968434

Safaris Sicherheitslücke kommt von Quicktime

25.04.2007 | 14:10 Uhr |

Schien die am Freitag vergangener Woche entdeckte Sicherheitslücke nur den Mac-OS-X-Browser Safari zu betreffen, so zeigt sich heute: Das Problem hat ganz andere Dimensionen und betrifft gar auch Windows-Rechner.

Ein schwerwiegendes Leck in Apple Quicktime - für Mac und Windows - sorgt offenbar unter Verwendung beliebiger Internet-Browser dazu, dass ein ahnungsloser Surfer beim Besuch von Webseiten unbemerkt Schadcode auf seinem Rechner ausführen kann. Voraussetzung ist, dass Safari oder Firefox Java ausführen dürfen. Secunia stuft das Problem mit der zweithöchsten Sicherheitsstufe ein und neue Berichte belegen, dass selbst der Internet Explorer unter Windows anfällig ist.

Zunächst war es ein sportlicher Wettkampf im kanadischen Vancouver: Wer eine Sicherheitslücke an einem voll gepatchten Macbook findet und sich des Systems bemächtigen kann, darf den Rechner behalten. Nachdem der Wettbewerb um einen Tag verlängert und die Messlatte tiefer gehängt wurde, schaffte es das Hacker-Team von Shane Macaulay und Dai Zovi. Über eine speziell vorbereitete Internetseite konnte so unbemerkt vom Benutzer auf einem Mac Schadcode ausgeführt werden. Das gekaperte Macbook durften sie behalten, als Schuldigen machte man Apples Browser Safari aus.  

Nicht nur Safari, nicht nur Mac OS X...

Mittlerweile steht fest, dass nicht allein Safari anfällig, sondern das Problem deutlich größer ist - und der wahre Schuldige Quicktime heißt. Apples Multimedia-Erweiterung, zu Hause auf Macs und Windows-PCs, ist die Ursache für das Sicherheitsleck. Sofern der Browser die Ausführung von Java-Code erlaubt - das ist die Standardeinstellung - und auf dem System QuickTime ab Version 2.0 installiert ist, ist der Computer gefährdet. Für Firefox liegt seitens der Sicherheitswächter von Secunia eine Bestätigung vor, allerdings nur wie bei Safari für die Mac OS X-Plattform. Dort stuft man das Problem mit der zweithöchsten Gefährdungsstufe "sehr kritisch" ein. Offenbar erstreckt sich das Problem auch über die Mac-Plattform hinweg, berichtet nun The Register . Aus der Hacker-Szene liegen erste Blogeinträge vor, dass auch der Internet Explorer von Microsoft dasselbe Verhalten zeige - sofern auf dem Windows-PC QuickTime installiert ist. Bestätigt sei dies für die IE-Versionen 6 und 7 unter Windows XP.  

Das Gefährdungspotential und Schritte für mehr Sicherheit

Öffentlich bekannt ist der Weg noch nicht, wie genau eine Webseite vorbereitet sein muss, damit über das berichtete Leck schadhafter Code über einen Browser auf dem System des Benutzers ausgeführt werden kann. Ob auf Mac-Seite auch PowerPC-Systeme angreifbar sind, ist zur Zeit nicht bestätigt. Der einfachste Weg, um eine Gefährdung auszuschließen, ist die Deaktivierung von Java im Browser - wer mit mehreren Browsern arbeitet, muss diese Schritte in allen Programmen machen, um sich vorläufig auf der sicheren Seite zu wissen: In Safari öffnen Sie die Einstellungen... im Menü "Safari" Öffnen Sie im folgenden Fenster den Reiter Sicherheit Entfernen Sie die Haken in der Rubrik "Web-Inhalte" beim Eintrag Java aktivieren In Firefox findet sich die entsprechende Einstellung unter dem Reiter Inhalte, in Opera kann man Java deaktivieren im Einstellungen-Dialog unter dem Reiter Erweitert in der Rubrik "Inhalte". Bislang ist die Schwachstelle von QuickTime nur als Proof-of-concept bewiesen, keine Berichte liegen darüber vor, ob in der "freien Wildbahn" tatsächlich Webseiten existieren, die dieses Sicherheitsleck ausnutzen. Nachdem Apple am vergangenen Donnerstag - also kurz vor der Entdeckung des Sicherheitsproblems - ein Security-Update veröffentlicht hat , steht nun für die Zukunft also ein Quicktime-Update für die Mac- und die Windows-Plattform an, mit dem der Hersteller seine Software auf den neuesten Sicherheitsstand bringen muss.

0 Kommentare zu diesem Artikel
968434