######################################################################
CERT-Bund -- Warn- und Informationsdienst
######################################################################
KURZINFORMATION ZU SCHWACHSTELLEN UND SICHERHEITSLUECKEN
ID: CB-K04/0364
Titel: Schwachstelle in Mac OS X Help URI-Handler
Datum: 18.05.2004
Software: Mac OS X
Version: k. A.
Plattform: Mac OS X
Auswirkung: Ausfuehren beliebigen Programmcodes mit
Administratorrechten
Remoteangriff: Ja
Risiko: hoch
Bezug:
######################################################################
Eine Schwachstelle im "help" URI-Handler von Mac OS X ermoeglicht die
Ausfuehrung beliebiger lokaler Skripte (.scpt) mittels klassischer
Directory Traversal Zeichensequenzen unter Benutzung von
"help:runscript".
Es wird berichtet, dass es einem Angreifer moeglich ist, beliebige
Dateien (inkl. Skript-Dateien) auf dem Opfersystem an einem bekannten
Ort zu speichern, wenn der Safari-Browser des Opfers so konfiguriert
ist, dass "sichere" Dateien nach dem Herunterladen automatisch
geoeffnet werden (Standardeinstellung) und der Angreifer den Download
einer ".dmg"-Datei initiiert.
Die Schwachstelle wurde unter Benutzung von Safari 1.2.1 (v125.1) und
Internet Explorer 5.2 verifiziert.
Mit freundlichen Gruessen
das Team CERT-Bund
=================================================================
BSI - Bundesamt fuer Sicherheit in der Informationstechnik
Referat I 2.1 CERT-Bund
Telefon +49-228-9582-110 / FAX +49-228-9582-427
=================================================================
=======================================================================
HINWEIS:
Die Inhalte dieser Meldung repraesentieren den Kenntnisstand des BSI
zum Zeitpunkt der Versendung. Eine Haftung fuer eventuelle Schaeden
oder Konsequenzen, die durch die direkte oder indirekte Nutzung der
Inhalte entstehen, wird ausgeschlossen.
Diese Meldung kann unter Einhaltung des Urheberrechts im vollstaendigen
Wortlaut, ohne Aenderungen und mit BSI-Copyright-Informationen kopiert
und fuer den persoenlichen und privaten Gebrauch weitergeleitet werden.
Eine kommerzielle Nutzung ist ausdruecklich untersagt.
=======================================================================
######################################################################
CERT-Bund -- Warn- und Informationsdienst
######################################################################
KURZINFORMATION ZU SCHWACHSTELLEN UND SICHERHEITSLUECKEN
ID: CB-K04/0383
Titel: Schwachstellen in HelpViewer und URL-Verarbeitung in
Terminal
Datum: 24.05.2004
Software: Terminal, Helpviewer in MacOS X
Version: 10.3.3, 10.2.8
Plattform: MacOS X
Auswirkung: Ausfuehren beliebigen Programmcodes mit
Administratorrechten
Remoteangriff: Ja
Risiko: hoch
Bezug:
######################################################################
Ein neuer Sicherheitspatch behebt zwei neu entdeckte Schwachstellen in
MacOS
CAN-2004-0486: SCHWACHSTELLE IN HELPVIEWER ( 10.2.8 UND 10.3.3):
Ein entfernter Angreifer kann durch eine manipulierte URL Kontrolle
ueber das lokale System erlangen. Dazu reicht das Besuchen einer
entsprechen manipulierten Web-Seite oder das Öffnen einer
manpulierten HTML-Mail.
CAN-2004-0485: TERMINAL (10.2.8):
Eine nicht naeher beschriebene Schwachstelle in der Verarbeitung von
URLs im Terminal-Programm wurde behoben.
Mit freundlichen Gruessen
das Team CERT-Bund
=================================================================
BSI - Bundesamt fuer Sicherheit in der Informationstechnik
Referat I 2.1 CERT-Bund
Telefon +49-228-9582-110 / FAX +49-228-9582-427
/
=================================================================
=======================================================================
HINWEIS:
Die Inhalte dieser Meldung repraesentieren den Kenntnisstand des BSI
zum Zeitpunkt der Versendung. Eine Haftung fuer eventuelle Schaeden
oder Konsequenzen, die durch die direkte oder indirekte Nutzung der
Inhalte entstehen, wird ausgeschlossen.
Diese Meldung kann unter Einhaltung des Urheberrechts im vollstaendigen
Wortlaut, ohne Aenderungen und mit BSI-Copyright-Informationen kopiert
und fuer den persoenlichen und privaten Gebrauch weitergeleitet werden.
Eine kommerzielle Nutzung ist ausdruecklich untersagt.
=======================================================================
http://www.heise.de/newsticker/meldung/47607
Nachricht bearbeitet (24.05.2004 16:41)
######################################################################
CERT-Bund -- Warn- und Informationsdienst
######################################################################
KURZINFORMATION ZU SCHWACHSTELLEN UND SICHERHEITSLUECKEN
ID: CB-K04/0395
Titel: Schwachstelle in Mac OS X bei der Verarbeitung von SSH-URIs
Datum: 26.05.2004
Software: Mac OS X
Version: <= 10.3.3
Plattform: Mac OS X, ggf. auch andere Plattformen
Auswirkung: Ausfuehren beliebigen Programmcodes mit Benutzerrechten
Remoteangriff: Ja
Risiko: hoch
Bezug:
######################################################################
Es wurde eine Schwachstelle bei der Verarbeitung von SSH-URIs in
verschiedenen Web-Browsern unter Mac OS X gemeldet, die von einem
entfernten Angreifer ausgenutzt werden kann, um ueber eine speziell
formulierte URL beliebigen Programmcode auf dem Opfersystem
auszufuehren. Der Meldung nach wurde die Schwachstelle fuer die
Browser Safari, Camino, Firefox und Mozilla unter Mac OS X bestaetigt,
ggf. sind aber auch andere Browser oder Betriebssysteme betroffen.
