Hacker LMH findet iChat-Bug

Mit iChat-Adressen verhält es sich wie mit Adressen zu Webseiten: Als Link "getarnt" können sich in der URL als Anker (Anchor) versteckt Flash- oder Javascript-Befehle befinden. Wer mit Safari eine Internetseite, zum Beispiel eine private Homepage, ansteuert und dort auf einen Link trifft, der zum Chat via AOLs Instant Messenger (AIM) einlädt, sollte Vorsicht walten lassen. iChat nutzt die Basis von AIM und Safari öffnet beim Klicken auf einen solchen Link ohne Nachfrage iChat. Firefox fragt zumindest noch nach dem Programm, das diesen Link öffnen soll. Böswillige Menschen können so gutmütige iChat-Anwender überrumpeln, mit einer Denial-of-service-Attacke den Mac lahm legen oder auch schädlichen Code mit den entsprechenden Benutzerrechten ausführen, schreibt das MoAB-Projekt. Soweit der Fehler - nun die Lösung: Vorsicht vor 0190-Nummern und Vorsicht vor Chat-Adresslinks in HTML-E-Mails oder auf Webseiten. Erscheint die Quelle nicht vertrauenswürdig, Hände weg. Oder - und da helfen die Entwickler von der "guten Seite der Macht" - man installiert sich die Systemerweiterung Application Enhancer und vertraut William Carrel. Er ist Mitglied in der MoAB Fixes Group und hat einen entsprechenden Patch bereitgestellt. Zum wiederholten Male kaufen Mac-Entwickler den MoAB-Hackern den Schneid ab - und führen gleichzeitig Apple vor, wie schnell es gehen kann, Sicherheitsprobleme zu bereinigen. Keine der vom MoAB-Projekt offengelegte Schwachstelle hat der Mac-Hersteller bisher geschlossen.  

Über den aktuellsten Apple-Bug schütteln die Sicherheitsexperten indes die Köpfe. Nicht, weil er belanglos wäre - sondern weil diese Unix-Schwachstelle längst geschlossen ist, Apple diese Lösung bei der Entwicklung von Mac OS X aber offenbar einfach verschlafen hat, empört sich Heise.de. Das Sicherheitsrisiko entsteht dadurch, dass Unix wie Mac OS X durch Setuid-Programme Aktivitäten ausführen kann, die andere Rechte benötigen, als der gegenwärtige Benutzer hat. Dies kennen Anwender, die ohne Adminstratorenrechte Programme installieren wollen: Das System fordert sie auf, einen Administratorennamen samt Kennwort einzugeben. Gleiches gilt für bestimmte Systemeinstellungen - Mac OS X verwendet hier das Hilfsprogramm "writeconfig", das stets Admin-Rechte besitzt und ein Shell-Skript aufruft. Gleich vier Nachlässigkeiten zählt Heise auf und findet es "alarmierend, dass dieses Problem der internen Qualitätssicherung entgangen ist".