Nieuws
image

Beveiligingsbedrijf roept op tot boycot QuickTime filmpjes

maandag 11 december 2006, 15:19 door Redactie, 5 reacties

De worm die een week geleden honderden MySpace gebruikers via een "feature" in Apple QuickTime infecteerde is nog steeds niet gepatcht. Het Finse beveiligingsbedrijf F-Secure raadt websites dan ook aan om alle QuickTime content te blokkeren totdat er een update beschikbaar is.

Het probleem met QuickTime is dat het niet de "same origin policy" handhaaft en gebruikers niet waarschuwt als er JavaScript van externe bronnen wordt geladen. Twee dingen die je zou verwachten dat een applicatie doet, maar niet in het geval van Apple's mediaspeler.

Apple heeft het probleem nog niet steeds al beveiligingsprobleem bestempeld. Sterker nog, het beweert dat dit een legitieme feature is. Apple bracht een fix uit voor MySpace gebruikers, maar dan alleen voor gebruikers met Internet Explorer. Gebruikers van andere browsers lopen nog steeds risico. Daarnaast zijn andere websites nog steeds kwetsbaar voor dezelfde worm.

Verder zit er nog een ander soortgelijk lek in QuickTime dat al enige tijd bekend is, maar nog steeds niet is opgelost. Deze kwetsbaarheid kan op dezelfde manier als het "HREF track flaw" worden misbruikt. Voorlopig dus geen QuickTime filmpjes als het aan F-Secure ligt.

Reacties (5)
11-12-2006, 17:41 door G-Force
Gewoon via Firefox en SeaMonkey de plugin NoScript
installeren en QuickTime blokkeren. Als Apple de zaak niet
wil repareren dan is het blokkeren van de QuickTime-content
de enige optie die nog overblijft. Wat dat betreft geef ik
F-secure wel gelijk.
11-12-2006, 19:27 door Anoniem
Blokkeert de javascript-blokkeerder ook java-script die via
quicktime uitgevoerd wordt?
Een andere optie is firefox (of zeeaap) op linux draaien :)
11-12-2006, 20:46 door Anoniem
Koop een Mac, dan kan je Quicktime zonder probleem gebruiken en
zonder geinfecteerd te raken!!

Ik denk dat dit de achterliggende bedoeling is van Apple om WIndows
gebruikers aan te moedingen om te 'switchen' ;))
12-12-2006, 08:50 door Anoniem
Dit lijkt dus de standaard reactie van Apple te zijn op
bekende incidenten: ontkennen tot er geen houden meer aan
is. Volgende stap is bagatelliseren ("het valt wel mee"), om
enkele maanden daarna alsnog met een fix te komen.

Zo jammer dat het op deze manier moet. Microsoft is op deze
manier begonnen toen de eerste bugs en lekken bekend werden,
maar die zijn in ieder geval zo ver dat ze nu iedere 2e
dinsdag van de maand standaard patches uitgeven...
12-12-2006, 12:06 door Ed Dekker
Blah, blah, blah.
De 'same origin rule' is absoluut geen veilighiedsgarantie,
hooguit een extra hobbeltje. Waarom dat als mogelijke patch
gezien wordt ontgaat mij.

Als het uitblijven van een echte oplossing een reden zou
moeten zijn om bepaalde content te mjden, dan ken ik nog wel
een paar kandidaten voor de lijst. Helaas wordt het dan een
volstrekt onwerkbare wereld.

[BTW F-Secure heeft in het verleden al eens vaker een hoop
lawaai over een vermeend beveiligingsprobleem gemaakt]
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search