Hidden backdoor API to root privileges in Apple OS X

[tosikko]

Korjattu versiossa 10.10.3, vanhemmissa ei.

https://truesecdev.wordpress.com/2015/0 ... pple-os-x/

[omenakonsultti]

Blogikirjoituksen perusteella aukko koskee 10.7-10.9 versioita, 10.6 taitaa olla turvassa?

Aukon hyödyntämiseen tarvitsee joko A: päästä fyysisesti Macciin käsiksi tai B: huijata käyttäjä asentamaan haittaohjelma.

Jos on tarpeeksi varovainen eikä asentele Macille mitään epämääräistä on luultavasti turvassa?

Silti Applen ratkaisu korjata ongelma vain Yosemiteen on käsittämätön, uusin päivitys Mavericksiin tuli puoli vuotta sitten ja näin tärkeä päivitys jätetään väliin???

Laitoin Applelle palautetta asiasta, toivottavasti muuttavat mielensä ja korjaavat aukon.

[KB7s]

Eiköhän tässä käynyt niin, että tuo ehkä NSA:n käyttämä takaportti korjattiin kun se oli vuotamassa julkisuuteen ja samalla tehtiin uusi tai uusia takaportteja.

[vajra]

Onko tästä syytä olla huolissaan?

http://www.tivi.fi/Kaikki_uutiset/2015- ... 18609.html

[Kauppalopo]

Jos päästät jonkun koneellesi, niin kai siitä silloin voi olla huolissaan.

[homenamsi]

Mikähän tämä juttu oikein oli, olikohan tämä tunnetusti friikki media - digitoday ym. - lukeneet jonkun vanhan jutun kun ei ainakaan suurta kohua näkynyt ulkomaisissa saiteissa?

Niin tai näin, vaikuttaa siltä, että riskin lisääntyminen on käytännössä marginaalinen. Läppärikäyttäjän kannalta 'elävän koneen' varastaminen tai koneen jättäminen muuten vapaasti käytettäväksi on jo muutoinkin avannut väärinkäytön mahdollisuudet. Tämä ehkä tuo sitten uusia keinoja - jos uutisessa on muuta perää kuin se, että ainahan sudo-komennon salasanan arvailu on ollut mahdollista. Oikein arvaaminen on myös aina mahdollista - jo se riittää täyttämään uutisessa väitetyn 'haavoittuvuuden'.

Arvaamattomassa ympäristössä ei konetta kannata käyttää yleensäkään hallinnointioikeuksin varustetulla tunnuksella.

[kamina]

No haloo, eiköhän riitä, että jossain kolmannen osapuolen softassa (selain, flash, java) on haavoittuvuus joka sallii komentojen ajamisen koneella paikallisin oikeuksin. Tämän haavoittuvuuden myötä oikeudet saa sitten eskaloitua korkeammaksi jolloin voi tehdä mitä haluaa.

Ei ole mitenkään harvinaista että eri haavoittuvuuksia yhdistellään lopullista tavoitetta varten. Pahimmassa tapauksessa tämä kiihdyttää haittaohjelmien kehitystä OS X'ään, koska nyt tulee olemaan valtava määrä koneita joista pienenkin muun aukon kautta voi saada jotakuinkin 100% varmuudella pääkäyttäjän oikeudet. Henkilökohtaisesti en oikein haluis, että haittaohjelmien tekijät innostuisivat tästä alustana.