Der Podcast kann sich vor Themen kaum retten und schiebt daher eine Bonusfolge mit zwei Themen in den üblichen Zwei-Wochen-Rhythmus ein. Sie trägt die ungewöhnliche Folgennummer 41a – die Antwort auf das Leben, das Universum und alles folgt dann eine Woche später.
Zuerst sehen sich die Hosts Apples neues Memory Integrity Enforcement (MIE) an. Das besteht im Grunde aus einem speziellen – weil nach Datentypen agierenden – Allocator und der Enhanced Memory Tagging Extension (EMTE). Memory Tagging ist eigentlich eine Debug-Funktion, die sich aber als Sicherheitsmaßnahme zweitverwerten lässt. Speicherfehler sollen mit EMTE sofort und zuverlässig zu einem Crash führen, sodass sich daraus keine zur Codeausführung ausnutzbare Sicherheitslücke stricken lässt. Christopher und Sylvester erklären das Funktionsprinzip, sehen sich an, wer außer Apple an dergleichen arbeitet, und diskutieren, wie viel Sicherheitsgewinn MIE bringen wird.
<ir_inline itemname=podcast_mvp_url:1 type=0>
Außerdem reden die Hosts über die kompromittierten Salesforce-Instanzen von diversen, teilweise sehr hochkarätigen Sicherheits- und Infrastrukturfirmen. Die hatten sämtlich einen Chatbot der Firma SalesLoft eingebunden, über den sich Angreifer Zugriff auf Salesforce verschaffen konnten. Peinlich und nach der Meinung der Hosts auch reichlich unnötig – ein Chatbot von ohnehin fragwürdigem Nutzen sollte keine solche Angriffsfläche wert sein.
Die neueste Folge von "Passwort – der heise security Podcast" steht seit Mittwochmorgen auf allen Podcast-Plattformen zum Anhören bereit.
<ir_inline itemname=inline_branding type=0>
(
Sie haben heise+ bereits abonniert? Hier anmelden.
Oder benötigen Sie mehr Informationen zum heise+ Abo
Kommentare