Newsgroup: it.comp.macintosh
Titolo: Possibile vulnerabilità di Mac OS X via Installer

salve,
segnalo un breve ma interessante articolo con esempio su come un
Installer (.pkg) potrebbe pasticciare con la lista di sudoers ed esporre
a vulnerabilità sistemi con Mac OS X.
"How a Malformed Installer Package Can Crack Mac OS X"
<
http://www.macgeekery.com/tips/security/how_a_malformed_installer_packa
ge_can_crack_mac_os_x>
-- 
Nicola D'Agostino
<!-- 
http://www.nicoladagostino.net
 -->
<!-- 
http://www.nezmar.com
 -->

 a vulnerabilità sistemi con Mac OS X.
Mi pare bizzarro che un pacchetto con autorizzazione admin possa leggere
e scrivere file di root.
Comunque la cosa e' a bassa priorita' perche' ci sono cinque schermate
di conferma prima di installare qualcosa, mica zero, e Safari avvisa se
trova un .pkg nell'immagine disco.
 - ∞
-- 
http://millenomi.altervista.org/

 ge_can_crack_mac_os_x>
Interessante... ma in pratica cosa dice? Che un installer può fregare
l'OS? Mi pare relativamente normale.
Mi spiego la migliore soluzione sarebbe che chiedesse comunque la
password. E l'utente gliela darebbe, poichè siamo abituati che un
software quando si installa abbia bisogno dei permessi di root.
Succede spessissimo. Mi sembra una coperta di linus. Semmai il punto è
che non bisogna installare merda dai p2p e fonti non fidate.
Anzi... adesso quasi quasi mi infilo nel p2p e metto dei programmi con
installer modificato "Biggo-style" :)
-- 
blog:  
http://www.akropolix.net/rik0/blogs
 | Uccidete i filosofi,
site:  
http://www.akropolix.net/rik0/
      | tenetevi riso e
forum: 
http://www.akropolix.net/forum/
     | bacchette per voi.

 installer modificato "Biggo-style" :)
Cioè installi il pkg e il computer "prorompe in un tristissimo blues" ?

 Cioč installi il pkg e il computer "prorompe in un tristissimo blues" ?
No: ti apre un popup ogni 0,3 secondi in cui ti rimprovera per la
pirateria, e quando spegni la macchina, prima di spegnersi (o al primo
riavvio) formatta tutto :)


 trova un .pkg nell'immagine disco.
  Non ho mai provato. Hai qualche software con cui potrei verificare? 


 riavvio) formatta tutto :)
pazzesco, terrorismo informatico.
Tu negli anni '80 tifavi per quelli che in Irlanda del Nord irrompevano
negli ospedali abortisti e uccidevano medico abortista, madre e
nascituro? :/
-- 
"We are being dugg hard, sir"

 installer modificato "Biggo-style" :)
  ;-)
* ho verificato: da terminale anche come admin -giustamente- vuol il
sudo prima.


 tutti quanti.
ROTFL :)


 nascituro? :/
Veramente io sarei abortista. Ma almeno il nascituro lo dovevano fare
vivere. Se no erano contemporaneamente abortisti e antiabortisti, quindi
violando il principio di non contraddizione avrebbero dovuto cessare di
esistere.


. Se
c'e' uno script eseguibile nel pkg lui avvisa sempre.
 - ∞
-- 
http://millenomi.altervista.org/

 importanti del sistema.
Mo' ci provo a farne uno e vedo se e' vero o e' una stupidata.
 - ∞
-- 
http://millenomi.altervista.org/

 esistere.
cosa fai, commenti seriamente una mia boutade ;) ?


 tutti quanti.
  Sono alto. Da piccolo ero biondo. Sul resto non ci siamo. ;-)


 Mo' ci provo a farne uno e vedo se e' vero o e' una stupidata.
Porto grame notizie. La vulnerabilita' c'e', la password non viene
chiesta ma posso scrivere in file come:
  l0ne$ ls -l /etc/sudoers
-r--r-----   1 root  wheel  1044 Sep 16 19:39 /etc/sudoers
Sigh. Questo non tange me (visto che lavoro come utente semplice
sempre), ma tange una default install ed e' classificabile come Roba
Piuttosto Grave.
C'e' un avvertimento da Safari, ma non da Installer, e comunque non
dovrebbe succedere un'escalation senza password di questo genere.
 - ∞
-- 
http://millenomi.altervista.org/



ok, mi hai convinto: mi tengo lontano dai .pkg per un po' :D



Io purtroppo non ho un Mac con cpu Intel quindi non posso verificare.
*da prendere con le pinze, sono sempre i _commenti_ di _/._ ...


