aihmè, un bug di sicurezza OS 10.4.5 (file zip e jpg)

[Mac 4 Life]

scusate, ma non ho avuto risposta, quindi richiedo: ho scaricato il test, mi è comparso uno zip sulla scrivania, poi ho doppio cliccato sullo zip e mi si è aperto, mi è comparso un file quick]

Sì.

[Rollei]

a quando un aggiornamento? ??:

[Mac 4 Life]

Intanto, se usi Firefox o Camino il file scaricato non si apre.

Fai mela + i per vedere di cosa di tratta realmente, anche se l'estensione è .mov e l'icona è quella di un filmato leggibile da QuickTime.

Mela + i sul file test, per esempio, dice «documento Terminale».

[Nemesis]

scusate, ma non ho avuto risposta, quindi richiedo: ho scaricato il test, mi è comparso uno zip sulla scrivania, poi ho doppio cliccato sullo zip e mi si è aperto, mi è comparso un file quick]

Salve, ad oggi nessun update sicurezza da parte di Apple e quindi il modo migliore per essere sicuri è quello di impedire ad un utente di usare il Terminale quindi impostare a /dev/null la sua shell: infatti, se la shell è comunque sempre /bin/bash (quella di default), l'utente potrà sempre usare un'altra applicazione che faccia le veci del Terminale, o fare un login remoto (se ssh è attivo) e avere comunque a disposizione una linea di comando. Invece, impostando a /dev/null la shell dell'utente, questi non avrà a disposizione, in nessun caso, una shell dalla quale operare. Questa impostazione si fa tramite Gestione NetInfo.

[flashcream]

c'è una soluzione ancora più semplice

basta spostare il terminale dalla cartella applicazioni (applicazioni/utility) e metterlo dove si vuole, aspettando il rilascio di un security update

non succede più nulla in quanto niente può più essere eseguito arbitrariamente e soprattutto automaticamente

rifate il test...

ps: ovviamente se ci cliccate sopra due volte al file .mov scaricato è come prima ma vi sarete già accorti che non è un mov (infatti QT non lo riconosce)

[radapple]

Grazie a tutti

[kamaferro]

c'è una soluzione ancora più semplice

basta spostare il terminale dalla cartella applicazioni (applicazioni/utility) e metterlo dove si vuole, aspettando il rilascio di un security update

non succede più nulla in quanto niente può più essere eseguito arbitrariamente e soprattutto automaticamente

rifate il test...

ps: ovviamente se ci cliccate sopra due volte al file .mov scaricato è come prima ma vi sarete già accorti che non è un mov (infatti QT non lo riconosce)

Flashcream,

ho appena letto questo in rivista inglese e poi visto vostri posts qui. Si suggerisce di non usare computer come administrator ma come ulteriore user.

Potresti spiegarmi cosa dici del test, non capisco, non vorrei incasinarmi, non capisco cosa significa spostare terminale etc............

Grazie

Vulnerability discovered in Mac OS X and Safari 11:48AM
A vulnerability has been discovered in Mac OS X and Safari, which can be exploited to severely compromise a user's system. Secunia has rated the vulnerability as extremely critical.

The vulnerability is caused by an error in the processing of file association meta data (stored in the '__MACOSX' folder) in zip archives. This can be exploited to trick users into executing a malicious shell script renamed to a safe file extension stored in a zip archive. For instance a shell script that deletes your entire Home folder could be disguised as a jpeg and then 'hidden' inside a zip archive.

The vulnerability can be closed by turning off 'Open "safe' files after downloading' in Safari's preferences and by not opening any zip archives from untrusted or unknown sources. In addition, security is only compromised if you are working in Administrator (or root) mode. Security experts recommend only logging in as an Administrator when necessary - to install software for instance - and creating a non-admin account for day-to-day work.

[kamaferro]

scusate, ma non ho avuto risposta, quindi richiedo: ho scaricato il test, mi è comparso uno zip sulla scrivania, poi ho doppio cliccato sullo zip e mi si è aperto, mi è comparso un file quick]

Salve, ad oggi nessun update sicurezza da parte di Apple e quindi il modo migliore per essere sicuri è quello di impedire ad un utente di usare il Terminale quindi impostare a /dev/null la sua shell: infatti, se la shell è comunque sempre /bin/bash (quella di default), l'utente potrà sempre usare un'altra applicazione che faccia le veci del Terminale, o fare un login remoto (se ssh è attivo) e avere comunque a disposizione una linea di comando. Invece, impostando a /dev/null la shell dell'utente, questi non avrà a disposizione, in nessun caso, una shell dalla quale operare. Questa impostazione si fa tramite Gestione NetInfo.

Scusami NEmesis, ma non capisco ninete di quello che dici, sono proprio a zero di queste cose, potresti essere più semplice ?ù

Grazie

[avrobay]

L'Oroscopo consiglia di... rilassarsi!

[flashcream]

L'Oroscopo consiglia di... rilassarsi!

e per tutti e 12 i segni... l'ho letto anch'io