Neue, alte Sicherheitslücke in Mail.app

Seit “Leopard” hat Mail.app wieder eine altbekannte Sicherheitslücke. Es öffnet ohne (!) Warnung ein als Bilddatei getarntes Shellskript. Die Warnung “xx.jpg ist möglicherweise ein Programm…” kommt erst nach (!) dem ersten Öffnen – nicht sehr konsequent.

Um den Leck zu testen, kann man einen heisec Mailservice nutzen. Es wird folgend ein Shellskript namens Heise.jpg zugesandt. Es beinhaltet nur:

/bin/ls -al
echo
echo
echo “heise Security: Sie sind verwundbar.”
echo
echo


…zeigt aber deutlich den Ernst dieser Lücke.

[via fscklog]

~ von David am November 20, 2007.