Blackmagics kostenloses Grading-, Schnitt-, Compositing- und Audio-Mastering-Programm DaVinci Resolve (Studio) wies bis vor kurzem unter macOS ein schwerwiegendes Sicherheitsproblem auf - bei allen Versionen vor der v19.1.3. installierte sich DaVinci Resolve unter macOS mit falschen Dateiberechtigungen. Es wurden dabei Standard-Sicherheitspraktiken von macOS mißachtet, die vorschreiben, dass alle Anwendungen eine restriktivere Berechtigung haben sollten.
Die falsche Dateiberechtigung (rwxrwxrwx) von Resolve bedeutet, dass jeder Benutzer und jedes Programm vollen Lese-, Schreib- und Ausführungszugriff auf die installierten Dateien von Resolve hat – die sicheren Standard-Berechtigungen (drwxr-xr-x) dagegen gewähren nur dem Besitzer der Datei vollen Zugriff und anderen Benutzern nur Lese- und Ausführungsrechte.
Das spezifische Sicherheitsrisiko durch die zu freien Berechtigungen wird als Dylib Hijacking bezeichnet, bei dem ein Angreifer eine dynamische Bibliothek (Dylib) mit schadhafter Funktionalität in eine nicht gesicherte Anwendung einschleusen könnte. Dies könnte dazu führen, dass Angreifer die Kontrolle über das System übernehmen und so Privilegien eskalieren können, d. h., sie könnten erweiterte Rechte und Zugriff auf das System erhalten.
Das Problem betrifft Versionen von DaVinci Resolve vor der aktuellen Version 19.1.3 vom Januar. Alle Nutzer der Mac-Version von DaVinci Resolve sollten also prüfen, ob sie die aktuelle Version installiert haben, um sicherzustellen, dass die richtigen Dateiberechtigungen gesetzt sind und die Sicherheitslücke so geschlossen ist.
Das Update auf die Version 19.1.3 bringt neben dem Fix des Sicherheitsproblems auch noch weitere Funktionen, wie die Unterstützung für die gerade erst angekündigten neuen 65-mm-Kameras ARRI Alexa 265 und Verbesserungen der allgemeinen Stabilität und Performance. Mit dabei sind auch eine ganze Reihe von Fehlerbehebungen, wie zum Beispiel für Probleme beim Löschen von Cache-Speichern, bei der Vorschau von Fusion-Templates und bei der Synchronisation von AAF-Clips.
