Sicherheitslücke in Mac OS X betrifft auch Apples E-Mail-Programm

[Charles_Garage]

Hinter einer jpg-Datei kann sich ein Shell-Script verbergen, dass böse Dinge tut.
Mit nur einem Klick kann es zur Ausführung gebracht werden.

Das heißt: kein Vertrauen mehr in Dateien, deren Versand nicht abgesprochen war.

Solche Dateien nicht mehr mit einem Klick öffnen sindern besser mit Kontextmenü -> öffnen mit und dann Vorschau e.t.c auswählen. Damit sollte man sicher sein. (Denke ich)


heise.de/security
Eine harmlose Demo gibts hier:

heise.de/security/dienste

Edit: Und es ist noch ein Argument mehr nicht mit dem Admin-Konto herumzusurfen.

 

[wegus]

schade das uns MAC OS User jetzt die gleiche Paranoia erreicht wie Windows-User

Da werden wohl in Bälde einige Security-Fixes auf uns zukommen...
Neben dem Hinweis mit dem Kontextmenü, ist es gerade hier auch wichtig NICHT als adminuser zu arbeiten. Adminuser und root dürfen Einiges mehr im Terminal. Der Schutz ist zwar gering, aber besser als nichts! Also nicht mehr als Adminuser surfen/mails lesen und nicht mehr alles glauben ( ein Bild muß kein Bild sein).

 

[Scribble]

Diese Lücke betrifft auch den Standarduser, der mit Mail 2 unter Tiger arbeitet.

 

[acid]

Naja, wenigstens führt sich das Teil noch nicht automatisch aus wie bestimmte Outlook-Viren. Wenns denn mal soweit ist hilft nix mehr: Dann muss Thunderbird ran. Schade drum, dabei mochte ich Mail eigentlich ganz gerne

 

[Chicago Whistle]

Ich habe bei Heise nichts dazu gefunden, sicher das Panther nicht betroffen wäre?

 

[Ghettomaster]

Um diesen "Virus" auszuführen, muß man auch als admin sein kennwort eingeben, also ein typisches PEBKAC Problem.

CU
Ghettomaster

 

[Badener]

Diese Lücke betrifft auch den Standarduser, der mit Mail 2 unter Tiger arbeitet.

Stimmt - bin als Standarduser angemeldet und das Skript lies sich mit einem einfachen Klick im Mail problemlos ausführen.
Mail2 unter Tiger (10.4.5)

 

[acid]

Häh? Nein muss man nicht! Hab mir vorhin die Testmail von Heise schicken lassen. Doppelklick auf den Anhang genügt, um einen Terminalprozesso zu starten, der wer weiss was anrichten KÖNNTE.

 

[Scribble]

Um diesen "Virus" auszuführen, muß man auch als admin sein kennwort eingeben, also ein typisches PEBKAC Problem.

Also, mein Standard-User muss kein Kennwort eingeben. Terminal öffnet sich mit der Nachricht: »heise Security: Sie sind verwundbar. logout«

 

[Badener]

Um diesen "Virus" auszuführen, muß man auch als admin sein kennwort eingeben, also ein typisches PEBKAC Problem.

CU
Ghettomaster

Mußte ich nicht.... Hast Du es überhaupt ausprobiert?

 

[Björni]

Bin auch als Standarduser angemeldet und musste kein Kennwort angeben!

 

[Charles_Garage]

Um diesen "Virus" auszuführen, muß man auch als admin sein kennwort eingeben, also ein typisches PEBKAC Problem.

CU
Ghettomaster

Nein, man muss auf die Bilddatei doppelt klicken um das Shellscript auszuführen. (Hab es gerade ausprobiert siehe:

heise.de/security/dienste

Das Shellscript kann alles machen was auch der Benutzer machen kann, besonders Fatal ist das, wenn der Benutzer Administrationsrechte hat. Aber auch bei einem einfachen Nutzer können zum Beispiel Dateien gelöscht oder Programme geladen und gestartet werden.

 

[wegus]

Diese Lücke betrifft auch den Standarduser, der mit Mail 2 unter Tiger arbeitet.

schon klar! Aber ein Standarduser darf längst nicht so viele Terminalbefehle ausführen! Allein da greift schonmal ein Sicherheitsaspekt. Auch darf ein Standarduser wesentlich weniger Dateien verändern, daß ist der nächste Schutz!

Letztlich sitzt das Problem vor der Tastatur, aber nachdem man jahrelang ungestraft JPGs anclicken durfte, wird das wohl schwer abzutrainieren sein!

 

[Ghettomaster]

Hmm, hatte das so im Gedächtnis das man das Kennwort eingeben muß... aber nun gut, ich komm eh aus der Windows Welt, also völlig egal welches OS drunter läuft, was ich nicht kenne, klick ich nicht an

Außerdem: "Das kostenlose E-Mail-Programm Thunderbird fällt nicht auf den Angriff herein, da es AppleDouble nicht auswertet." Also, no risk for me.

CU
Ghettomaster

 

[Loki M]

Klar läuft das Script auch so. Allerdings mit den Rechten des Standardusers

 

[BalkonSurfer]

Ich versteh nicht, warum jetzt alle rumheulen. Das war schon immer möglich, dem Rechner Kommandos zu geben, die er dann ausführt.
Es gibt genug Leute, denen reicht es ein Applescript zu schicken, dass auch Sachen löscht - das nennt man dann nur "Leopard-Bilder" und die klicken dann auch drauf...

 

[Shetty]

Ja natürlich geht das auch beim Standarduser, aber der hat nicht solche umfassenden Rechte wie der Admin-User... obwohl ich mir nicht sicher bin ob das Terminal zwischen Admin und Standard unterscheidet, wenn man nicht als root eingeloggt ist.
So oder so isses wurscht, ob man als Admin oder Standarduser arbeitet. Jeder User hat das Recht, seine eigenen Dateien zu löschen, und die sind ja wohl am wichtigsten.
BTW: Terminal aus /Programme/Dienstprogramme in ein anderes Verzeichnis zu schieben soll laut 'ct helfen.

 

[Charles_Garage]

Man kann diese Dateien daran erkennen, dass Mail sie nicht als Bild sondern nur das Dateisymbol zeigt.

Allerdings müsste sich hinter jeder beliebigen Dateiendung ein Shell-Script verbergen lassen. Es betrifft also sämtliche Dateien, die aus nicht vertrauenswürdiger Quelle stammen.

 

[muellermanfred]

mmmh...

Moin.

Was mich ein wenig verstimmt, ist, dass ich ausser der eigenen Intelligenz wenig Hilfsmittel habe, um das abzustellen. Das Script wird selbst dann ausgeführt, wenn ich meinen Standardaccount in einen verwalteten Account ändere und die verwendung des Terminals untersage - DAS ist ärgerlich!

Manfred

 

[Shetty]

Wie gesagt, Terminal verschieben, und das Skript hat keinen Plan mehr was es machen soll.