 Io purtroppo non ho un Mac con cpu Intel quindi non posso verificare.
Ho verificato io personalmente che il bug c'e', quindi immagino che
nemmeno l'installazione di Parallels chieda la password.
 - ∞
-- 
http://millenomi.altervista.org/

 cosa fai, commenti seriamente una mia boutade ;) ?
Ti sembra un commento serio? :)


 c'e' uno script eseguibile nel pkg lui avvisa sempre.
  Ho scaricato il file (modifica dell'icona "RSS" in Safari) ma è un
.zip e Safari l'ha scaricato senza problemi. Nulla di nulla nemmeno
nella decompressione del .zip via BOMAyaddayadda. Nessun avviso nemmeno
se lancio il .pkg.
  Qui Mac OS X 10.4.4, Safari 2.0.3 (417.8) con disabilitata l'apertura
dei file "sicuri". Mi sono perso qualcosa (aggiornamento di sicurezza) o
bisogna provare con un .dmg? :?


 bisogna provare con un .dmg? :?
Se si attiva l'apertura dei sicuri, Safari decomprime lo zip, lo esamina
e avverte.
 - ∞
-- 
http://millenomi.altervista.org/

 .zip e Safari l'ha scaricato senza problemi.
Non è che hai disabilitato gli avvisi con Taboo...?
-- 
Ci sono 10 tipi di persone: quelle che capiscono il
sistema binario e quelle che non lo capiscono.

 L'autorizzazione admin serve a quello...
Sě, ma lavorando da Terminale l'admin deve "sudare" (e quindi dare la
password) per acquisire i privilegi di root.


 certo, e la pass la chiedono anche i .pkg
Non questi, che escalano senza chiedere la password.
Se vuoi ti posso mandare un pkg di esempio.
 - ∞
-- 
http://millenomi.altervista.org/

 e avverte.
  Attivata, riscaricato lo zip, si è decompresso ed è partito
l'installer (.mpkg). Nessun avvertimento. Ho chiuso Safari, riaperto,
ricontrollato le preferenze, riprovato e nulla. Evidenzio però che sono
indietro con gli aggiornamenti di sistema e fermo al 10.4.4.


 Non è che hai disabilitato gli avvisi con Taboo...?
  Non mi risulta. Cos'è questo Taboo?


 Se vuoi ti posso mandare un pkg di esempio.
  Gradirei riceverlo anch'io, grazie. :)


 Non mi risulta. Cos'è questo Taboo?
Un plugin per Safari, che oltre a impedire che venga chiusa una finestra
con più tab aperti (ti chiede conferma), dà la possibilità di
disabilitare gli avvisi di sicurezza di Safari.


 disabilitare gli avvisi di sicurezza di Safari.
Per verificare se l'hai installato, digita nel Terminale
defaults read com.ocdev.taboo


 defaults read com.ocdev.taboo
La mia memoria non mi ha tradito: mai installato.
DerVentilator:~/Desktop xxxxx$ defaults read com.ocdev.taboo
2006-09-17 00:12:39.550 defaults[19818] 
Domain com.ocdev.taboo does not exist
DerVentilator:~/Desktop xxxxx$ 


 indietro con gli aggiornamenti di sistema e fermo al 10.4.4.
Aggiorna. Non ha senso rimanere indietro, se non hai dial-up o simili.
 - ∞
-- 
http://millenomi.altervista.org/

 vulnerabilità per qualche minuto.
Lo hai lanciato come admin vero?
Sudo e il Security Server sono slegati e non si influenzano l'uno con
l'altro. Installer.app non usa sudo.
 - ∞
-- 
http://millenomi.altervista.org/

 certo
Lo riprovo da me.
L'ho rifatto stamattina sul presto e magari ho sbagliato qualcosa.
 - ∞
-- 
http://millenomi.altervista.org/

 L'ho rifatto stamattina sul presto e magari ho sbagliato qualcosa.
C'e' un problema mio perche' lo script postflight non viene avviato del
tutto, privilegi o meno. Mo' vedo se capisco dove ho sbagliato.
 - ∞
-- 
http://millenomi.altervista.org/

 Aggiorna. Non ha senso rimanere indietro, se non hai dial-up o simili.
  Al momento non posso ma ho provato su un'altra macchina aggiornata al
.4.7. e Safari avverte che il .mpkg contiene un'applicazione.
