Updatefunktion von MacOS X unsicher
Benutzer von Mac-OS X haben nach Erkenntnissen des CERT eine Sicherheitslücke im System. Via DNS-Spoofing oder vergleichbarer Techniken lässt sich die "SoftwareUpdate"-Funktion des Betriebssystems zu einem Angriff ausnutzen, berichten die Sicherheitsexperten.
Um die Updates von einem Apple-Server zu holen, nimmt das Betriebssystem über das Internet einmal pro Woche Kontakt mit Apple auf. So ist zumindest die Standard-Einstellung der Funktion "SoftwareUpdate" gewählt.
HTTP ohne Authentifizierung
Die Verbindung erfolgt über HTTP ohne jegliche Authentifizierung,
berichtet das CERT der Universität Stuttgart in einem Advisory. Ein
Exploit zur Mac-OS-Lücke ist dort ebenfalls verlinkt.
Die CERT-MeldungNoch kein Patch
Diese Update-Funktion zu einem Angriff auszunutzen, ist laut CERT trivial. Es könnten bekannte Techniken wie DNS-Spoofing oder DNS-Cache-Poisoning eingesetzt werden, um damit einen feindlichen Server anzuwählen.
Betroffen sind laut CERT die Versionen Mac-OS 10.1 X und möglicherweise auch Mac-OS 10.0 X. Ein Patch steht aus, es wird deshalb empfohlen, die Standardeinstellung des "SoftwareUpdate" auf manuell umzustellen.