Nieuws
image

Safari lekt wachtwoorden via opgeslagen vorige sessies

vrijdag 13 december 2013, 12:34 door Redactie, 6 reacties

Apple Safari blijkt gebruikersnamen en wachtwoorden van gebruikers onversleuteld in een bestand te bewaren, waar het eenvoudig door malware is te vinden, zo waarschuwt het Russische anti-virusbedrijf Kaspersky Lab. Safari kan net als veel andere browsers de vorige sessie van de gebruiker herstellen.

Het gaat dan om alle websites die op dat moment geopend waren, waaronder websites waar de gebruiker was ingelogd. De informatie om de sessie te herstellen bewaart Safari onversleuteld in een standaard plist-bestand, waar het eenvoudig te benaderen is. Het bestand wordt wel in een verborgen map opgeslagen, maar kan door iedereen worden gelezen.

"Stel je voor dat cybercriminelen of een kwaadaardig programma toegang tot het LastSession.plist-bestand op het systeem krijgt waar gebruikers op Facebook, Twitter, LinkedIn of hun online bankrekening inloggen", zegt analist Vyacheslav Zakorzhevsky. Het probleem werd aangetroffen op Mac OS X 10.7.5 en 10.8.5 met Safari 6.0.5.

Malware

"Wat ons betreft is het onversleuteld opslaan van vertrouwelijke informatie met onbeperkte toegang een groot beveiligingslek dat kwaadwillende gebruikers de mogelijkheid geeft om met zeer weinig moeite gegevens van gebruikers te stelen", aldus de analist. Apple is inmiddels over het probleem ingelicht. Zakorzhevsky zegt nog geen malware te kennen die misbruik van het lek maakt, maar stelt dat dit slechts een kwestie van tijd is.

Image

Reacties (6)
13-12-2013, 15:40 door Anoniem
Tja,ik weet niet of Apple dit lek al heeft verholpen dan,in OSX Maverics.
Volgens bronnen die ik heb gelezen is Apple al bezig met een eerste service update voor Maverics,welke dan dan van 10.9 naar 10.9.1 gaat.
Welke Bugs er dan eventueel verholpen zullen worden is mij echter nog niet goed bekend.
Misschien dan dit lek in Safari ook.
13-12-2013, 17:27 door Briolet
Ik vermoed dat dit lek niet in Marvericks zit. Marvericks is nu ruim een maand uit dus kan ik me niet voorstellen dat Kaspersky dat niet ook in hun onderzoek meegenomen heeft. Blijkbaar was er niets over te melden.
13-12-2013, 21:05 door Ed Dekker
Wat gek om een MS-DOS-achtig screenshot bij te leveren, terwijl het over Safari op Macs gaat.
Overigens heeft Mavericks Safari 7. En in de LastSession.plist daarvan zie ik niets, terwijl ik nu ingelogd ben op security.nl.
Verder lijkt het er sterk op dat het screenshot een URL laat zien en het dus eerder een fout van de website is.
14-12-2013, 09:36 door Briolet
Ik lees net ook op NU.nl een stukje over ditzelfde onderwerp. Daar lees ik dat het probleem al 2 maand geleden opgelost is met de release van Safari 6.1 (Release datum 22 oktober 2013). Aan Safari 6.1 zijn veel features toegevoegd die ook in Safari 7 zitten. En met Safari 7 heeft dat probleem nooit gespeeld.

Het nieuws van Kaspersky is dus een beetje achterhaald. Ze hebben de test niet met de actuele verse voor de betreffende systemen uitgevoerd. Ze hadden er bij moten schrijven dat dit probleem alleen speelt voor hen die Safari nooit updaten, want dat moeten ze geweten hebben.
14-12-2013, 23:03 door Anoniem
Hilarisch en saillant detail op de Kaspersky pagina zelf

"If you would like to comment on this article you must first login"
16-12-2013, 09:18 door mattiasvdm
The function is available in the following versions of Mac OS X and Safari:

OSX10.8.5, Safari 6.0.5 (8536.30.1)
OSX10.7.5, Safari 6.0.5 (7536.30.1)

Aldus Kasperky
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search