Microsoft ontdekt macOS-lek dat toegang tot gebruikersdata mogelijk maakt
Microsoft heeft een kwetsbaarheid in macOS ontdekt genaamd "powerdir" waardoor ongeautoriseerde toegang tot beschermde data van gebruikers mogelijk is. Apple kwam op 13 december met een beveiligingsupdate voor het probleem, waarop Microsoft nu de details openbaar heeft gemaakt.
De kwetsbaarheid maakt het mogelijk om Apples Transparency Consent and Control (TCC) framework te omzeilen. Het TCC-framework regelt tot welke zaken applicaties toegang hebben, zoals bijvoorbeeld bestanden en mappen, webcam, microfoon, bluetooth, spraakherkenning, locatie, kalender, iCloud-account en andere onderdelen. Normaliter krijgt een applicatie hier pas toegang tot nadat de gebruiker toestemming heeft gegeven.
Om misbruik te voorkomen is TCC alleen toegankelijk voor apps met volledige schijftoegang. De door de gebruiker goedgekeurde of afgewezen permissies worden in een TCC-database bijgehouden. Onderzoekers van Microsoft ontdekten dat het mogelijk is om de home directory van een aangevallen gebruiker te veranderen en een valse TCC-database te plaatsen.
Door middel van de valse database is het mogelijk voor een aanvaller om via al geïnstalleerde apps of malafide apps toegang tot gebruikersdata te krijgen en bijvoorbeeld screenshots te maken of de gebruiker via de microfoon af te luisteren. Om de aanval uit te kunnen voeren moet een aanvaller wel al toegang tot het systeem hebben. Microsoft roept macOS-gebruikers op om de beveiligingsupdate te installeren.
Ze doen Google na. Die krijgt gek genoeg weinig kritiek op hun browser die zo lek is als een mandje. Het aantal beveiligingslekken is enorm. Terwijl ze lekken in software van Microsoft en anderen opsporen. Dat mag, maar de prioriteiten op management niveau liggen verkeerd bij beide partijen. Eerst veiligheid en daarna liefhebberijen zoals obscure functies.
Als je je eigen product wilt beveiligen, kijk je ook hoe anderen dat doen. En ja, dan kom je wel eens iets tegen dat er verdacht uit ziet en kijk je beter.
Ze doen Google na. Die krijgt gek genoeg weinig kritiek op hun browser die zo lek is als een mandje. Het aantal beveiligingslekken is enorm. Terwijl ze lekken in software van Microsoft en anderen opsporen. Dat mag, maar de prioriteiten op management niveau liggen verkeerd bij beide partijen. Eerst veiligheid en daarna liefhebberijen zoals obscure functies.
Microsoft is het grootste software bedrijf van de wereld, werkt ook veel samen met Apple, op zich niet zo heel vreemd als ze daar ook wel eens op lekjes stuiten. Lijkt er niet op dat ze actief op zoek zijn naar gaten bij andere softwarebouwers.
Google zoekt actief bij (voornamelijk) concurrenten naar lekken en gaten, vooral een marketingsdingetje van Google.
Laat MS en Google toch lekker zoeken in macOS en Linux, daarmee worden die OS'en veiliger. Ik snap wel dat ze dat als marketing verhaal gebruiken zodat mensen die geen verstand hebben van software denken dat MS en Google producten veiliger zijn.
Microsoft maakt al jaren Office pakketten voor de Mac, dus het is ook in hun eigen belang dat gebruikersdata veilig blijft.
Microsoft maakt al jaren Office pakketten voor de Mac, dus het is ook in hun eigen belang dat gebruikersdata veilig blijft.
Hoezo? Microsoft heeft schijt aan gebruikers en de veiligheid van gebruikersdata. Ze hebben dat al lang afgedekt in hun gebruiksvoorwaarden.
Microsoft maakt al jaren Office pakketten voor de Mac, dus het is ook in hun eigen belang dat gebruikersdata veilig blijft.
Hoezo? Microsoft heeft schijt aan gebruikers en de veiligheid van gebruikersdata. Ze hebben dat al lang afgedekt in hun gebruiksvoorwaarden.
Veiligheid is iets waar je met zijn allen aan moet werken, dus zie je iets dat bij jezelf niet goed is, los je dat op. Zie je bij een ander iets wat niet veilig is, dan waarschuw je die ander. Dan kan die bekijken of je gelijk hebt en zo nodig maatregelen oplossen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
