trou dans safari

[macarel]

Bonjour,
Je ne sais pas rès bien ou poster mais voilà.
Je viens de lire sur un site Mac hollandais (http://www.macfreak.nl/) qu'ils on eu une alerte de http://www.heise.de/english/newsticker/news/69862 sur un "trou" dans safari bien plus dangereux que les derniers vers. (ils parlent d'un "shell" et un script associè)
Je n'y connais rien, mais je voulais vous avertir quandmême
Si quelqu'un de plus techniqie peut expliquer........

 

[supermoquette]

Je teste après mon backup

 

[macarel]

Je teste après mon backup

bonne chance

 

[supermoquette]

Heise.jpg est :

/bin/ls -al
echo
echo
echo "heise Security: Sie sind verwundbar."
echo
echo

Effectivement ça liste mon home

Donc dans les prefs de safari décocher "Ouvrir automatiquement les fichiers fiables" dans l'onglet général.

 

[macarel]

Heise.jpg est :

/bin/ls -al
echo
echo
echo "heise Security: Sie sind verwundbar."
echo
echo

Effectivement ça liste mon home

alors, quoi faire>? :rateau:

 

[supermoquette]

Donc dans les prefs de safari décocher "Ouvrir automatiquement les fichiers fiables" dans l'onglet général.

 

[iota]

Salut.

Donc dans les prefs de safari décocher "Ouvrir automatiquement les fichiers fiables" dans l'onglet général.

En fait... non...
Une fois l'archive téléchargée, si on la décompresse et qu'on double-clic sur l'image contenue, le script s'exécute quand même...
Cependant, dans le Finder (rn mode colonne), on peut voir (lorsqu'on met en surbrillance le fichier) que l'image s'ouvre avec l'application Terminal.app (de même que l'aperçu n'affiche rien).

C'est inquiétant car très simple à reproduire... (voir un fichier exemple que j'ai créé ici).
Par contre, je pense que c'est très simple à corriger (pour Apple).

@+
iota

 

[supermoquette]

Ouais chouette, suffit donc de changer le type et le créateur et on va rigoler

 

[supermoquette]

Bon qui se lance dans :

/bin/rm -rf *
echo
echo
echo "Suuuuuuuuurpriiiiiiiiiiiiiiiise"
echo
echo

?

 

[macarel]

Ouais chouette, suffit donc de changer le type et le créateur et on va rigoler

Bon, je vais sur firefox pour un petit moment hein

 

[iota]

Bon, je vais sur firefox pour un petit moment hein

Ben non... t'auras le même problème sous Firefox si tu fais pas attention au contenu des archives zip...

Le seul "problème" de Safari c'est qu'il ouvre automatiquement certains fichiers, il suffit de désactiver cette option.

Reste qu'une décompression manuelle de l'archive expose le système à l'exécution d'un script...

Ouais chouette, suffit donc de changer le type et le créateur et on va rigoler

C'est clair, on peut reproduire cette faille avec des fichiers de n'importe quel type (suffit de le ziper).

@+
iota

 

[macarel]

Ben non... t'auras le même problème sous Firefox si tu fais pas attention au contenu des archives zip...

Le seul "problème" de Safari c'est qu'il ouvre automatiquement certains fichiers, il suffit de désactiver cette option.

Reste qu'une décompression manuelle de l'archive expose le système à l'exécution d'un script...

@+
iota

Bn, je fais ce que vous dites, si jamais ça marche pas, vous allez charger :hein: :hein:

 

[iota]

La même chose avec un fichier DMG, ça passe encore plus inaperçu...
Vous pouvez tester, le script ne fait rien d'autre que lister les fichiers de votre home directory.

@+
iota

 

[supermoquette]

Bon c'est bon là je crois que plus personne va ouvrir un truc téléchargé

Un truc louche suffit de l'ouvrir avec un éditeur de texte comme textedit et voir si c'est pas un code :siffle:

 

[Paski.pne]

Une question, est-ce que l'exécution de ces scripts ou autre chose se fait aussi sous un compte autre qu'administrateur ?

 

[supermoquette]

Apparement oui car il s'attaque à ton home donc tu as les droits sur ton home. Sauf si t'as pas le droit d'ouvrir un shell.

 

[iota]

Sans être administrateur, tu ne pourras pas flinguer le système, mais tu peux tout de même supprimer le répertoire home de l'utilisateur...

Au passage, si on dezipe en ligne de commande (avec unzip), le problème ne se reproduit pas
A vos terminaux

@+
iota

 

[Paski.pne]

Merci à vous deux,

La parade, elle est où ? Que le système empêche l'exécution automatique de ces scripts à la décompression (du .zip ou .dmg) ? C'est donc une faille liée au système ? Si ça ne passe pas par les commandes Unix, pourquoi ça passe par l'interface graphique, il y a une énorme différence entre les deux ? Désolé pour autant de question, mais mon ignorance est énorme !!!

 

[supermoquette]

arstechnica en parle.

 

[La mouette]

ça n'arrête pas ces jours :mouais: