Zaterdag 21 april 2007, 11:53 - Een hacker heeft 10.000 dollar gewonnen door een lek te vinden in een volledig gepatchte Mac, tijdens de Cansecwest beveiligingsconferentie in Vancouver.

De prijs van 10.000 dollar zou in eerste instantie toegekend worden aan een hacker die erin slaagde om één van twee opgestelde Macs, die draadloos met elkaar waren verbonden, binnen te dringen. Toen niemand hierin slaagde, mochten deelnemers proberen toegang te krijgen via de browser, door een e-mail met een url te versturen.

Zo slaagde New Yorker Dino Di Zovie erin om een kwetsbaarheid in Safari bloot te leggen. De url die hij verstuurde toonde een blanco pagina. Tegelijkertijd werd echter een kwetsbaarheid blootgelegd waardoor via een achterdeur in Safari alle bestanden op de computer toegankelijk waren, zo verklaarde Sean Comeau, een van de organisatoren van Cansecwest. Volgens Comeau is het lek aanwezig in alle versies van Mac OS X.

De ontdekte kwetsbaarheid wordt niet gepubliceerd. De sponsor van de geldprijs, de Tippingpoint-divisie van 3Com, draagt de gegevens over aan Apple.

Een dag voor de hackerswedstrijd op vrijdag, publiceerde Apple nog een patch voor vijfentwintig kwetsbaarheden in Mac OS X

(http://webwereld.nl/articles/46074/hacker-wint-10-000-dollar-voor-lek-in-safari.html)

http://www.macworld.com/news/2007/04/20/machack/index.php

Maar als 99,99% ook goed genoeg is dan zit je voorlopig ook nog goed, want voor zover ik weet is het lek niet gepubliceerd en ik neem aan day Apple hier snel met een update voor zal komen.[/news]

Ik dacht dat het een zero-day exploit was?
Wat zou betekenen dat het gat al gedicht is als je OS X met de meest recente security update hebt.

(Bewerkt door Jules om 18:09, 27-04-2007)

(Bewerkt door Jules om 18:11, 27-04-2007)

Overigens is de kans groot dat deze unwanted feature ook in Konquerer zit en alle browsers die óók gebruik maken van KHTML rendererer.

Overigens was het idd een zero-day exploit. Hoe Jules erbij komt dat dat betekent dat ie dus gefixed is weet ik niet, want een zero-day exploit houdt in dat er dezelfde dag dat het bekend wordt, gebruik gemaakt van wordt. Als de winnaar van de wedstrijd werkelijk het geld gekregen heeft, dan betekent dat dat voor de wedstrijd de exploit bij apple niet bekend had kunnen zijn. En dus is ie nog niet gefixxed.

draadje daar vervolgen ??

Samenvattend: het lek zit in de Java-implementatie voor de Mac, het is gevonden na de laatste security update (en daar zat dus geen fix in) en de hacker heeft er weliswaar 10.000 dollar mee verdient maar vertelt er keurig niets over en heeft de details aan Apple doorgegeven.

Dus (voorlopig?) weinig om ons zorgen te maken...[/news]

Dark Griever om 7:35, 23-04-2007
Voordat allemaal mensen hun java uitgaan zetten. Deze exploit maakte gebruik van de afhandeling van javascript, geen java. Java uitzetten is leuk, maar is voor deze exploit net zo veilig als java aanlaten.

Ik lees anders overal dat het wel over Java gaat en niet over javascript.

Overigens was het idd een zero-day exploit. Hoe Jules erbij komt dat dat betekent dat ie dus gefixed is weet ik niet, want een zero-day exploit houdt in dat er dezelfde dag dat het bekend wordt, gebruik gemaakt van wordt.

Ik heb nooit met windows gewerkt en daarom helemaal geen ervaring met de terminologie. Ik dacht, laat ik de wikipedia eens raadplegen en daar vond ik deze ietwat merkwaardige definitie:

0-day exploits are released before, or on the same day the vulnerability — and, sometimes, the vendor patch — are released to the public. The term derives from the number of days between the public advisory and the release of the exploit. [1]
This definition leaves something to be desired as the name itself is an indication of the vendor patch being available, i.e. the vulnerability affected unpatched systems for zero days.

Vooral de laatste zin zette mij klaarblijkelijk op het verkeerde been.

Overigens is de connectie tussen een zero-day exploit en windows niet geheel duidelijk, maar enfin

Java-bronnen:
http://daringfireball.net/

http://www.matasano.com/log/806/hot-off-the-matasano-sms-queue-cansec-macbook-challenge-won/

Bijna onleesbare blog overigens, die tweede, dus ik twijfel zelf ook enigszins aan de geloofwaardigheid.

zach om 12:55, 23-04-2007
Natuurlijk staat dit morgen op de voorpagina van de Metro.

als ik in de redactie zat wel in ieder geval. waarom mag het wel op de voorpagina van MacFreak en niet van de Metro?

Jules om 2:34, 23-04-2007
Ik dacht dat het een zero-day exploit was?
Wat zou betekenen dat het gat al gedicht is als je OS X met de meest recente security update hebt.

spuit 11 opmerking, wat ik zei was al gezet......nog niet helemaal wakker ofzo...

(Bewerkt door Calvin om 12:45, 27-04-2007)