Cave Phish [Update]

"Mit einem neuen Trick können Phisher den Anwendern URLs in Webbrowsern (momentan den Standardinstallationen von Opera 7.54, Konqueror 3.2.x. und Mozilla-basierenden Webbrowsern wie Firefox 1.0) vorgaukeln. Der Trick funktioniert so gut, dass man ihn sogar auf vermeintlich SSL-gesicherte Seiten anwenden kann. In dem auf der Mailing-Liste Full Disclosure erschienenen Advisory ist eine Demo verlinkt, die den Anwender vortäuscht, auf paypal.com zu führen. Auch bei Ansicht der Seiteninformationen in Firefox scheint die Seite wirklich von PayPal zu stammen -- allein der Inhalt der Seite passt nicht so recht dazu. Bei der https-Demo erscheint die Adressleiste im Firefox gelb hinterlegt. Auch warnt der Browser nicht vor einem ungültigen Zertifikat" meldet u.a. heise. Das betrifft Safari übrigens ebenfalls (nur NetNewsWires "eigener" Browser widersetzt sich). Vorerst ist keine komplette Abhilfe in Sicht, bis dahin kann man zum Test die aufgerufene Domain per Copypaste ins Terminal befördern, dort zeigt sich ob man wirklich ist wo man glaubt zu sein.
Eine weitere Sicherheitslücke, die SecurityTracker komischerweise jetzt erst meldet, betrifft nur Safari und hätte schon längst per Security Update gelöst sein können: "The browser incorrectly renders plain text as HTML in certain cases, which may enable cross-site scripting attacks."

Update: Um Safari vor ersterer Problematik zu bewahren kann man auch einfach Saft 7.5.1 einsetzen (sollte sowieso verpflichtend zu Safari dazugehören).