1. Foren
  2. Kommentare
  3. Security-Forum
  4. Alle Kommentare zum Artikel
  5. › Sparkle-Installer: Gatekeeper…

Nicht wirklich ein Sparkle Problem

Neue Foren im Freiraum! Raumfahrt und freie Software haben jetzt einen Platz, die Games tummeln sich jetzt alle in einem Forum.
  1. Thema

Neues Thema


  1. Nicht wirklich ein Sparkle Problem

    Autor: /mecki78 11.02.16 - 14:34

    Hier wird ein Bug in WebKit zusammen mit mehreren Bugs in OS X ausgenutzt um eine Datei von einem Remote Server zu laden und ohne Gatekeeper Prüfung zu starten. Sparkle hat mit dem allen gar nichts zu tun.

    Alles was Sparkle macht ist eine lokale Webseite in einem WebKit View anzuzeigen. Aber genau das Gleiche könnte ich mit jeder anderen App machen, die einen lokale Webseite in einem WebKit View anzeigt, sofern ich nur den Inhalt dieser Webseite manipulieren kann. Die Seite, die über den Sparkle Bug berichtet, bezieht sich ja auf einen anderen Bug (den eigentlich Bug hier, siehe oben) und dieser wiederum wurde Ursprünglich mit einer ganz anderen App gefunden, die eben auch so etwas macht: ungesichert Daten aus dem Netz laden und dieses Daten dann später in der App mit WebKit anzeigen, was aber für WebKit bedeutet, dass das eine "lokale" Seite ist, weil WebKit weiß nichts davon, dass die Daten von einem Internetserver stammen und daher darf JavaScript hier auch auf lokale Dateien zugreifen, und das ist eines der Probleme.

    Sparkle ist hier nur insofern interessant, weil es sehr viele Apps nutzen und es daher auf sehr vielen Mac installiert ist, im Gegensatz zu anderen Apps, mit denen der gleiche Angriff auch möglich wäre. Aber die Überschrift tut halt so, als wäre das jetzt speziell ein Sparkle Problem. Ist gefährlich, weil die Sparkle Macher haben das Problem behoben, aber es gibt da draußen noch ein paar hundert weitere Apps, die genau das gleiche Problem haben und bis jetzt nicht einmal wissen, dass sie es haben!

    /Mecki

  1. Thema

Neues Thema


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Sie müssen ausserdem in Ihrem Account-Profil unter Forum einen Nutzernamen vergeben haben. Zum Login

Stellenmarkt
  1. (Senior) IT Professional Client Systems (m/w/d)
    ALDI International Services SE & Co. oHG, Mülheim an der Ruhr
  2. Facheinkäufer*in (IT/TK und Consulting)
    GASAG AG, Berlin
  3. Scrum Master - Projektmanager (m/w/d)
    Pixida GmbH, München, Ingolstadt
  4. Informatiker / Fachinformatiker (m/w/d) Netzwerktechnik und -sicherheit
    ED Netze GmbH, Rheinfelden (Baden)

Detailsuche


Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Hardware-Angebote
  1. (u. a. Ryzen 5 5600X 358,03€)


Haben wir etwas übersehen?

E-Mail an news@golem.de


Industrie: Wie die Glasindustrie vom Erdgas abhängt
Industrie
Wie die Glasindustrie vom Erdgas abhängt

Die Glasindustrie nutzt bisher überwiegend fossile Energien. Strom und Wasserstoff könnten Alternativen sein, doch ein wichtiges Modellprojekt ist gerade gescheitert.
Eine Recherche von Hanno Böck

  1. Brimstone Energy Startup will klimaneutralen Zement aus Silikaten herstellen
  2. Die fossilfreie Chemiefabrik Von elektrischen Crackern und grünen Olefinen
  3. Treibstoffe E-Fuels-Produktion in der Praxis

Klimaschutz: Was bedeutet das Verbrenner-Aus ab 2035?
Klimaschutz
Was bedeutet das Verbrenner-Aus ab 2035?

Nach den Plänen der EU könnten in 13 Jahren Benzin- und Diesel-Pkw aus den Autohäusern verschwunden sein. Doch ist das wirklich sinnvoll?
Eine Analyse von Friedhelm Greis und Frank Wunderlich-Pfeiffer

  1. Radbolzen locker Toyota ruft vollelektrischen bZ4X zurück
  2. Goodwood Festival of Speed So sieht der Elektro-Sportwagen Polestar 5 aus
  3. Ford-Werke Saarlouis verliert Wettbewerb um Elektroautoproduktion

Infotainmentsystem: Warum Apple Carplay noch nicht die Autos übernimmt
Infotainmentsystem
Warum Apple Carplay noch nicht die Autos übernimmt

Das neue Carplay von Apple wird als Vorstufe für ein eigenes Auto-Betriebssystem gesehen. Doch noch evaluieren die Hersteller, wie sie die Funktionen integrieren können - und wollen.
Eine Analyse von Friedhelm Greis

  1. iPad OS 16 Stage Manager läuft wegen Speichermanagement nur mit M1-Chip
  2. Smartphones EU will am 7. Juni einheitliche Ladekabel beschließen
  3. Greenwashing Apple soll klimafeindliche Gruppierungen unterstützen