Schwerwiegende Sicherheitslücke in Mac OSX 10.13.1 "High Sierra" - Workaround verfügbar

28. November 2017

Beschreibung

Der Softwareentwickler Lemi Orhan Ergin hat am 27.11.2017 eine schwerwiegende Sicherheitslücke in OSX 10.13.1 "High Sierra" entdeckt, die es einem Angreifer ermöglicht, die vollständige Kontrolle über ein Gerät zu erlangen.

Details

Die Schwachstelle erlaubt es einem Angreifer, sich ohne die Eingabe eines Passwortes als Benutzer "root" mit vollen administrativen Rechten auf einem verwundbaren System anzumelden. Dies ist nicht nur lokal, sondern auch über VNC sowie das Apple-eigene Remote-Access-Tool möglich.

Auswirkungen

Ein Angreifer hat potentiell vollen Zugriff auf ein betroffenes System, daher sind alle Daten auf diesen Systemen, sowie alle durch diese erreichbaren (etwa durch ausspionierte Zugangsdaten, VPN, Fileshares, etc.) Daten und anderen Systeme gefährdet.

Betroffene Systeme

Alle Systeme, die unter Mac OSX 10.13.1 laufen. Laut Apple sind folgende Geräte mit dieser Version von OSX kompatibel:
  • iMac: (late 2009 oder neuer)
  • MacBook/MacBook (Retina): (late 2009 oder neuer)
  • MacBook Pro: (mid-2010 oder neuer)
  • MacBook Air: (late 2010 oder neuer)
  • Mac Mini: (mid-2010 oder neuer)
  • Mac Pro: (mid-2010 oder neuer)
  • iMac Pro (2017)
Hilfestellungen, wie die aktuell installierte Version von OSX herauszufinden ist, finden sich bei Apple.

Abhilfe

Bis zum Erscheinen des von Apple bereits angekündigten Updates kann das Problem mittels folgender Massnahmen umgangen werden:
  • Vergabe eines Passwortes für den betroffenen root-Account. Dies kann über die Kommandozeile getan werden: 
    sudo passwd -u root
    Wichtig ist dabei, dass der Account nicht deaktiviert wird, da dies die Lücke sonst wieder öffnet.

  • Deaktivieren des eingebauten Remotezugriffes über System Preferences -> Sharing -> Screen Sharing / Remote Management / Remote Login

Hinweis

Generell empfiehlt CERT.at, wo möglich die "automatisches Update"-Features von Software zu nutzen, parallel Firewall-Software aktiv und den Virenschutz aktuell zu halten.
Die "Click-to-Play"-Funktionen aktueller Web Browser sollten möglichst für alle Arten von Browser-Plugins verwendet werden.
Informationsquelle(n):

Tweet von Lemi Orhan Ergin
https://twitter.com/lemiorhan/status/935578694541770752
Artikel auf Techcrunch (Englisch)
https://techcrunch.com/2017/11/28/astonishing-os-x-bug-lets-anyone-log-into-a-high-sierra-machine/