Ein türkischer Sicherheitsforscher hat einen großen Fehler in macOS High Sierra aufgedeckt. Der Fehler macht es einem Angreifer möglich, ohne Passwort Zugang zu einer Maschine zu erhalten - ebenso wie Zugang zu mächtigen Administratorrechten. Apple hat einen Patch zur Behebung der Sicherheitslücke veröffentlicht, die fast alle Mac OS High Sierra Systeme betrifft.
Ungepatchte Systeme bleiben jedoch unsicher ...
Was ist der Fehler?
Der Fehler wurde vom türkischen Entwickler Lemi Orhan Ergan geoutet. Es ermöglichte jedem, die vollen administrativen Rechte über einen Mac-High-Sierra-Rechner zu erlangen, indem man einfach "root" als Benutzernamen in das Authentifizierungsdialogfeld eingab. Wenn Sie das Kennwortfeld leer lassen und zweimal auf die Schaltfläche "Entsperren" klicken, wird der vollständige Administratorzugriff gewährt.
Sie können über die Systemeinstellungen> Benutzer und Gruppen> auf die Sperre zugreifen, um Änderungen vorzunehmen. Dann benutze "root" ohne Passwort. Und versuchen Sie es mehrmals. Das Ergebnis ist unglaublich! pic.twitter.com/m11qrEvECs
- Lemi Orhan Ergin (@lemiorhan) 28. November 2017
In der Theorie, vor dem Patch, wenn Sie Ihren Mac unbeaufsichtigt gelassen haben, könnte jemand leicht Zugang erhalten und Ihren Rechner zerstören. Zum Beispiel können sie Malware installieren 5 Einfache Möglichkeiten, Ihren Mac mit Malware zu infizieren 5 Einfache Möglichkeiten, Ihren Mac mit Malware zu infizieren Sie könnten denken, dass es ziemlich schwierig ist, Ihren Mac mit Malware zu infizieren, aber es gibt immer Ausnahmen. Hier sind fünf Möglichkeiten, wie Sie Ihren Computer schmutzig machen können. Lesen Sie mehr, erfassen Passwörter 5 Einfache Möglichkeiten, Ihren Mac mit Malware zu infizieren 5 Einfache Möglichkeiten, Ihren Mac mit Malware zu infizieren Sie könnten denken, dass es ziemlich schwierig ist, Ihren Mac mit Malware zu infizieren, aber es gibt immer Ausnahmen. Hier sind fünf Möglichkeiten, wie Sie Ihren Computer schmutzig machen können. Lesen Sie mehr mit Keychain Access Sollten Sie iCloud Keychain verwenden, um Passwörter auf Mac & iOS zu synchronisieren? Sollten Sie iCloud Keychain verwenden, um Passwörter auf Mac & iOS zu synchronisieren? Wenn Sie in erster Linie Apple-Produkte verwenden, können Sie den unternehmenseigenen Passwort-Manager kostenlos nutzen. Lesen Sie mehr, löschen oder ruinieren Sie Ihre Apple ID und mehr.
Aber Apple hat das Problem behoben, richtig?
Als ich diesen Artikel schrieb, veröffentlichte Apple das Sicherheitsupdate, um das Problem zu beheben. Die Aktualisierungsanweisung für den Apple-Sicherheitsinhalt besagt: "Bei der Überprüfung der Anmeldeinformationen ist ein logischer Fehler aufgetreten. Dies wurde mit einer verbesserten Validierung der Anmeldeinformationen behoben. "
Das Update ist bereits im Mac App Store verfügbar. Das Update wird ab Mittwoch, den 29. November automatisch auf Macs mit High Sierra 10.13.1 angewendet. Apple hat die Situation mit folgender Aussage erweitert:
"Sicherheit hat für jedes Apple-Produkt oberste Priorität, und wir sind leider mit dieser Version von macOS gestolpert.
