L
Loki M
unregistriert
- Dabei seit
- 07.02.2005
- Beiträge
- 3.507
- Reaktionspunkte
- 1.035
Es ist kein Bug, sondern ein Feature.
Sicherheitslücke in Mac OS X betrifft auch Apples E-Mail-Programm
tk69
Aktives Mitglied
- Dabei seit
- 05.12.2004
- Beiträge
- 2.948
- Reaktionspunkte
- 55
VXRedFR schrieb:Die Meldung nicht richtig gelesen?
Es geht doch genau darum ein SHELL-Skript und das ist der Code von heise, als beliebige Anwendung, z.B. JPG oder PDF oder was auch immer zu tarnen..
Was ich hier unter den ApfelUsern aber wirklich nicht kapiere, merkt eigentlich keiner das das KEIN MailProblem UND KEIN Safari-Problem ist?
Das liegt viel tiefer im System, denn selbst wenn ich eine Datei irgendwo herunterlade, das reicht ja wenn es ein Bild oder ein PDF ist, welches ich von mir aus 2 Wochen auf der Platte lagere, bis ich diese ausführe.
Das System an sich hat da den Bug, es sollte eigentlich unterbunden werden und das schon von Anfang an, das ICH als ersteller eines JPGs, PDFs oder was auch immer, einem ANDEREM benutzer aufzwingen kann mit welchen Programm diese Datei ausgeführt wird!
Dann wäre das Problem naemlich kein Problem, wenn dies nur lokal verwaltet werden würde, und das sollte Apple doch wohl hinbekommen
Und alle die dieses Problem verharmlosen, denke ich sind sich immer noch nicht bewusst, das sie selbst auch Opfer sein können, denn so leicht wie ihr euch das vorstellt ist sowas eben nicht zu erkennen, zumindest nicht praktikabel, weil ich nicht jedesmal erst über "Informationen anzeigen.." wissen will mit welcher App das File denn geöffnet wird oder ähnliches..
...mein Reden.... is aber unabhängig von einem Shell-Script. Man kanns doch mit jedem Symbol machen, oder nicht?
tk69
Aktives Mitglied
- Dabei seit
- 05.12.2004
- Beiträge
- 2.948
- Reaktionspunkte
- 55
juniorclub schrieb:
Das wäre dann Outlook-Niveau
Es wird ein Symbol angezeigt, kein Bild.
H
hossa
Aktives Mitglied
- Dabei seit
- 03.04.2005
- Beiträge
- 309
- Reaktionspunkte
- 0
Das "Bild" wird lediglich als Anhang angezeigt, aber nicht dargestellt. Somit kannst du schnell erkennen ob es sich um ein Bild handelt oder ein Skript. Es wird erst ausgeführt wenn dus anklickst.juniorclub schrieb:
edit: dacht schon ich wär zu langsam ;-)
Rupp
Aktives Mitglied
- Dabei seit
- 10.10.2004
- Beiträge
- 7.557
- Reaktionspunkte
- 606
das script würde nur als jpeg icon dargestellt. ein echtes bild würde eine vorschau anzeigen mit dem inhalt des bildes (irgendwie logisch).juniorclub schrieb:
bei dieser vorschau werden die bilder nicht "Geöffnet", was bedeutet das das script nicht beim öffnen der email ausgeführt wird, sondern erst beim direkten draufklicken!
T
tau
Aktives Mitglied
- Dabei seit
- 06.01.2004
- Beiträge
- 9.972
- Reaktionspunkte
- 191
Rupp
Aktives Mitglied
- Dabei seit
- 10.10.2004
- Beiträge
- 7.557
- Reaktionspunkte
- 606
rofl!! diese sicherheitsbrücke sollten sie in Mail 2 mal fix nachrüsten!tau schrieb:
B
Badener
tau schrieb:
Hmmm.... scheint, daß es unter Panther die Sicherheitslücke noch nicht gab - war Tiger ein Rückschritt?
Rupp
Aktives Mitglied
- Dabei seit
- 10.10.2004
- Beiträge
- 7.557
- Reaktionspunkte
- 606
bezogen auf den screenshot oben würde ich das eher auf Mail schieben... Mail2 unter Tiger sagt ja nichtmal bescheid... Mail1 unter Panther anscheinend ja schon... das hat im moment noch nichts mit dem system an sich zutun!Badener schrieb:Hmmm.... scheint, daß es unter Panther die Sicherheitslücke noch nicht gab - war Tiger ein Rückschritt?
Charles_Garage
Aktives Mitglied
Thread Starter
- Dabei seit
- 20.10.2004
- Beiträge
- 1.964
- Reaktionspunkte
- 19
tau schrieb:
Ja das sollte auch das normale Verhalten vom MacOS bei Ausführbaren Dateien sein. Wenn man aber in einem Shellscript das #!/bin/bash weglässt, dann erkennt Mail2 und Safari (wohl nur in Tieger) die Datei nicht mehr als ausführbar und gibt keine Warnung.
