10. Februar 2016

Philipp Tusch

Framework Sparkle: Viele Mac-Apps können gehackt werden

Das Magazin Ars Technica berichtet von einem potenziellen Einfallstor für Hacker auf dem Mac. Applikationen, die nicht im Mac App Store gehostet sind, sondern mit dem Framework Sparkle auskommen, seien demnach unsicher. Über Sparkle können Entwickler ihre Apps auch ohne den Mac App Store mit automatischen Updates versorgen – wenn der Updateserver allerdings ohne die Verschlüsselungstechnik https aufwartet, könnten Hacker eine Man-in-the-Middle Attacke ausüben.

It involves the way Sparkle interacts with functions built into the WebKit rendering engine to allow JavaScript execution. As a result, attackers with the ability to manipulate the traffic passing between the end user and the server—say, an adversary on the same Wi-Fi network—can inject malicious code into the communication.

Wieviele Apps genau davon betroffen sind, ist unklar. Sicherheitsforscher sprechen von einer „hohen Anzahl“. Unter anderem das populäre Programm DuetDisplax oder eine ältere Version vom VLC Player seien mit dabei.

Nutzern wird geraten, sobald ein Update für die Apps verfügbar ist, dieses schnellstmöglich durchzuführen. Das dürfte allerdings noch ein paar Tage dauern.

Weitere Artikel

Sonos: Apple Music-Unterstützung ab heute offiziell

BookArc Stand von Twelve South – nun auch für das 12″ MacBook

23 Gedanken zu „Framework Sparkle: Viele Mac-Apps können gehackt werden“

  1. Ich verstehe auch nicht warum Apple den Mac AppStore so vernachlässigt :( … Kaum Apps und jetzt auch noch kaum Sicherheit ..
  3. Wie kann man den überprüfen ob für Apps ein Update verfügbar ist ? Bzw. wie kann man das bei alles gleichzeitig prüfen ? „Sudo update“ Oder sudo apt-get Update ? Weil bei mir automatische updates immer deaktiviert habe
  4. Es geht um Apps, die außerhalb des MacAppStores vertrieben werden – hier wird oft auf Sparkle gesetzt, um auf Updates zu überprüfen bzw. diese automatisch zu installieren. Prominentestes Beispiel (wie im Artikel auch genannt) ist der VLC Mediaplayer.
  5. Hoffe ‚1 Password‘ ist nicht dabei. Ich habe diese App nicht über den Store bezogen. Gab es damals sehr preiswert, über die offizielle Webseite, zu Parallels Desktop dazu.
  6. Das Problem ist, dass ein nun angebotenes Update bereits ein Angriffsversuch sein kann…von daher wäre es meiner Meinung nach wahrscheinlich am besten, das Update aus einer vertrauenswürdigen Stelle zu beziehen (bspw. Herstellerseite https-gesichert), nachdem man einen Hinweis auf ein zur Verfügung stehendes Update bekommen hat…
  8. Wenn Apple den Mac Store besser pflegen und attraktiver für die Programmierer und Entwickler gestalten würde, dann gäbe es dort auch mehr und sinnvolle bzw. nützliche Apps. So geschehen müssten nicht die meisten Anwender Programme und Apps ausserhalb laden, und wären nicht diesem Risiko ausgesetzt, welches letztlich nicht nur dem Anwender, sondern auch dem Untenehmen indirekt schadet, selbst wenn sie damit direkt gar nichts zu tun haben. Der Mac Store mag sicher sein, fristet aber ein trauriges Dasein, und erinnert ein wenig an den von MS; 90% Müll, 8% teilen sich unbrauchbar, lieblos oder zu teuer, und die 2% sind Standard-Apps. Für den Rest muss man sich daher außerhalb umsehen. Das das auf Dauer früher oder später zum Risiko wird war abzusehen…

Die Kommentare sind geschlossen.