Mit freundlichen Gruessen
das Team CERT-Bund
=================================================================
BSI - Bundesamt fuer Sicherheit in der Informationstechnik
Referat I 2.1 CERT-Bund
Telefon +49-228-9582-110 / FAX +49-228-9582-427
/
=================================================================
=======================================================================
HINWEIS:
Die Inhalte dieser Meldung repraesentieren den Kenntnisstand des BSI
zum Zeitpunkt der Versendung. Eine Haftung fuer eventuelle Schaeden
oder Konsequenzen, die durch die direkte oder indirekte Nutzung der
Inhalte entstehen, wird ausgeschlossen.
Diese Meldung kann unter Einhaltung des Urheberrechts im vollstaendigen
Wortlaut, ohne Aenderungen und mit BSI-Copyright-Informationen kopiert
und fuer den persoenlichen und privaten Gebrauch weitergeleitet werden.
Eine kommerzielle Nutzung ist ausdruecklich untersagt.
=======================================================================
Nachricht bearbeitet (26.05.2004 11:35)
######################################################################
CERT-Bund -- Warn- und Informationsdienst
######################################################################
KURZINFORMATION ZU SCHWACHSTELLEN UND SICHERHEITSLUECKEN
ID: CB-K04/0417
Titel: MacOS X 10.3.4 behebt mehrere Schwachstellen
Datum: 01.06.2004
Software: MacOS X
Version: < 10.3.4
Plattform: Apple Macintosh
Auswirkung: Nicht spezifiziert
Remoteangriff: Ja
Risiko: mittel
Bezug:
######################################################################
Apple hat eine neue Version von MacOS X veroeffentlicht, in der
Schwachstellen in folgenden Paketen behoben wurden: NFS, LoginWindow,
Packaging, TCP/IP, AppleFileServer und Terminal.
Mit freundlichen Gruessen
das Team CERT-Bund
=================================================================
BSI - Bundesamt fuer Sicherheit in der Informationstechnik
Referat I 2.1 CERT-Bund
Telefon +49-228-9582-110 / FAX +49-228-9582-427
/
=================================================================
=======================================================================
HINWEIS:
Die Inhalte dieser Meldung repraesentieren den Kenntnisstand des BSI
zum Zeitpunkt der Versendung. Eine Haftung fuer eventuelle Schaeden
oder Konsequenzen, die durch die direkte oder indirekte Nutzung der
Inhalte entstehen, wird ausgeschlossen.
Diese Meldung kann unter Einhaltung des Urheberrechts im vollstaendigen
Wortlaut, ohne Aenderungen und mit BSI-Copyright-Informationen kopiert
und fuer den persoenlichen und privaten Gebrauch weitergeleitet werden.
Eine kommerzielle Nutzung ist ausdruecklich untersagt.
=======================================================================
######################################################################
CERT-Bund -- Warn- und Informationsdienst
######################################################################
KURZINFORMATION ZU SCHWACHSTELLEN UND SICHERHEITSLUECKEN
ID: CB-K04/0453
Titel: Neue Patches fuer Mac OS X
Datum: 08.06.2004
Software: Apple MacOS X
Version: v10.3.4 "Panther", Server v10.3.4 "Panther", v10.2.8
"Jaguar", Server v10.2.8 "Jaguar"
Plattform: Apple Macintosh
Auswirkung: Nicht spezifiziert
Remoteangriff: Ja
Risiko: hoch
Bezug:
######################################################################
Folgende Schwachstellen werden durch neue Patches fuer MacOS X
behoben: CAN-2004-0538: LaunchServices Component: DiskImageMounter
CAN-2004-0539: Safari Terminal
Mit freundlichen Gruessen
das Team CERT-Bund
=================================================================
BSI - Bundesamt fuer Sicherheit in der Informationstechnik
Referat I 2.1 CERT-Bund
Telefon +49-228-9582-110 / FAX +49-228-9582-427
/
=================================================================
=======================================================================
HINWEIS:
Die Inhalte dieser Meldung repraesentieren den Kenntnisstand des BSI
zum Zeitpunkt der Versendung. Eine Haftung fuer eventuelle Schaeden
oder Konsequenzen, die durch die direkte oder indirekte Nutzung der
Inhalte entstehen, wird ausgeschlossen.
Diese Meldung kann unter Einhaltung des Urheberrechts im vollstaendigen
Wortlaut, ohne Aenderungen und mit BSI-Copyright-Informationen kopiert
und fuer den persoenlichen und privaten Gebrauch weitergeleitet werden.
Eine kommerzielle Nutzung ist ausdruecklich untersagt.
=======================================================================
und "The Register" meldet wieder Probleme:
Martin Käser m6950
Nachricht bearbeitet (08.06.2004 21:03)