Sicherheitsexperte veröffentlicht mehrere Mac-Bugs
Der unabhängige Sicherheitsexperte Tom Ferris hat auf seiner Webseite Security-Protocols [Link entfernt] auf einen Schlag sechs Sicherheitslücken im Apple-Betriebssystem Mac OS X und drei Sicherheits-Anfälligkeiten in Apples Web-Browser Safari veröffentlicht. Verschiedenene Sicherheitsunternehmen stuften die Bedrohung als äußerst schwerwiegend ein. Neben der als besonders gefährlich angesehenen Verwundbarkeit des Safari-Browsers wird vor allem eine Schwachstelle im BOM Archive Helper, der für das Entpacken von .zip-Dateien verantwortlich ist, als besonders riskant eingestuft. Da es bislang noch keine offiziellen Patches von Apple gibt, bleibt den Sicherheitsunternehmen nur der Rat an die Apple-Nutzer, keine Webseiten anzusurfen, die nicht vertrauenswürdig sind und keine .zip-Dateien aus dubiosen Quellen zu öffnen.
Schwachstellen sollen im nächsten Security Release behoben werden
Die jetzt von Tom Ferris gebündelt veröffentlichten Sicherheitslücken hat der Sicherheitsexperte offenbar schon vor einiger Zeit entdeckt. Ferris gibt an, den Hersteller bereits Anfang des Jahres über die Schwachstellen informiert zu haben. Apple habe ihm mitgeteilt, die Schwachstellen sollten im nächsten Security Release behoben werden, erklärt Ferris. Für wann dieser jedoch zu erwarten ist, wurde noch nicht bekannt. Anders als der Software-Hersteller Microsoft, der Patches für Sicherheitslücken im monatlichen Patch-Day-Zyklus veröffentlicht, bringt Apple seine Sicherheits-Updates nicht in regelmäßigen Abständen heraus.
Neben den Schwachstellen in Safari und im BOM Archive Helper veröffentlichte Ferris fünf Schwachstellen im Apple-Betriebssystem Mac OS X in der Version 10.4.6 und früher, die mit der Verarbeitung von Bild-Dateien zusammenhängen. Drei Schwachstellen betreffen das .tiff-Format und jeweils eine die Formate .bmp und .gif. Bei der Verarbeitung von präparierten Bilddateien, zum Beispiel beim Surfen mit Safari, bei der Bild-Betrachtung im Finder, in der Vorschau oder in QuickTime, kann das System zum Absturz gebracht werden oder Angreifer können beliebigen Code auf das System einschleusen und ausführen.