Widersinnigerweise kommt das Script trotz bzw. gerade wegen dieses Fehlers im Script aber ohne Nachfrage zur Ausführung.
Es ist also eigentlich ein echter Bug und kein Feature, dass nach hinten losgeht.
Siehe:
heise.de/newsticker/meldung/69854
Zuletzt bearbeitet von einem Moderator:
H
hossa
Aktives Mitglied
- Dabei seit
- 03.04.2005
- Beiträge
- 309
- Reaktionspunkte
- 0
Aiaiaiaiaia...wieso werden sinvolle Programmfeatures eigentlich nicht einfach bei einer neueren Version von Mail behalten....tau schrieb:
Manjo
Aktives Mitglied
- Dabei seit
- 25.07.2005
- Beiträge
- 906
- Reaktionspunkte
- 24
Ich weiss nicht, warum sich hier so viele so verrückt machen. Wer einfach wo drauf klickt, der ist wahrscheinlich so ein User, der das Terminal eh nie braucht. Daher kann man das ganz einfach abstellen:
Terminal öffnen
chmod o-x /Applications/Utilities/Terminal.app/Contents/MacOS/Terminal
Für den obigen Befehl braucht man natürlich die entsprechenden Rechte -> Root!
Und dann: User als User ohne Adminrechte. Fertig.
Und wer es doch braucht, wird soviel Intelligenz in seinem Dings haben, was man bekanntlich Hirn nennt, dass er weiss, was er tut und nicht jeden Sch... einfach anklickt!
Gruss,
Manjo.
Terminal öffnen
chmod o-x /Applications/Utilities/Terminal.app/Contents/MacOS/Terminal
Für den obigen Befehl braucht man natürlich die entsprechenden Rechte -> Root!
Und dann: User als User ohne Adminrechte. Fertig.
Und wer es doch braucht, wird soviel Intelligenz in seinem Dings haben, was man bekanntlich Hirn nennt, dass er weiss, was er tut und nicht jeden Sch... einfach anklickt!
Gruss,
Manjo.
zabhod
Aktives Mitglied
- Dabei seit
- 28.09.2005
- Beiträge
- 351
- Reaktionspunkte
- 3
Etwas merkwürdig finde ich ja, dass sich das ganze nicht auf Mail beschränkt, mit Entourage hat man exakt das gleiche Phänomen - ok, ist ja auch ein MS Produkt ....
P
performa
Mitglied
- Dabei seit
- 11.10.2005
- Beiträge
- 16.723
- Reaktionspunkte
- 255
Manjo schrieb:
Wie du vielleicht - oder vielleicht auch nicht - mitbekommen hast, ist im Standard-Zustand bei OS X (zumindest in Safari) überhaupt kein "Anklicken jeden Scheißes" notwendig.
Und wie du vielleicht - oder vielleicht auch noch nicht weißt - dürfte die Mehrzahl der Mac-User schlicht keine Ahnung vom Terminal haben, geschweige denn dieses überhaupt schon mal benutzt haben.
Manjo schrieb:
Und wie du anscheinend auch noch nicht mitbekommen hast, hat ein solches ausgeführtes Skript im Auslieferungszustand des OS auch ohne Admin-Rechte Zugriff auf die kompletten Daten (und kann diese auch löschen), die dem Nicht-Admin-User gehören...
Das "Problem" ist hochgradig problematisch, vor allem, da unter OS X im Normalfall keine Sicherheitssoftware installiert ist. Das ist keine "Verrückt-Mache", wie du es nennst.
Um es salopp zu sagen:
Nicht jeder ist so ein großer "Checker" wie du (oder die Diskutanten hier om Forum). Für diese Leute ist das eine enorme Sicherheitslücke - und ich denke, sie stellen die Mehrheit der Mac-User.
Hat nichts mit Microsoft zu tun. Ist schlicht eine Lücke in OS X...zabhod schrieb:
Zuletzt bearbeitet:
zabhod
Aktives Mitglied
- Dabei seit
- 28.09.2005
- Beiträge
- 351
- Reaktionspunkte
- 3
performa schrieb:
Zustimmend mit dem Kopf nick
performa schrieb:
Och schade, hätte man doch gleich wieder einen schönen Schuldigen gehabt
Manjo
Aktives Mitglied
- Dabei seit
- 25.07.2005
- Beiträge
- 906
- Reaktionspunkte
- 24
Wer's glaubt... Auf die eigenen Daten im Home - Ja, aber für den Rest ist das schlichtweg falsch. Wenngleich ich nicht verneinen möchte, dass man trotzdem mit 'rm -rf /*' als normaler User einen großen Schaden anrichten kann.performa schrieb:
Sicherheits-Software? Was ist das denn? Eine sichere Software? Die gibt es schlichtweg nicht. Es gibt keine Software ohne Fehler!performa schrieb:
Damit dürfte der Run der Anti-Viren-Softwareschmieden auf den Mac-Markt wohl eröffnet sein. Herzlichen Glückwunsch all denen, die Ihren Mac mit Norton und Co vom Ferrari zum Fiat Panda machen.
