MacBook Air с обновленной версией Mac OS 10.5 Leopard стал первым ноутбуком, павшим жертвой на прошлой неделе на конкурсе CanSecWest PWN2OWN, вновь привлекая внимание к безопасности Mac.
В конкурсе участвовали MacBook Air, ноутбук с Vista и ноутбук с Ubuntu Linux, все с последними обновлениями. Хотя все 3 ноутбука не были взломаны в первый день, когда разрешались только атаки на базовую ОС за приз в 20 000 долларов (+ ноутбук), MacBook Air, по сообщениям, пал всего за 2 минуты на второй день, когда правила конференции были ослаблены, чтобы включить все программное обеспечение, поставляемое с ОС, за приз в 10 000 долларов (+ ноутбук).
Хотя детали эксплойта находятся под соглашением о неразглашении, пока Apple работает над проблемой, атака была направлена на Safari, после того как пользователь был перенаправлен на специально созданный веб-сайт (в соответствии с правилами). Сообщается, что эксплойт представляет собой ошибку переполнения в Webkit.
Оставшиеся два ноутбука пережили остаток второго дня, но ноутбук с Vista пал на следующий день, когда был установлен Adobe Flash Player, поскольку правила были еще больше ослаблены, чтобы разрешить атаку на популярные сторонние приложения. Ноутбук Linux не был взломан.
Хотя Apple осведомлена о уязвимости и работает над ней, недавнее исследование утверждает, что скорость реакции Apple на исправления таких уязвимостей нулевого дня значительно отстает от Microsoft.
Исследование, проведенное Швейцарским федеральным технологическим институтом, проанализировало 658 уязвимостей, затрагивающих продукты Microsoft, и 738 уязвимостей, затрагивающих Apple, все из которых были высокого и среднего уровня риска согласно Национальной базе данных уязвимостей.
«До 2005 года Apple стабильно имела менее 20 [неисправленных уязвимостей на момент раскрытия]», — сказал исследователь Стефан Фрай. «С тех пор их число очень часто превышает это. Так что, если сравнивать Apple с Microsoft, то количество неисправленных уязвимостей у Apple выше». […]
«Мы считаем, что на ранних этапах у Apple было меньше уязвимостей, и они просто были удивлены, или не были готовы, или не обращали должного внимания», — сказал Фрай. «Похоже, что Microsoft раньше имела хорошие отношения с сообществом по безопасности».
За последние несколько лет Microsoft пыталась наладить более тесные отношения с сообществом по безопасности, чтобы поощрить исследователей сообщать ей о проблемах с программным обеспечением. Однако Apple, по всей видимости, еще не установила такого же уровня взаимодействия, и, «основываясь на наших выводах, это ей вредит», — сказал Фрай.
Выборочная проверка статистики аналитического центра Secunia показывает, что 6% из 113 ошибок, обнаруженных в операционной системе Mac OS X от Apple с 2003 по 2008 год, остаются неисправленными.
