Kritieke kwetsbaarheid in Homebrew-package manager voor macOS gedicht

Abonneer je gratis op Techzine!

Homebrew, een alternatieve package manager voor macOS, bevatte een kwetsbaarheid waarmee aanvallers eigen code konden draaien op computers met de software. Het team achter de package manager heeft inmiddels een patch uitgebracht.

Beveiligingsonderzoeker RyotaK publiceerde vorige week een blogpost over de kwetsbaarheid in de Cask-repository. Daarin vertelt hij dat het mogelijk was om een malafide pull request te mergen door de library die bij dat proces wordt gebruikt, te verwarren. Daardoor is het mogelijk om arbitraire Ruby-code uit te voeren op de machines van slachtoffers.

Geen misbruik van kwetsbaarheid gemaakt

RyotaK heeft de kwetsbaarheid bewezen door, met toestemming van de makers van Homebrew, een onschadelijke wijziging aan de software door te voeren. Deze wijziging is vervolgens weer teruggedraaid en de kwetsbaarheid is gedicht. Ook worden pull requests voor Homebrew nu handmatig gecontroleerd. In theorie zou een aanvaller met de kwetsbaarheden eigen code kunnen uitvoeren op computers met Homebrew, maar voor zover bekend is er geen misbruik gemaakt van de kwetsbaarheid.

Open-source package manager

Homebrew is een gratis opensource-pakketbeheersysteem voor macOS en Linux. De software moet de installatie van software op de besturingssystemen zo eenvoudig mogelijk maken. Hij is populair onder verschillende community’s voor de uitbreidbaarheid, het gebruiksgemak en de integratie met de command-line-interface.

Kwetsbaarheden in WebKit gedicht

Apple heeft onlangs meerdere updates uitgebracht om kwetsbaarheden in WebKit te dichten. Zo heeft het bedrijf in maart een kwetsbaarheid gedicht waarmee aanvallers in theorie toegang konden krijgen tot apparaten met de Safari-browser. Enkele weken later voegde Apple er een update aan toe voor iOS, iPadOS en watchOS. Daarmee werd een kwetsbaarheid gedicht waarmee aanvallers toegang kregen tot gevoelige informatie als session tokens en cookies.

Tip: MacOS Gatekeeper-beveiligingen te omzeilen door beveiligingslek