Risico op verlies van persoonlijke informatie door lek in Safari

Op deze pagina

• Korte omschrijving
• Hoe los ik het op?
• Loopt mijn computer risico?
• Wat kan er gebeuren?
• Waar vind ik meer informatie?

Korte omschrijving

Er is een kwetsbaarheid in Safari ontdekt. Deze kwetsbaarheid maakt het mogelijk dat kwaadwillenden persoonlijke informatie van gebruikers kunnen achterhalen door misbruik te maken van de AutoFill-functionaliteit van Safari. Safari heeft sinds versie 4 de mogelijkheid om via AutoFill informatie uit het adresboek van de computer te halen en deze automatisch in te vullen in een formulier op een webpagina. Deze optie staat standaard aan.

Update 28-07-2010

Apple heeft updates uitgebracht, waarin de kwetsbaarheid wordt verholpen. Zie het waarschuwingsdienst.nl alert voor meer informatie.

http://www.waarschuwingsdienst.nl/Risicos/Actuele+dreigingen/Softwarelekken/WD-2010-064+Apple+stelt+nieuwe+versie+Safari+beschikbaar.html

Hoe los ik het op?

De AufoFill-functionaliteit kan uit worden gezet in de instellingen van Safari. Voer hiervoor de volgende stappen uit:

1. Ga naar de 'Voorkeuren' of 'Preferences' van Safari.
2. Selecteer 'Formulieren' of 'AutoFill'.
3. Haal het vinkje weg voor 'Op basis van de gegevens in mijn Adresboek-kaart' of 'Using info from my Address Book card'.
4. Sluit het venster.

Loopt mijn computer risico?

Als je gebruik maakt van Safari versie 4.x of 5.x, loop je het gevaar dat kwaadwillenden persoonlijke gegevens kunnen achterhalen.

Wat kan er gebeuren?

Een kwaadwillende kan een webpagina met een formulier maken en dit formulier met Javascript deels in laten vullen op het moment dat een gebruiker deze pagina bezoekt. De AutoFill-functionaliteit zorgt er dan voor dat het formulier wordt aangevuld met de persoonlijke informatie van de gebruiker. De kwaadwillende kan deze  automatisch ingevulde informatie vervolgens uitlezen en misbruiken.

De volgende informatie kan een kwaadwillende op deze manier achterhalen:

• je volledige naam;
• het adres: straat, stad, provincie, land;
• het bedrijf waar je werkt;
• je email adres(sen);
• telefoonnummers: mobiel, vast, werk, en mogelijk andere;
• eventuele andere informatie in je adresboek.

Waar vind ik meer informatie?

Jeremiah Grossman, een bekende beveiligingsonderzoeker en white-hat hacker heeft de kwetsbaarheid ontdekt. Op zijn weblog is een kort filmpje te zien waarin deze kwetsbaarheid misbruikt wordt.