"Als unsere Sicherheitsingenieure am Dienstag Nachmittag auf das Problem aufmerksam wurden, begannen wir sofort mit der Arbeit an einem Update, das die Sicherheitslücke schließt. Heute Morgen, ab 8 Uhr, steht das Update zum Download bereit, und es wird ab heute automatisch auf allen Systemen mit der neuesten Version (10.13.1) von macOS High Sierra installiert.
"Wir bedauern diesen Fehler sehr und entschuldigen uns bei allen Mac-Benutzern, sowohl für die Veröffentlichung dieser Sicherheitslücke als auch für die dadurch verursachten Probleme. Unsere Kunden verdienen es besser. Wir überprüfen unsere Entwicklungsprozesse, um zu verhindern, dass dies erneut geschieht. "
Aber wussten sie schon davon?
Leider für Apple, dieses Problem war bereits aufgetaucht - aber keine Aktion erhalten. Ein Mitglied des Apple Supportforums hat vor mehr als zwei Wochen genaue Details des Bugs gepostet. Der ursprüngliche Beitrag und die Antworten scheinen den Hauptfehler eher als potenzielle Fehlerbehebungsfunktion denn als kritische Sicherheitsbedrohung zu sehen.
"Die Sicherheitslücke wurde ursprünglich als Lösung für ein Benutzeranmeldungsproblem im Entwickler-Support-Forum von Apple beschrieben." Mann, der Exploit war im Internet. Wie wäre es damit, wenn sich Twitter durch das Setzen eines Root-Passworts vor diesem Bug schützen könnte? https://t.co/sGLJW1pSOq
- elizabeth j allen (@ej_allen) 29. November 2017
Was mache ich jetzt?
Nun, das erste, was zu tun ist, Kopf, um nach Systemupdate zu überprüfen. Apple hat das automatische Patch-Update irgendwann in den letzten 24 Stunden eingeführt. Wenn das automatische Update nicht erschienen ist, sollten Sie den Mac App Store besuchen und dort nach dem Update suchen. Alternativ klicken Sie auf diesen Link.
Sobald das Update heruntergeladen wurde, installieren Sie es sofort.
Es funktioniert nicht
Wenn das Update aus irgendeinem Grund nicht installiert wird, schalten Sie das System zuerst aus und dann erneut. Apple hat den Prozess automatisiert.
Andernfalls gehen Sie folgendermaßen vor, um Ihr System in der Zwischenzeit zu sichern:
- Öffnen Sie Spotlight, suchen Sie nach dem Verzeichnisdienstprogramm und wählen Sie die entsprechende Option
- Klicken Sie auf das Schloss, um Änderungen vorzunehmen. Geben Sie Ihren Benutzernamen und Ihr Passwort für das Administratorkonto ein
- Gehe zu Menü> Bearbeiten
- Wählen Sie Root-Benutzer aktivieren aus . Erstelle ein Passwort und überprüfe es
Dies ist jedoch eine Notlösung. Bitte versuchen Sie das offizielle Update zu installieren.
Augen auf die Quelle
Als Apple den Fehler beseitigt, wenden sich die Augen an Lemi Orhan Ergan. Der selbst beschriebene "Software-Handwerker" wird kritisiert, weil er sich nicht an verantwortungsvolle Offenlegungsrichtlinien hält. Vollständige oder Verantwortliche Offenlegung: Wie Sicherheitslücken offengelegt werden Vollständige oder Verantwortliche Offenlegung: Wie Sicherheitslücken offengelegt werden Sicherheitslücken in populären Softwarepaketen werden ständig entdeckt, Aber wie werden sie den Entwicklern gemeldet und wie erfahren Hacker, welche Schwachstellen sie ausnutzen können? Weiterlesen . Verantwortliche Offenlegung fordert Sicherheitsforscher auf, Unternehmen über Sicherheitsbedrohungen zu informieren, um Zeit für die Behebung des Fehlers zu haben. Nachdem der Fehler behoben ist, ist der Forscher klar, ihre Ergebnisse der Öffentlichkeit zu präsentieren.
