Safari lekt wachtwoorden via opgeslagen vorige sessies
Apple Safari blijkt gebruikersnamen en wachtwoorden van gebruikers onversleuteld in een bestand te bewaren, waar het eenvoudig door malware is te vinden, zo waarschuwt het Russische anti-virusbedrijf Kaspersky Lab. Safari kan net als veel andere browsers de vorige sessie van de gebruiker herstellen.
Het gaat dan om alle websites die op dat moment geopend waren, waaronder websites waar de gebruiker was ingelogd. De informatie om de sessie te herstellen bewaart Safari onversleuteld in een standaard plist-bestand, waar het eenvoudig te benaderen is. Het bestand wordt wel in een verborgen map opgeslagen, maar kan door iedereen worden gelezen.
"Stel je voor dat cybercriminelen of een kwaadaardig programma toegang tot het LastSession.plist-bestand op het systeem krijgt waar gebruikers op Facebook, Twitter, LinkedIn of hun online bankrekening inloggen", zegt analist Vyacheslav Zakorzhevsky. Het probleem werd aangetroffen op Mac OS X 10.7.5 en 10.8.5 met Safari 6.0.5.
Malware
"Wat ons betreft is het onversleuteld opslaan van vertrouwelijke informatie met onbeperkte toegang een groot beveiligingslek dat kwaadwillende gebruikers de mogelijkheid geeft om met zeer weinig moeite gegevens van gebruikers te stelen", aldus de analist. Apple is inmiddels over het probleem ingelicht. Zakorzhevsky zegt nog geen malware te kennen die misbruik van het lek maakt, maar stelt dat dit slechts een kwestie van tijd is.
Volgens bronnen die ik heb gelezen is Apple al bezig met een eerste service update voor Maverics,welke dan dan van 10.9 naar 10.9.1 gaat.
Welke Bugs er dan eventueel verholpen zullen worden is mij echter nog niet goed bekend.
Misschien dan dit lek in Safari ook.
Overigens heeft Mavericks Safari 7. En in de LastSession.plist daarvan zie ik niets, terwijl ik nu ingelogd ben op security.nl.
Verder lijkt het er sterk op dat het screenshot een URL laat zien en het dus eerder een fout van de website is.
Het nieuws van Kaspersky is dus een beetje achterhaald. Ze hebben de test niet met de actuele verse voor de betreffende systemen uitgevoerd. Ze hadden er bij moten schrijven dat dit probleem alleen speelt voor hen die Safari nooit updaten, want dat moeten ze geweten hebben.
"If you would like to comment on this article you must first login"
OSX10.8.5, Safari 6.0.5 (8536.30.1)
OSX10.7.5, Safari 6.0.5 (7536.30.1)
Aldus Kasperky
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
