aihmè, un bug di sicurezza OS 10.4.5 (file zip e jpg)
-
Mac 4 Life
- Leggenda di Mac Peer
- Posts: 2919
- Joined: Thu Oct 27, 2005 2:04 am
-
Mac 4 Life
- Leggenda di Mac Peer
- Posts: 2919
- Joined: Thu Oct 27, 2005 2:04 am
[quote="Roccia"]scusate, ma non ho avuto risposta, quindi richiedo: ho scaricato il test, mi è comparso uno zip sulla scrivania, poi ho doppio cliccato sullo zip e mi si è aperto, mi è comparso un file quick]
Salve, ad oggi nessun update sicurezza da parte di Apple e quindi il modo migliore per essere sicuri è quello di impedire ad un utente di usare il Terminale quindi impostare a /dev/null la sua shell: infatti, se la shell è comunque sempre /bin/bash (quella di default), l'utente potrà sempre usare un'altra applicazione che faccia le veci del Terminale, o fare un login remoto (se ssh è attivo) e avere comunque a disposizione una linea di comando. Invece, impostando a /dev/null la shell dell'utente, questi non avrà a disposizione, in nessun caso, una shell dalla quale operare. Questa impostazione si fa tramite Gestione NetInfo.
Salve, ad oggi nessun update sicurezza da parte di Apple e quindi il modo migliore per essere sicuri è quello di impedire ad un utente di usare il Terminale quindi impostare a /dev/null la sua shell: infatti, se la shell è comunque sempre /bin/bash (quella di default), l'utente potrà sempre usare un'altra applicazione che faccia le veci del Terminale, o fare un login remoto (se ssh è attivo) e avere comunque a disposizione una linea di comando. Invece, impostando a /dev/null la shell dell'utente, questi non avrà a disposizione, in nessun caso, una shell dalla quale operare. Questa impostazione si fa tramite Gestione NetInfo.
-
flashcream
- Posts: 38388
- Joined: Fri Apr 22, 2005 8:41 pm
c'è una soluzione ancora più semplice
basta spostare il terminale dalla cartella applicazioni (applicazioni/utility) e metterlo dove si vuole, aspettando il rilascio di un security update
non succede più nulla in quanto niente può più essere eseguito arbitrariamente e soprattutto automaticamente
rifate il test...
ps: ovviamente se ci cliccate sopra due volte al file .mov scaricato è come prima ma vi sarete già accorti che non è un mov (infatti QT non lo riconosce)
basta spostare il terminale dalla cartella applicazioni (applicazioni/utility) e metterlo dove si vuole, aspettando il rilascio di un security update
non succede più nulla in quanto niente può più essere eseguito arbitrariamente e soprattutto automaticamente
rifate il test...
ps: ovviamente se ci cliccate sopra due volte al file .mov scaricato è come prima ma vi sarete già accorti che non è un mov (infatti QT non lo riconosce)
Flashcream,flashcream wrote:c'è una soluzione ancora più semplice
basta spostare il terminale dalla cartella applicazioni (applicazioni/utility) e metterlo dove si vuole, aspettando il rilascio di un security update
non succede più nulla in quanto niente può più essere eseguito arbitrariamente e soprattutto automaticamente
rifate il test...
ps: ovviamente se ci cliccate sopra due volte al file .mov scaricato è come prima ma vi sarete già accorti che non è un mov (infatti QT non lo riconosce)
ho appena letto questo in rivista inglese e poi visto vostri posts qui. Si suggerisce di non usare computer come administrator ma come ulteriore user.
Potresti spiegarmi cosa dici del test, non capisco, non vorrei incasinarmi, non capisco cosa significa spostare terminale etc............
Grazie
Vulnerability discovered in Mac OS X and Safari 11:48AM
A vulnerability has been discovered in Mac OS X and Safari, which can be exploited to severely compromise a user's system. Secunia has rated the vulnerability as extremely critical.
The vulnerability is caused by an error in the processing of file association meta data (stored in the '__MACOSX' folder) in zip archives. This can be exploited to trick users into executing a malicious shell script renamed to a safe file extension stored in a zip archive. For instance a shell script that deletes your entire Home folder could be disguised as a jpeg and then 'hidden' inside a zip archive.
The vulnerability can be closed by turning off 'Open "safe' files after downloading' in Safari's preferences and by not opening any zip archives from untrusted or unknown sources. In addition, security is only compromised if you are working in Administrator (or root) mode. Security experts recommend only logging in as an Administrator when necessary - to install software for instance - and creating a non-admin account for day-to-day work.
Nemesis wrote:Roccia wrote:scusate, ma non ho avuto risposta, quindi richiedo: ho scaricato il test, mi è comparso uno zip sulla scrivania, poi ho doppio cliccato sullo zip e mi si è aperto, mi è comparso un file quick]
Salve, ad oggi nessun update sicurezza da parte di Apple e quindi il modo migliore per essere sicuri è quello di impedire ad un utente di usare il Terminale quindi impostare a /dev/null la sua shell: infatti, se la shell è comunque sempre /bin/bash (quella di default), l'utente potrà sempre usare un'altra applicazione che faccia le veci del Terminale, o fare un login remoto (se ssh è attivo) e avere comunque a disposizione una linea di comando. Invece, impostando a /dev/null la shell dell'utente, questi non avrà a disposizione, in nessun caso, una shell dalla quale operare. Questa impostazione si fa tramite Gestione NetInfo.
Scusami NEmesis, ma non capisco ninete di quello che dici, sono proprio a zero di queste cose, potresti essere più semplice ?ù
Grazie
-
flashcream
- Posts: 38388
- Joined: Fri Apr 22, 2005 8:41 pm
