Emoji-lek in macOS laat aanvaller code als root vanaf lock screen uitvoeren
Een kwetsbaarheid in het emoji-onderdeel van macOS maakt het mogelijk voor een aanvaller om op vergrendelde systemen code als root uit te voeren, alsmede via Siri gevoelige gebruikersgegevens te stelen. Daarnaast is het mogelijk voor malafide websites om het surfgedrag van Safari-gebruikers te achterhalen of onopgemerkt de microfoon in te schakelen en kan een aanvaller zonder authenticatie toegang tot de passkeys van de gebruiker krijgen. Apple heeft updates uitgebracht om de problemen te verhelpen.
De updates zijn beschikbaar voor macOS Sonoma, Ventura en Monterey en verhelpen tientallen kwetsbaarheden in de besturingssystemen. Zo zijn er verschillende beveiligingslekken in WebKit gepatcht waardoor alleen het bezoeken van een malafide of gecompromitteerde website of te zien krijgen van besmette advertenties voldoende is om een aanvaller code op het systeem te laten uitvoeren. Verdere interactie van gebruikers is niet vereist.
Daarnaast heeft Apple ook meerdere kwetsbaarheden gepatcht waardoor een aanvaller met fysieke toegang tot een Mac misbruik van kan maken. Zo maakt een beveiligingslek in 'Emoji' het voor een aanvaller mogelijk om vanaf het lock screen willekeurige code als root uit te voeren. Een kwetsbaarheid in Siri laat een aanvaller gevoelige gebruikersgegevens stelen. Door een lek in Find My is het mogelijk voor al geïnstalleerde apps om gevoelige locatiegegevens van de gebruiker te achterhalen. Verder zorgt een beveiligingslek in WindowServer ervoor dat een website de microfoon kan inschakelen zonder dat de bijbehorende indicator wordt getoond. Apple maakt geen melding van actief misbruik van de kwetsbaarheden.
Dat is inmiddels al verholpen bij de laatste update van Sonoma.
nooit die totaal onnodige Emoji's willen hebben,
nooit kunnen weigeren ook.
En nu ineens -nota bene- een root-access aanval.
Bah.
Er zal ongetwijfeld een moment komen dat Apple overgaat naar een Linux kernel want het ecosysteem om te onderhouden is te klein.
Tja, dat was bij Windows voor het laatst in Windows 98 geloof ik. Apple heeft nog wat werk in te halen.
Er zal ongetwijfeld een moment komen dat Apple overgaat naar een Linux kernel want het ecosysteem om te onderhouden is te klein.
WebKit Bugzilla: 259836
CVE-2023-40447:
WebKit Bugzilla: 259890
CVE-2023-41976:
WebKit Bugzilla: 260173
CVE-2023-42852:
WebKit Bugzilla: 260757
CVE-2023-41983:
Er zal ongetwijfeld een moment komen dat Apple overgaat naar een Linux kernel want het ecosysteem om te onderhouden is te klein.
WebKit Bugzilla: 259836
CVE-2023-40447:
WebKit Bugzilla: 259890
CVE-2023-41976:
WebKit Bugzilla: 260173
CVE-2023-42852:
WebKit Bugzilla: 260757
CVE-2023-41983:
Er zal ongetwijfeld een moment komen dat Apple overgaat naar een Linux kernel want het ecosysteem om te onderhouden is te klein.
WebKit Bugzilla: 259836
CVE-2023-40447:
WebKit Bugzilla: 259890
CVE-2023-41976:
WebKit Bugzilla: 260173
CVE-2023-42852:
WebKit Bugzilla: 260757
CVE-2023-41983:
Impact: Processing web content may lead to arbitrary code execution
So, the words arbitrary code execution above really stand for remote code execution, or RCE.
Web-based RCE exploits generally give attackers a way to lure you to a booby-trapped website that looks entirely unexceptionable and unthreatening, while implanting malware invisibly simply as a side-effect of you viewing the site.
A web RCE typically doesn’t provoke any popups, warnings, download requests or any other visible signs that you are initiating any sort of risky behaviour, so there’s no point at which attacker needs catch you out or to trick you into taking the sort of online risk that you’d normally avoid.
That’s why this sort of attack is often referred to as a drive-by download or a drive-by install.
https://news.sophos.com/en-us/2023/02/14/apple-fixes-zero-day-spyware-implant-bug-patch-now/
Er zal ongetwijfeld een moment komen dat Apple overgaat naar een Linux kernel want het ecosysteem om te onderhouden is te klein.
WebKit Bugzilla: 259836
CVE-2023-40447:
WebKit Bugzilla: 259890
CVE-2023-41976:
WebKit Bugzilla: 260173
CVE-2023-42852:
WebKit Bugzilla: 260757
CVE-2023-41983:
[..]
Dat staat niet in de Apple info. Graag een onderbouwing hiervoor want MacOS is geen Windows.
Er zal ongetwijfeld een moment komen dat Apple overgaat naar een Linux kernel want het ecosysteem om te onderhouden is te klein.
hahaha. Je hebt duidelijk echt geen idee van de omvang van ecosystemen ..
Als er één bedrijf is dat ideaal in staat is om een eigen kernel te onderhouden is het Apple wel.
