Fehlende Download-Abfrage macht Safari unsicher

Der Experte hat insgesamt drei mögliche Sicherheitslücken im Safari-Browser entdeckt. Apple reagiert auf die Sicherheitslücken ganz gelassen. Das Unternehmen stufte nur eine der Lücken als ernstes Problem ein und versprach dafür einen Patch. In den beiden anderen Fällen lehnte es Apple ab, die vermeintlichen Sicherheitslücken als sicherheitsrelevant einzustufen.

Dhanjani beschreibt in seinem Blogeintrag ‘Safari Streubombe’ einen Angriff über eine speziell manipulierte Webseite, bei der Schadcode in beliebigem Umfang auf dem Rechner eines Safari-Nutzers gespeichert wurde.

Der Sicherheitsforscher nutzte dabei den Umstand aus, dass Safari vor einem Download den Nutzer nicht um Erlaubnis fragt. Mit einem Proof-of-Concept zeigte Dhanjani, wie beim Besuch einer Website das voreingestellte Verzeichnis für Downloads mit Dateien überflutet werden kann.

Nach Meinung des Experten stellt das Fehlen einer Download-Bestätigung ein großes Sicherheitsrisiko dar. Nach Angaben von Dhanjani geht vor allem deshalb eine Gefahr davon aus, weil Safari den Anwender auch nicht warnt, wenn eine lokale Quelle versucht Client-seitiges Scripting auszulösen. Apple sollte sich ein Beispiel an Firefox und dem Internet Explorer nehmen, denn diese verlangen stets eine Bestätigung durch den Nutzer.

Silicon-Redaktion

Recent Posts

Studie: Rund ein Drittel der APIs sind ungeschützt

Angriffe auf APIs und Webanwendungen sind zwischen Januar 2023 und Juni 2024 von knapp 14…

1 Tag ago

Universitätsmedizin Essen setzt für E-Mail-Sicherheit auf NoSpamProxy

Mit täglich über 45.000 eingehenden E-Mails ist die IT-Abteilung des Klinikums durch Anhänge und raffinierte…

1 Tag ago

Bau-Spezialist Schöck: Migration von SAP ECC ERP auf S/4HANA

Bau- und Fertigungsspezialist investiert in die S/4HANA-Migration und geht mit RISE WITH SAP in die…

3 Tagen ago

Pure Storage: Cloud, KI und Energieeffizienz

Trends 2025: Rasante Entwicklungen bei Automatisierung, KI und in vielen anderen Bereichen lassen Unternehmen nicht…

4 Tagen ago

GenKI verbessert Datenmanagement und Angebotsgenauigkeit

DHL Supply Chain nutzt generative KI-Anwendungen für Datenbereinigung und präzisere Beantwortung von Angebotsanforderungen (RFQ).

5 Tagen ago

Rolls-Royce Power Systems nutzt industrielle KI aus der IFS Cloud​

Marke mtu will globale Serviceabläufe optimieren und strategische Ziele hinsichtlich Effizienz, Nachhaltigkeit und Wachstum unterstützen.

5 Tagen ago