Apple patcht 232 lekken in Mac OS X, iOS, Safari en Server
Apple heeft gisterenavond updates voor Mac OS X, iOS, Safari en OS X Server uitgebracht die bij elkaar 232 lekken verhelpen. Via de kwetsbaarheden zou een aanvaller in het ergste geval code op de betreffende platformen kunnen uitvoeren. De meeste kwetsbaarheden zijn in Mac OS X gepatcht.
OS X Yosemite v10.10.5 en Security Update 2015-006 lossen 133 lekken op, waaronder een zero day-kwetsbaarheid die door een adware-installer werd gebruikt. Via de kwetsbaarheden kon een kwaadaardige app het wachtwoord van een lokale gebruiker veranderen, was het voor kwaadaardige wifi-netwerken mogelijk om eerder gebruikte wifi-netwerken te achterhalen en kon een lokale gebruiker code met systeemrechten uitvoeren. Ook zijn er veel lekken gepatcht die het uitvoeren van willekeurige code mogelijk maakten, bijvoorbeeld via het verwerken van kwaadaardige fonts. De updates zijn te downloaden via de Mac App Store of Apple's Software Downloads.
Voor eigenaren van een iPad, iPod Touch of iPhone is iOS 8.4.1 uitgekomen. Deze versie verhelpt 71 beveiligingslekken. Ook hier kon een aanvaller via kwaadaardige fonts, office-bestanden en videobestanden willekeurige code uitvoeren. Verder was het voor kwaadaardige websites mogelijk om de gebruikersinterface te spoofen. Deze kwaadaardige websites konden een andere website openen en de gebruiker om invoer vragen, zonder dat de gebruiker kon zien van welke website het verzoek afkomstig was. De update is te downloaden via iTunes en de Software Update-functie op het toestel.
Via Safari 8.0.8, Safari 7.1.8 en Safari 6.2.8 behoren 27 kwetsbaarheden tot het verleden. Via de lekken kon een aanvaller code op het systeem uitvoeren als de gebruiker een kwaadaardige website bezocht. Ook is het lekken van cookies verholpen en is het niet meer mogelijk om de geschiedenis van private browsingsessies te achterhalen. De nieuwe versies zijn te downloaden via de Mac App Store. Als laatste is OS X Server 4.1.5 verschenen, die één kwetsbaarheid verhelpt waardoor een aanvaller een Denial of Service kon veroorzaken.
Welkom bij de grote spelers Apple, waar hackers actief zijn zodra je wat marktaandeel hebt en het "heilige imago" verdwijnt.
Let wel, het veiligheids aspect word te pas en te onpas gebruikt om mensen over de streep trekken om vooral voor Apple te kiezen.
Maar dit zal wel gebagitaliseerd worden.
Dot artikel refereerd alleen aan Apple, Redhat Google (android) en die anderen lopen echt allemaal apart.
Als het gedeelde codebose maar verschillende branches zijn zul je ze wel apart moeten tellen lijkt me.
Dat naar eigen mening tellen om maar hoge aantallen te krijgen heb ik eerder gezien. Je kunt het nog terugvinden voor het aantaal applicaties die de gemeente Amsterdam in gebruik heeft. Per stadsdeel en per release beheerder/onderhouder dezelfde applicatie nog eens tellen. En dan tellen we ook alle dll's even apart,
Uit cijfers van de zeer gezaghebbende National Vulnerabilties Database van de Amerikaanse overheid blijkt onomstotelijk dat IOS en OSx veruit de meest kwetsbaarheden hebben van alle OS'en.
http://www.gfi.com/blog/wp-content/uploads/2015/02/OS-chart.jpg Android staat hier niet vermeld omdat ze niet bij de 1e tien stonden qua security risico's.
In 20145 meer dan 500 kwetsbaarheden gevonden in IOS waarvan een groot aantal zeer ernstig.
http://www.cvedetails.com/vulnerability-list/vendor_id-49/product_id-15556/Apple-Iphone-Os.html
Zie ook deze links
http://www.securityweek.com/ios-malware-found-hacking-team-leak-exploits-masque-flaws
http://www.scmagazine.com/ios-devices-dont-have-to-be-jailbroken-for-spyware-sold-by-hacking-team-to-be-installed/article/426137/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