Die Windoof-Welt lebt seit Jahren mit diesem hochgradigen Problem, wie Du es nennst. Und wie man sieht: sie lebt immer noch und erfreut sich fast ungebremster Beliebtheit - zumindest wenn man den Verbreitungsgrad einmal ansieht. Trotz lustiger Sekretärinnen, die entgegen aller Ratschläge und Warnungen der Administratoren, täglich virenbehaftete Mails bedenkenlos öffnen...
Also: diese Lücke wird sicherlich bald einen Stopfen bekommen. So wie es auch in allen möglichen Linux-Distributionen immer wieder Löcher gibt, wo nicht gleich ein solcher Aufschrei durch die Gemeinde geht.
Demnach lehnen wir uns bequem zurück, atmen tief durch und klicken zum nächsten Beitrag
P
performa
Mitglied
- Dabei seit
- 11.10.2005
- Beiträge
- 16.723
- Reaktionspunkte
- 255
Äh... Kannst du nicht lesen?Manjo schrieb:
Ich habe oben geschrieben: "Die kompletten Daten (klammer), die dem Nicht-Admin-User gehören"
Was ist daran falsch?
Kurz: Wenn das komplette Home-Verzeichnis löschbar ist, dann dürfte für die allermeisten User höchste Alarmstufe sein.
Ums mal zu verdeutlichen: Stell dir nur mal vor, dass jemand auf macuser.de, oder einer anderen gängigen Mac-affinen Seite, einige Hyperlinks geändert werden, die ein "nettes" bestimmtes Zip-Archiv. Das Ding wird automatisch von Safari geöffnet, und "Schwups", in Nullkommanichts läuft bei dutzenden oder hunderten Usern (die ihr System mit default-Einstellungen und allen Sicherheitsupdates betreiben!) ein nettes Shell-Skript, das fröhlich den Home-Ordner löscht.
Das latestpics-Archiv wurde auch in einschlägigen Mac-Foren als "interessante Screenshots" zum Download angeboten...
Es ist auch keineswegs so, als sei noch nie ein populäres Mac-Forum gehackt worden.
Entspannt zurücklehnen?
Wir können es gern ausprobieren, und so einen Exploit mal als "Leopard-Screenshots" hier im Forum posten...*
Dass damit Virenscanner, Firewall, Intrusion Detection etc. gemeint ist, bemerkst du, dachte ich...Manjo schrieb:
Der Unterschied ist: Die meisten Windows-User haben ein mitgeliefertes Antivirus-Programm auf ihrem Rechner. Hier im Forum, und überhaupt unter Mac-Usern wird und wurde jedoch gängigerweise empfohlen: "Antivirus? Brauchst du nicht. Für den Mac gibt's keine Viren und ähnliches. OS X ist nämlich viel weniger angreifbar als Windows."Manjo schrieb:
Man könnte sagen: Windows-Systeme und deren User sind viel besser vorbereitet. Und ähnlich sieht es auch unter Linux aus. Da sind in vielen Fällen kompetente Admins für die Systeme zuständig...
*würde ich nie tun, und ich fordere dazu auch explizit niemand auf.
eMac_man
Aktives Mitglied
- Dabei seit
- 08.10.2003
- Beiträge
- 31.683
- Reaktionspunkte
- 3.760
Also ich markiere jpg-Dateien (und andere Bilddateien) nur und dann wird mir mittels "MilkyWay" eine Vorschau angezeigt. Sollte sich keine Vorschau öffnen, dann ist es auch kein Bild und fliegt in den Müll.Charles_Garage schrieb:
Gruss
der eMac_man
Zuletzt bearbeitet von einem Moderator:
Chicago Whistle
Aktives Mitglied
- Dabei seit
- 24.08.2005
- Beiträge
- 2.431
- Reaktionspunkte
- 14
Manjo schrieb:
Danke schön für den Tip! Da ich leider einer der hier detailliert beschriebenen Unkundigen bin: Gilt das nur für den Benutzer? Oder für alle Benutzer? Wie macht man das eventuell wieder rückgängig? (Ja, ich kenne nicht mal chmod.)
G
g-sus23
Aktives Mitglied
- Dabei seit
- 16.05.2005
- Beiträge
- 139
- Reaktionspunkte
- 3
man chmod *fg*
nein ernst, chmod ändert die rechte an einer Datei. Mit chmod o+x (o steht für others, also alle anderen als eigentümer und root, x für execute) machst du das Ganze wieder rückgängig. Was auch deine Frage klärt nach den Benutzern. Aaaber .... ich würde dir da zur "Verschieben" Methode raten, weil wenn du es dochmal brauchst, dann ummelden usw das ist doch stressig !
nein ernst, chmod ändert die rechte an einer Datei. Mit chmod o+x (o steht für others, also alle anderen als eigentümer und root, x für execute) machst du das Ganze wieder rückgängig. Was auch deine Frage klärt nach den Benutzern. Aaaber .... ich würde dir da zur "Verschieben" Methode raten, weil wenn du es dochmal brauchst, dann ummelden usw das ist doch stressig !