Apple schließt Sicherheitslücken in Mac OS X und Safari

Endlich hat Apple beschlossen diverse Sicherheitsrisiken in Mac OS X durch zwei Updates zu beheben. Einmal das auf Lion 10.7.4 und dann dem Sicherheitsupdate 2012-002. So war es Lion bis jetzt möglich Logs abzulegen, welche von allen seinen Nutzern die Klartext-Passwörter speichert. So wurden beim mounten eines Nutzerverzeichnissen, von einer Netzwerkfereigabe aus (AFP, SMB oder NFS), einfach ein ungesichertes Log auf der Festplatte erstellt.

Auch wer mit einem Upgrade von Lion immer noch die originale Version der File Vault Verschlüsselung benutzte, hatte dieses Problem: im HomeDirMounter befand sich noch eine fast vergessen Debug -Option. Um auch dieses zu beheben bietet Apple eine Anleitung zum Aufspüren und Löschen aller unerwünschten Log Dateien. Das alles ist notwendig, da das Update nicht selbstständig die Klartext-Passwörter vernichtet. Zudem wird im Kernel eine Lücke dicht gemacht, durch welche es Lion trotz arbeitender FileVault gelang unverschlüsselte Dateien zurück zu lassen.

Auch am LoginUIFramework wurde gearbeitet. So ist es von nun an nicht mehr möglich sich durch eine Race Condition als Gast-Nutzer unter Lion als ein anderer anzumelden, und das ohne Passwort . Das HFS-Dateisystem ist auch sicherer geworden, so kann es nicht mehr durch einen Schadcode auf einer Disk-Image infiziert werden. Auch die von verschlüsselten Verbindungen ausgehenden BEAST-Angriffen können dem Lion-System nichts mehr antun.

Leider kann sich ein Hacker bei aktiven SMB-Server weiterhin relativ einfach einschleussen, dieses Problem wurde nur in Snow Leopard geschlossen. Dafür hat Apple den Safari Browser so modifiziert, dass er sich beim Besuch schädlicher Seiten nicht mehr infiziert. Auch ein Cross-Site-Scripting Fehler wurde behoben, welch durch ein von Google veranstaltetes Hackerwettbewerb aufgeflogen ist.