Apple stopft zahlreiche Sicherheitslöcher in OS X und Safari

Apple hat zahlreiche Sicherheitslücken in seinem Desktop-Betriebssystem OS X und seinem Browser Safari geschlossen. Die Fixes sind in OS X 10.10.3 Yosemite, Safari 8.05, 7.1.5 und 6.2.5 enthalten. Für OS X 10.9.5 Mavericks sowie OS X 10.8.5 Mountain Lion steht zudem das Sicherheitsupdate 2105-004 zur Verfügung.

In OS X stecken einem Advisory zufolge insgesamt 78 Schwachstellen. Apple patcht unter anderem die Komponenten ATS, CFURL, CoreAnimation, FontParser, Graphics Driver, Hypervisor, Kernel, LaunchServices und WebKit. Ein Angreifer könnte unter Umständen Schadcode einschleusen und sogar mit System-Rechten ausführen. Dafür muss er ein Opfer beispielsweise auf eine speziell präparierte Website locken oder dazu bringen, eine manipulierte Schrift-Datei zu laden.

Ein Fehler im Hypervisor sowie zwei Kernel-Bugs ermöglichen wiederum DoS-Angriffe, Ein anderer Kernel-Fehler kann dazu führen, dass das Betriebssystem unerwartet herunterfährt. Apple beseitigt außerdem einen Speicherfehler, der beim Umgang mit iWork-Dateien auftritt. OS X 10.10.3 sowie das Sicherheitsupdate 2015-004 enthalten zudem einen Fix für eine Lücke in WebKit, die der Sicherheitsforscher JungHoon Lee Ende März auf dem Hackerwettbewerb Pwn2Own präsentiert hatte.

Apple liefert mit den Sicherheitsupdates aber auch Patches aus, die Drittanbieter bereitgestellt haben. Unter anderem schließt Apple so 9 Lücken in Apache, 2 Lücken in OpenLDAP, 6 Lücken in OpenSSL und 21 Schwachstellen in PHP.

Das Unternehmen aus Cupertino hat zudem ein Update für Safari bereitgestellt, das 10 Anfälligkeiten beheben soll. Es soll unter anderem verhindern, dass gefährliche Websites Nutzer verfolgen. Das ist offenbar möglich, weil Safari nicht korrekt prüft, ob ein Client-Zertifikat zur SSL-Authentifizierung passt. Die jetzt als unsicher eingestuften Safari-Versionen sind zudem unter Umständen nicht in der Lage, den Browserverlauf vollständig zu löschen.

Sieben Löcher stopft Apple alleine in der Browserengine WebKit. Darunter sind fünf Speicherfehler, die einen Absturz der Anwendung auslösen können und eine Remotecodeausführung erlauben. WebKit erfasst möglicherweise aber auch den Browserverlauf, obwohl ein Nutzer den Privatsphäremodus gestartet hat.

Die Updates verteilt Apple über die Softwareaktualisierung. Sie können auch von der Apple-Website heruntergeladen werden. Aufgrund der Schwere der Anfälligkeiten sollten betroffene Nutzer die Patches so schnell wie möglich installieren.

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de