Uusi haavoittuvuus Mac OS X:ssä
keskiviikkona 6. huhtikuuta 2005Mac OS X:stä juuri löydetty tietoturvahaavoittuvuus on erittäin hyvä muistutus siitä, että myös Mac OS X on ihmisten suunnittelema käyttöjärjestelmä, ja että Apple ei loppujen lopuksi ole kovinkaan erilainen muihin alan yrityksiin verrattuna. Haavoittuvuus mahdollistaa troijalaisen ohjelman hankkia itselleen root-oikeudet ilman käyttäjän autentikointia (ja ilman että root-tunnusta on edes aktivoitu), mutta Apple kieltää ongelman olemassaolon vetoamalla siihen, että ”ylläpitäjän ei pidä ajaa mielivaltaisia ohjelmia”.
Ongelma perustuu siihen, että admin-oikeuksilla (jota useimmat käyttäjät käyttävät päätunnuksenaan koska se on OS X:lle ensimmäinen oletuksena luotava tunnus) ajetun sudo-komennon tai vastaavan autentikointia vaativan ohjelman vanavedessä on jonkun toisen ohjelman mahdollista asentua ilman minkäänlaista autentikointia. Hyvä juttu on onneksi se, että ongelmaan on helppoja parannuskonsteja. Ongelman tarkempi kuvaus, haavoittuvuutta hyödyntävä esimerkkiohjelma ja neuvot haavoittuvuuden paikkaamiseen löytyy SecurityFocuksen sivuilta.
