....

Doch natürlich, das ist doch eben das Ziel des ganzen.

Er bekam durch seinen exploit die Volle Kontrolle über den benutzten Mac.

Hier ist auch noch ein Interview das Einblicke zulässt:
http://blogs.zdnet.com/security/?p=2941

Ein paar Quotes:
Why Safari? Why didn’t you go after IE or Safari?

It’s really simple. Safari on the Mac is easier to exploit. The things that Windows do to make it harder (for an exploit to work), Macs don’t do. Hacking into Macs is so much easier. You don’t have to jump through hoops and deal with all the anti-exploit mitigations you’d find in Windows.

It’s more about the operating system than the (target) program. Firefox on Mac is pretty easy too. The underlying OS doesn’t have anti-exploit stuff built into it.
Zum Vergrößern anklicken....

For all the browsers on operating systems, the hardest target is Firefox on Windows. With Firefox on Mac OS X, you can do whatever you want. There’s nothing in the Mac operating system that will stop you.
Zum Vergrößern anklicken....
Man sollte aber trotzdem ruhig bleiben und nicht loslaufen und gleich ein Antivirusprogramm kaufen, denn dieses hätte in diesem Fall keinen Schutz geboten, genausowenig eine Firewall die durch Adminrechte deaktiviert werden könnte.

Man muss von Apple einfach mal fordern sich endlich um mehr Sicherheit im OS zu kümmern anstatt jedes erdenklicke Programm mit Cover Flow auszustatten. Der Marktanteil steigt und die Sicherheit ist praktisch nicht vorhanden, das wird nicht lange gut gehen.
 
  • Gefällt mir
Reaktionen: pspfreak und MU2U
Du musst dich einloggen oder registrieren, um hier zu antworten.
Zurück
Oben Unten