Ошибка в OS X Lion позволяет сменить пароль без ведома владельца

Ошибка в OS X Lion позволяет сменить пароль без ведома владельца

В блоге Defense in Depth появилось сообщение о том, что одному из исследователей удалось обнаружить серьезную ошибку безопасности в последнем выпуске операционной системы Mac OS X. Изъян позволяет злоумышленнику изменить пароль к учетной записи пользователя, не вводя прежнее кодовое слово.


Необходимо заметить, что в данном случае перед нами не привычная уязвимость в коде, для злоупотребления которой нужен эксплойт; складывается впечатление, что Apple просто забыла вставить соответствующую проверку в новую операционную систему. В прежней версии - Snow Leopard - все было нормально: пользователя просили сначала ввести старый пароль, затем назначить новый и подтвердить его; в новом выпуске OS X первый шаг просто отсутствует. Соответственно, злоумышленник, располагающий физическим или логическим доступом к устройству, может совершенно спокойно устроить смену пароля для того пользователя, учетная запись которого активна в текущий момент времени.

Кроме того, вошедший в систему пользователь располагает возможностью считывать хэши паролей других учетных записей и заниматься их дешифровкой, подбором по словарю и т.п. Для осуществления этой операции даже не требуются привилегии суперпользователя: осуществить считывание нужных сведений можно и без корневых прав доступа к системе. Исследователь отметил, что при наличии подобных изъянов простое посещение инфицированного веб-сайта из-под учетной записи администратора может открыть потенциальному злоумышленнику пути для эскалации пользовательских привилегий и получения удаленного доступа к системе с root-правами.

Теперь пользователям Mac OS X остается лишь ожидать, когда Apple выпустит исправление и ликвидирует уязвимость. До тех пор можно принять некоторые временные меры; сам аналитик, обнаруживший изъян, советует ограничить базовый доступ к утилите управления паролями dscl посредством команды $ sudo chmod 100 /usr/bin/dscl. Кроме того, могут оказаться полезны и стандартные организационные приемы защиты: отключить автовход в систему, активировать парольную блокировку экранной заставки, не оставлять работающее устройство без присмотра в тех местах, где к нему могут свободно получить доступ посторонние, и т.п.

Sophos

Письмо автору

Подтверждение возраста через MAX закрепят законом

В Госдуме РФ завершено рассмотрение законопроекта о поправках, закрепляющих возможность подтверждения возраста с помощью MAX. Предложенные изменения приняты во втором и третьем чтении и ждут одобрения Совфеда.

Согласно сообщению Думы, при использовании мессенджера с этой целью паспорт уже не понадобится.

Подтверждать возраст через MAX можно будет в следующих случаях:

  • при покупке алкоголя, тоников, табака, а также кальянов и подобных им устройств;
  • при подаче заявки на участие в лотерее;
  • при посещении зрелищных мероприятий.

В MAX уже реализована функциональность, позволяющая на основе данных с Госуслуг создать доказательство совершеннолетия — цифровой ID.

В сентябре новую опцию запустили в пилотном режиме в торговой сети «Магнит». По всей видимости, обкатка проходит успешно.

RSS: Новости на портале Anti-Malware.ru