Apple blunder lekt Lion wachtwoorden in platte tekst
Door een fout in een beveiligingsupdate voor Apple's Mac OS X Lion, worden wachtwoorden van de gebruiker in platte tekst opgeslagen. Een ontwikkelaar zou per ongeluk een debug optie hebben laten aanstaan, waardoor een logbestand wordt aangemaakt die het wachtwoord buiten het versleutelde gedeelte van de harde schijf opslaat. Bij bepaalde configuraties maakt de Lion OS X 10.7.3 update een logbestand aan, waarin de wachtwoorden van alle gebruikers staan die sinds de update zijn ingelogd. De wachtwoorden worden onversleuteld, in platte tekst bewaard.
De kwetsbaarheid zou als eerste door beveiligingsonderzoeker David Emery zijn gerapporteerd, die zijn ontdekking op de Cryptome mailinglist publiceerde. Ondanks verschillende nieuwe updates die Apple uitbracht, is het probleem nog altijd niet verholpen. Het probleem speelt alleen bij mensen die vanaf Snow Leopard naar Lion zijn geüpgraded.
"Dit is erger dan het lijkt, aangezien de log in kwestie ook gelezen kan worden door de machine in Firewire diskmode op te starten en het bestand te lezen door de schijf als een schijf te openen of door vanaf de Lion recovery partitie op te starten en de beschikbare superuser shell te gebruiken om het bestandssysteem te mounten en het bestand te lezen", aldus Emery.
Catastrofaal
Aangezien het logbestand buiten het versleutelde gedeelte toegankelijk is, kan iedereen met administrator- of root-toegang die inzien. "Dit lek van inloggegevens kan catastrofaal voor bedrijven zijn die al jaren op de Filevault feature in Macs vertrouwen. Filevault is bedoeld om gevoelige informatie te beschermen door een versleutelde home directory te bieden", zegt Emil Protalinski van Zdnet.
Als een werknemer zijn Mac verliest, kan alle versleutelde informatie toch worden ingezien als de kwetsbare configuratie wordt gebruikt. Het probleem treft ook Time Machine back-ups op externe harde schijven. Aangezien het logbestand met het vereiste wachtwoord om de back-ups te lezen ook is opgeslagen, kan een kwaadwillende die de externe schijf in handen krijgt alsnog alle bestanden inzien.
Wachtwoord
Op het Apple forum zou het probleem drie maanden geleden al door iemand zijn gerapporteerd. Niemand reageerde op zijn bevindingen. Ook op het forum van Novell wordt het probleem besproken
Apple heeft nog niet gereageerd. Mocht er een update uitkomen, dan krijgen gebruikers het advies om na de installatie ervan het wachtwoord te wijzigen, aangezien het oude wachtwoord op verschillende plaatsten in platte tekst kan zijn achtergebleven. Voor gebruikers die nu al actie willen ondernemen zijn deze tips online verschenen.
Emil kan leuk praten, maar catastoraal is als de wereld vergaat. Als iemand bij je logbestanden kan dan heb je al een ander probleem... Maar goed, Emil is dan ook maar een gewone IT-Tech schrijver die toevallig ook voor ZDnet mag schrijven over veiligheid nieuws en dan een mening heeft.
Het probleem is pas drie maanden geleden voor het eerst gemeld.
Daarbij heeft Apple ook nog eens weken werk gehad aan een Java update.
Het probleem is pas drie maanden geleden voor het eerst gemeld.
Daarbij heeft Apple ook nog eens weken werk gehad aan een Java update.
Hoeveel ruimte zou Microsoft krijgen om te reageren? Nou dan, dus ook geen ruimte voor Apple. MS is tegenwoordig vele malen sneller met melden en fixen waar het arrogante Apple weleens een voorbeeld aan zou kunnen nemen.
Beetje hoop gedoe over iets wat eenvoudig op te lossen is.
Overigens die opmerking om je /var/logs/* te RM-en vind ik erg kort door de bocht.
Categorie Format C en begin opnieuw
Ik ben geen enkel security bulletin tegengekomen waarin staat dat deze bug (slechte zaak) ook bij een Mac optreedt waar een clean Lion installatie is gedaan, sterker nog bij de twee Macs (met Lion) die ik hier heb was het wachtwoord niet in de log-files te vinden. Maw. ik zet grootte vraagtekens bij jou bewering.
Het probleem is pas drie maanden geleden voor het eerst gemeld.
Daarbij heeft Apple ook nog eens weken werk gehad aan een Java update.
http://nl.wikipedia.org/wiki/Ironie
En lees vervolgens nogmaals mijn reactie.
Ik ben geen enkel security bulletin tegengekomen waarin staat dat deze bug (slechte zaak) ook bij een Mac optreedt waar een clean Lion installatie is gedaan, sterker nog bij de twee Macs (met Lion) die ik hier heb was het wachtwoord niet in de log-files te vinden. Maw. ik zet grootte vraagtekens bij jou bewering.
Ik had er wellicht nog moeten bijzetten dat dit effect optreedt wanneer je een CIFS homefir mount - of elke andere (home)dir waarvoor authenticatie vereist is.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