Ze verkopen waanzinnig veel , maken scheepsladingen winst , en hebben volledige controle/keuze over het heel kleine aantal hardware platformen waarop hun OS/OS'en draaien .
Ze zouden slechts een handvol developers (enkele tientallen ?) besparen met een Linux kernel - (nog steeds eigen devs nodig voor porten naar de eigen hardware, en tweaken/tunen) . En alle userland devs voor de niet-kernel delen blijven .
Daarnaast doen ze dingen die (nog) niet uitontwikkeld zijn in Linux - want te weinig generieke hardware die de functie heeft of vraagt . (low power , mixed performance cores ).
Je overschat waarschijnlijk enorm hoeveel devs er nu echt nodig zijn voor puur een kernel op enkel (of enkele) hardware platformen .
Het aantal contributors aan Linux is heel groot - maar er zit enorm veel aan ports en drivers .
Aimgh (Larry Mc Voy schreef dat wel eens) was het kernel team van Sun iets van 25-30 mensen.
Windows kernel team is ca 250-300 pp . (google).
Zoek zelf maar even terug in Brooks hoe veel mensen aan dat hele IBM OS werkten - ook geen aantallen die voor Apple 'te duur' zijn.
Dus een van de weinige echte UNIX systemen https://www.opengroup.org/openbrand/register/, dat ook nog eens open source is voor een groot gedeelte https://github.com/apple-oss-distributions/xnu zou je verwachten dat de overstap maakt naar Linux?
Mijn inziens is de mate waarin hun hele ecosysteem juist is opgezet nu ideaal voor ze en bouwen ze op een hele stabiele core.
Er zullen vast macs bij Apple intern op linux draaien (dat werkt prima natuurlijk), misschien zelfs wel met hun visuele layer, maar de keuzevrijheid die ze nu hebben zullen ze denk ik niet graag opgeven.
Er zal ongetwijfeld een moment komen dat Apple overgaat naar een Linux kernel want het ecosysteem om te onderhouden is te klein.
WebKit Bugzilla: 259836
CVE-2023-40447:
WebKit Bugzilla: 259890
CVE-2023-41976:
WebKit Bugzilla: 260173
CVE-2023-42852:
WebKit Bugzilla: 260757
CVE-2023-41983:
[..]
Dat staat niet in de Apple info. Graag een onderbouwing hiervoor want MacOS is geen Windows.
Er zal ongetwijfeld een moment komen dat Apple overgaat naar een Linux kernel want het ecosysteem om te onderhouden is te klein.
hahaha. Je hebt duidelijk echt geen idee van de omvang van ecosystemen ..
Als er één bedrijf is dat ideaal in staat is om een eigen kernel te onderhouden is het Apple wel.
Ze verkopen waanzinnig veel , maken scheepsladingen winst , en hebben volledige controle/keuze over het heel kleine aantal hardware platformen waarop hun OS/OS'en draaien .
Ze zouden slechts een handvol developers (enkele tientallen ?) besparen met een Linux kernel - (nog steeds eigen devs nodig voor porten naar de eigen hardware, en tweaken/tunen) . En alle userland devs voor de niet-kernel delen blijven .
Daarnaast doen ze dingen die (nog) niet uitontwikkeld zijn in Linux - want te weinig generieke hardware die de functie heeft of vraagt . (low power , mixed performance cores ).
Je overschat waarschijnlijk enorm hoeveel devs er nu echt nodig zijn voor puur een kernel op enkel (of enkele) hardware platformen .
Het aantal contributors aan Linux is heel groot - maar er zit enorm veel aan ports en drivers .
Aimgh (Larry Mc Voy schreef dat wel eens) was het kernel team van Sun iets van 25-30 mensen.
Windows kernel team is ca 250-300 pp . (google).
Zoek zelf maar even terug in Brooks hoe veel mensen aan dat hele IBM OS werkten - ook geen aantallen die voor Apple 'te duur' zijn.
Dus een van de weinige echte UNIX systemen https://www.opengroup.org/openbrand/register/, dat ook nog eens open source is voor een groot gedeelte https://github.com/apple-oss-distributions/xnu zou je verwachten dat de overstap maakt naar Linux?
Mijn inziens is de mate waarin hun hele ecosysteem juist is opgezet nu ideaal voor ze en bouwen ze op een hele stabiele core.
Er zullen vast macs bij Apple intern op linux draaien (dat werkt prima natuurlijk), misschien zelfs wel met hun visuele layer, maar de keuzevrijheid die ze nu hebben zullen ze denk ik niet graag opgeven.
Er zijn de laatste tijd veel zeroday problemen in het Apple systeem. Dat is een indicatie. Uiteindelijk gaat men het afleggen tegen de grote massa ontwikkelaars van andere systemen.
En jij gaat ervan uit dat deze zeroday's er per ongeluk inzitten? Ook al is Apple daar niet bewust mee bezig, na Snowden weten we dat de NSA er altijd mensen heeft werken.
"Processing web content may lead to arbitrary code execution." staat er gewoon. Zo, nu is het hapklaar voor je opgediend. Moet er ook nog iemand voor je voorkauwen?
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.