Safari-browser heeft ernstig script-probleem
Gemak dient de mens
21 februari 2006 | Lars Pasveer
Een Engels spreekwoord stelt dat wanneer het regent, het meestal gelijk plénst. Nadat in kort tijd twee virussen voor Mac OS X opdoken, blijkt ook de populaire Safari-browser nogal nonchalant met gevaarlijke scripts.
De virussen zijn overigens niet bijster gevaarlijk, doordat er meerdere handelingen van de gebruiker verwacht worden. Het probleem rond Safari is potentieel gevaarlijker, omdat alleen downloaden volstaat om een gevaarlijk script te laten draaien.
Het probleem vindt zijn oorsprong in gemak: Safari beoordeelt downloads op inhoud en voert bestanden die het als ongevaarlijk of 'bekend' kenmerkt, zonder omhaal uit.
De
proof of concept of het
bewijs-dat-het-kan werd geleverd door de Duitser Michael Lehn, in het dagelijks leven medewerker bij de Universiteit van Ulm. Standaard ziet Safari alleen films, afbeeldingen, geluidsbestanden, pdf- en tekstdocumenten, schijfkopieën en andere archiefbestanden als veilig.
Het probleem draait rond de afhandeling van scripts. Wie op (een andere Mac) een script zo bewerkt dat het niet meer expliciet vertelt welk programma het aanroept, kan handmatig aangeven dat het een Terminal-venster moet openen.
Mac OS X geeft het programma daarvoor - ook zonder harde instructies in het script zelf - een codering mee, die ook in stand blijft wanneer het bestand wordt gezipt. Bij elke Mac-gebruiker die dit bestand via Safari downloadt opent het bestand vervolgens - zonder navraag - het Terminal-programma.
Dat levert een fors veiligheidsrisico op, waarbij kwaadwillenden flink wat problemen kunnen veroorzaken: met enkele commando's zijn belangrijke mappen te wissen, die niet via de prullenbak zijn te herstellen.
Het probleem is gelukkig eenvoudig te omzeilen, tot Apple met een oplossing komt. Ga naar instellingen en vink in Safari
"Open 'veilige' bestanden na downloaden" uit. Safari zal dan expliciet om toestemming vragen voor het bestanden opent die u heeft gedownload.
Lees meer artikels over :
safari, script, lek, terminal
bron: ZDNet
