Beveiligingsbedrijf roept op tot boycot QuickTime filmpjes
De worm die een week geleden honderden MySpace gebruikers via een "feature" in Apple QuickTime infecteerde is nog steeds niet gepatcht. Het Finse beveiligingsbedrijf F-Secure raadt websites dan ook aan om alle QuickTime content te blokkeren totdat er een update beschikbaar is.
Het probleem met QuickTime is dat het niet de "same origin policy" handhaaft en gebruikers niet waarschuwt als er JavaScript van externe bronnen wordt geladen. Twee dingen die je zou verwachten dat een applicatie doet, maar niet in het geval van Apple's mediaspeler.
Apple heeft het probleem nog niet steeds al beveiligingsprobleem bestempeld. Sterker nog, het beweert dat dit een legitieme feature is. Apple bracht een fix uit voor MySpace gebruikers, maar dan alleen voor gebruikers met Internet Explorer. Gebruikers van andere browsers lopen nog steeds risico. Daarnaast zijn andere websites nog steeds kwetsbaar voor dezelfde worm.
Verder zit er nog een ander soortgelijk lek in QuickTime dat al enige tijd bekend is, maar nog steeds niet is opgelost. Deze kwetsbaarheid kan op dezelfde manier als het "HREF track flaw" worden misbruikt. Voorlopig dus geen QuickTime filmpjes als het aan F-Secure ligt.
installeren en QuickTime blokkeren. Als Apple de zaak niet
wil repareren dan is het blokkeren van de QuickTime-content
de enige optie die nog overblijft. Wat dat betreft geef ik
F-secure wel gelijk.
quicktime uitgevoerd wordt?
Een andere optie is firefox (of zeeaap) op linux draaien :)
zonder geinfecteerd te raken!!
Ik denk dat dit de achterliggende bedoeling is van Apple om WIndows
gebruikers aan te moedingen om te 'switchen' ;))
bekende incidenten: ontkennen tot er geen houden meer aan
is. Volgende stap is bagatelliseren ("het valt wel mee"), om
enkele maanden daarna alsnog met een fix te komen.
Zo jammer dat het op deze manier moet. Microsoft is op deze
manier begonnen toen de eerste bugs en lekken bekend werden,
maar die zijn in ieder geval zo ver dat ze nu iedere 2e
dinsdag van de maand standaard patches uitgeven...
De 'same origin rule' is absoluut geen veilighiedsgarantie,
hooguit een extra hobbeltje. Waarom dat als mogelijke patch
gezien wordt ontgaat mij.
Als het uitblijven van een echte oplossing een reden zou
moeten zijn om bepaalde content te mjden, dan ken ik nog wel
een paar kandidaten voor de lijst. Helaas wordt het dan een
volstrekt onwerkbare wereld.
[BTW F-Secure heeft in het verleden al eens vaker een hoop
lawaai over een vermeend beveiligingsprobleem gemaakt]
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
