Gefährliches Safari-Script

[Locusta]

Gestern habe ich diese Nachricht von einem OSX-Hasser bekommen:

http://www.frsirt.com/exploits/20060222.safari_safefiles_exec.pm.php : Apple Mac OS X / Safari "__MACOSX" ZIP Archive Remote Code Execution Exploit

Tja, die Frage von mir: Ist das Script an sich für Safari gefährlich oder ist das mal wieder nur ein "Proof of Concept"?

[MacFlieger]

So wie ich das dort verstehe:

Das eigentlich Problem hatten wir schon hier besprochen. Wenn "Sichere" Dateien nach dem Laden öffnen aktiviert ist, dann können auch evtl. Schadprogramme dadurch gestartet werden. Eine Option, die völlig überflüssig ist und nur ein Sicherheitsproblem sein kann. Selbst Apple setzt das "Sicher" ja von Anfang an in Anführungszeichen. IMHO weg mit der Option, Problem erledigt. Jede andere Behebung bastelt nur an den Symptomen und birgt den Keim des Scheiterns in sich (siehe Zonenmodell des IE).

Anscheinend war es einigen Leuten zu schwer, eine "sichere" Datei zu erstellen, die ausführbar ist und dafür dient wohl das Programm auf der von Dir verlinkten Website. D.h. dieses Programm ist nur der Teil eines möglichen Schadprogrammes, der es ermöglicht, daß es durch die bescheuerte Option in Safari gestartet wird.

Das Skript an sich ist nicht gefährlich, es ist ja nur ein Teil eines möglichen Schadprogrammes. Hängt man jetzt noch eine Schadroutine an, dann wird es gefährlich.

Also die option bei Dir abschalten und es ist alles im Lack. Apple beknien, diese Option (standardmäßig ein!) zu entfernen, und alles wird gut.

[Locusta]

Gut, sowas in der Art dachte ich mir schon. Hätte mich auch gewundert, wenn es tatsächlich eine Lücke gewesen wäre. Wobei ich mir fast sicher bin, dass es schon irgendwelche Programme gibt, die an das Script eine Schadensroutine anhängen... Mal sehen, wann man die erste News lesen darf: "Safari ist unsicher" oder: "Safari installiert Viren auf dem Mac" oder sowas .

[MacFlieger]

Ich halte diese Funktion auch für ein Sicherheitsrisiko, ganz klar. Da wird einfach etwas automatisch gestartet, auch wenn ich das nicht explizit wollte.
Deshalb abschalten.

[Terrania]

Gerade vom Händler meines Vertrauens ein Link bekommen mit einem Schutz gegen Terminal-Programme. Keine Ahnung ob da was dran ist:

Zitat:
http://www.macteq.de/download/abmst.dmg    (Size: 736KB)



Informationen zu abmst v3

Was ist abmst (A Bit More Secure Terminal)?

- abmst schützt vor unbeabsichtigtem Ausführen von Terminal Dokumenten (z.B. Viren, die als normales Dokument getarnt, Unix Kommandos ausführen wollen)

- abmst fragt beim Öffnen einer Terminal-Sitzung, ob das angegebene Kommando ausgeführt werden soll oder nicht. Alternativ kann eine normale Terminal-Sitzung gestartet werden.

- Vorteile beim Einsatz von abmst im Vergleich zu anderen Schutzmaßnahmen:
Die Terminal Anwendung muss nicht umbenannt oder an einen anderen Ort verschoben werden
Schützt auch dann, wenn Dokumente aus dem Finder geöffnet werden

- abmst installiert die Shell-Skripte abmst-de und abmst-en in /usr/local/bin/


Wie wird abmst installiert und aktiviert?

- installieren Sie abmst mit dem Installer abmst.pkg

- starten Sie nach der Installation die Terminal Anwendung in /Programme/Dienstprogramme/

- öffnen Sie in der Terminal Anwendung die Einstellungen, aktivieren Sie "Diesen Befehl ausführen" und tragen Sie den Pfad "/usr/local/bin/abmst-de" ein, gefolgt von der Shell, die aufgerufen werden soll, wenn die Terminal-Sitzung ohne ein angegebenes Dokument aufgerufen wurde, z.B.:

/usr/bin/login
/bin/tcsh
/bin/bash

Der Eintrag sieht dann z.B. so aus:

/usr/local/bin/abmst-de /usr/bin/login

Wenn Sie abmst Meldungen anstatt in deutscher Sprache in englischer Sprache erhalten möchten, tragen Sie den Pfad "/usr/local/bin/abmst-en" gefolgt von der gewünschten Shell ein.


Testen der Installation und Aktivierung

- öffnen Sie in der Terminal Anwendung ein neues Fenster. Eine Meldung von abmst wird angezeigt.

Zitat Ende.

[MacFlieger]

Hilft nur gegen Skripte, die ein Terminal-Fenster öffnen. Ein Shell-Skript, das anders gestartet wird (z.B. AppleScript "do shellscript"), ist von diesem Schutz nicht betroffen. Nur zur Ergänzung.