DIES IST KEINE VERANTWORTLICHE OFFENLEGUNG. Dies ist äußerst unverantwortlich, insbesondere für eine Schwachstelle dieser Größenordnung. Apple verfügt über ein hervorragendes Offenlegungssystem und sein Team ist außergewöhnlich reaktionsschnell. Bitte machen Sie solche Dinge nicht. https://t.co/E6iOX5A43C
- Johnny Xmas (@ J0hnnyXm4s) 28. November 2017
Natürlich funktioniert dieses System nicht immer wie vorgesehen. Unternehmen reagieren nicht und Sicherheitsforscher werden ungeduldig. In diesen Fällen zwingt das Erstellen eines öffentlichen Problems die Hand des Unternehmens und zwingt sie, die Sicherheitsbedrohung zu beheben.
Nachdem er eine erhebliche Menge an Kritik erhalten hatte, veröffentlichte Ergan eine Antwort auf Medium. Er erklärt, dass er "weder ein Hacker noch ein Sicherheitsspezialist ist", und setzt fort: "Ich konzentriere mich ausschließlich auf sichere Programmierverfahren beim Programmieren, aber ich kann mich niemals als Sicherheitsspezialist bezeichnen."
Sehr geehrter @AppleSupport, wir haben bei MacOS High Sierra ein * großes * Sicherheitsproblem festgestellt. Jeder kann sich mit einem leeren Passwort als "root" anmelden, nachdem er mehrmals auf den Login-Button geklickt hat. Kennst du es @Apple?
- Lemi Orhan Ergin (@lemiorhan) 28. November 2017
Fairerweise wurde der Fehler im Apple Support Forum diskutiert. Darüber hinaus behauptet Ergan, seine Kollegen vom Zahlungsdienstleister Iyzico hätten die Bedrohung für Apple am 23. November offengelegt - aber nie eine Antwort erhalten.
Augen auf den Ball
Von der Quelle bis zur Firma. Hat Apple diesen durch das Netz rutschen lassen? Mit einem Wort, ja: vor allem, wenn sie sich des Fehlers bewusst waren, wie Ergan behauptet. Leider kennen wir die Wahrheit nicht und können daher die Situation nicht einschätzen.
Selbst nach dem zweiten erzwungenen Update in einem Jahr (noch immer nur ihr zweites erzwungenes Sicherheitsupdate) sollte sich Apple keine Sorgen machen. Instanzen von macOS und iOS-Malware steigen an Apple-gezielte Malware-Steigerungen - hier ist, worauf im Jahr 2016 zu achten ist Apple-gezielte Malware steigt - hier ist, worauf Sie 2016 achten müssen Apple-Hardware ist kein sicherer Hafen mehr vor Hackern, Malware und Ransomware und andere Cyber-Bedrohungen. Das erste Halbjahr 2016 beweist, dass Ihre Geräte ohne die richtigen Vorsichtsmaßnahmen zu Risiken werden können .... Lesen Sie mehr, aber Windows und Android bleiben die Hauptziele Was ist das sicherste mobile Betriebssystem? Was ist das sicherste mobile Betriebssystem? Wir kämpfen um den Titel des sichersten mobilen Betriebssystems: Android, BlackBerry, Ubuntu, Windows Phone und iOS. Welches Betriebssystem ist am besten gegen Online-Angriffe zu behaupten? Weiterlesen . Darüber hinaus verfügt Apple zum größten Teil über einen hervorragenden Sicherheitsstandard. Der ultimative Mac-Sicherheitsleitfaden: 20 Möglichkeiten, sich selbst zu schützen Der ultimative Mac-Sicherheitsleitfaden: 20 Möglichkeiten, sich selbst zu schützen Seien Sie kein Opfer! Sichern Sie Ihren Mac noch heute mit unserer umfassenden Sicherheitsanleitung für Sierra. Lesen Sie mehr, was sich in einem schnellen und effektiven Update widerspiegelt, um die aufkeimende Bedrohung zu unterdrücken.
Waren Sie von der Sicherheitslücke von Apple betroffen? Oder ist das Update so schnell angekommen, dass Sie sich keine Sorgen mehr machen müssen? Lass uns deine Gedanken wissen!