Apple schließt kritische Sicherheitslücken

Gerade vor zwei Wochen sorgte Leap-A, der vermeintlich erste Wurm, der das bislang von Computerschädlingen weitgehend verschonte Betriebssystem Mac OS X des Computerherstellers Apple angriff, für Aufregung. Die Mac-Nutzer könnten sich nun nicht länger in trügerischer Sicherheit wiegen, wurde schadenfroh kommentiert. Mac-Experten hingegen wiegelten ab, und erklärten die Bedrohung für eher theoretisch. Direkt nach dem Erscheinen von Leap-A wurde den Sicherheitsexperten von F-Secure ein Proof-of-Concept-Exploit für eine weitere Sicherheitslücke in Apples Betriebssystem zugespielt und ein Ulmer Mathematiker deckte eine kritische Schwachstelle in den LaunchServices von Apples Internet-Browser Safari auf, die auch Apples E-Mail-Programm Mail betraf. Apple patcht nun im Rundumschlag die neuerdings aufgedeckten Sicherheitslücken zusammen mit einer Reihe anderer Schwachstellten: Apples Security Update 2006-001 schließt insgesamt 17 Sicherheitslücken. Apple-Nutzer können die Patches über System-Funktion Software-Aktualisierung automatisch aufrufen, oder sie in Apples Downloadcenter herunterladen.

Die Sicherheits-Updates sind für die Betriebssystem-Versionen Mac OS X 10.3.9, Mac OS X 10.4.5 und die entsprechenden Mac OS X-Server-Versionen verfügbar. Im einzelnen gibt es einen Patch für Apples Instant Messaging-Programm iChat, über das sich Leap-A verbreitet hatte. Hier warnt nun eine Download Validation vor unbekannten oder unsicheren Dateitypen. Für den Safari-Browser gibt es vier Patches. Drei reparieren Schwachstellen, die Code-Ausführung von Remote-Standorten nach dem Besuch von mit Schadcode präparierten Webseiten ermöglicht hätten. Der vierte Safari-Patch betrifft die Safari LaunchServices. Der Download von Dateien ist nun in OS X 10.4.5 mit einer zusätzlichen Download Validation und Nutzer-Warnung versehen, beziehungsweise wird in OS X 10.3.9 nicht mehr automatisch ausgeführt. Die Download Validation erstreckt sich auch auf das E-Mail-Programm Mail. Weitere Patches reparieren unter anderem Schwachstellen in den Directory Services und in der Verschlüsselungskomponente FileVault, Probleme mit Zugriffsrechten bei der Ausführung von Perl-Programmen und der Gefahr von Cross-Site-Scripting über die RSS-Funktion von Safari bei bösartigem RSS-Content.