Het SSL-lek in Mac OS X waardoor kwaadwillenden beveiligde verbindingen kunnen afluisteren is niet alleen een probleem voor Safari, ook Mail, Keynote, Twitter, Facetime, iMessage en Apple's eigen Software Updatetool en Push Service maken gebruik van het kwetsbare onderdeel.

Vorige week kwam Apple met een update voor iOS. De update verhielp een probleem in het Secure Transport framework dat door applicaties wordt gebruikt voor het opzetten van beveiligde verbindingen via SSL en TLS. Secure Transport bleek de authenticiteit van een beveiligde verbinding niet te controleren. Een aanvaller tussen de gebruiker en het internet zou via een vals SSL-certificaat daardoor de verbinding kunnen afluisteren.

Mac OS X

Hoewel Apple de update voor iOS uitbracht bleek het probleem ook in Mac OS X aanwezig te zijn. Gebruikers werden vervolgens gewaarschuwd om geen Safari te gebruiken, aangezien Apple's browser van het kwetsbare onderdeel gebruik maakt. Nu blijkt dat ook verschillende andere applicaties er gebruik van maken en daardoor kwetsbaar voor Man-in-the-middle-aanvallen zijn, zo waarschuwt beveiligingsonderzoeker Ashkan Soltani via Twitter.

Vooral het feit dat de Software Updatetool van Apple kwetsbaar is zit veel experts niet lekker. Via de tool kunnen gebruikers het besturingssysteem en applicaties updaten. Om kwaadaardige updates te voorkomen kan Apple de handtekening van updates controleren, maar ook daar wordt nu aan getwijfeld.

Update

Apple heeft laten weten dat binnenkort met een update voor Mac OS X komt, tot woede van Kristin Paget, voormalig security engineer bij Apple. In een blogposting haalt Paget hard uit naar Apple, aangezien er alleen een update voor iOS is verschenen. Daardoor heeft Apple het probleem wereldkundig gemaakt, zonder met een update voor Mac OS X te komen of gebruikers een andere oplossing te bieden.