OS X: Alte Sudo-Sicherheitslücke kann jetzt einfacher ausgenutzt werden

[Marc Freudenhammer]

Eine seit März bekannte und bislang nicht behobene OS X-Sicherheitslücke hat es geschafft, erneut Aufmerksamkeit zu erregen. Die Entwickler von Metasploit – eine Software, mit der Sicherheitslücken ausfindig gemacht werden können – haben den ungewollten Zugriff über die Lücke jetzt in ihr Programm implementiert. Im schlimmsten Fall könnte ein Angreifer die Sicherheitslücke dazu nutzen, um unlimitierte Root-Rechte auf einem fremden Mac zu erlangen. Zumindest, wenn auf diesem OS X Lion oder Mountain Lion installiert ist. [PRBREAK][/PRBREAK]

Möglich wird die Übernahme durch den UNIX-Befehl sudo in Zusammenhang mit einer Manipulation des internen Kalenders. Wird dieser auf das Datum 1. Januar 1970 zurückgestellt, lassen sich Befehle via sudo-Kommando ohne vorherige Bestätigung mit dem Admin-Passwort ausführen. Theoretisch ließen sich so auch andere Schadprogramme installieren oder die im System gespeicherten Passwörter ändern.

Damit es überhaupt so weit kommen kann, müssen aber noch einige zusätzliche Bedingungen erfüllt sein. Der aktuelle User muss als Admin angemeldet sein und das sudo-kommando in der Vergangenheit zumindest einmal erfolgreich ausgeführt haben. Außerdem muss der Angreifer als normaler Benutzer angemeldet und entweder direkten Zugriff auf den Mac-Rechner haben oder über Remote mit ihm verbunden sein. Die Ausnutzung der Sicherheitslücke durch bloßes Ansurfen von Webseiten ist somit ausgeschlossen. Auch wenn die Gefahr dadurch eher als gering einzuschätzen ist, wäre es wünschenswert, dass Apple nun zeitnah ein entsprechendes Sicherheitsupdate veröffentlicht. Auf eine E-Mail von Arstechnica hat man bei Apple bislang allerdings noch nicht reagiert. (Danke echo.park)


Via Arstechnica

 

[MaxTrax]

Heißt quasi, man muss sich schon selber hacken um von sich selbst gehackt zu werden, oder wie?

 

[larsfreiburg]

Wollte auch grade schreiben: Dann geht's also doch eigentlich net...

 

[PeterPaul]

Auch wenn die Gefahr relativ gering einzustufen ist, ist es dennoch ein ungewolltes Verhalten und sollte gefixt werden.

 

[redhat]

Der erste Absatz liest sich recht angsteinflößend. Die Bildzeitung und Konsorten hätten hier bereits den Artikel beendet

 

[gKar]

Heißt quasi, man muss sich schon selber hacken um von sich selbst gehackt zu werden, oder wie?

Nein. So wie ich es verstanden habe, genügt es, mit einem Admin-Konto am Mac angemeldet zu sein (und sudo schonmal benutzt zu haben) und dann jemanden Fremden an den eigenen Mac zu lassen (direkt oder per Remote Login), ohne sich vorher abgemeldet oder die Sitzung gesperrt zu haben.

Mich betrifft das definitiv nicht, denn ich arbeite aus Sicherheitsgründen ohnehin nie mit einem Admin-Konto (nur mit eingeschränktem Benutzerkonto). Als Admin logge ich mich nur ganz selten für umfangreichere Administrationsaufgaben ein, und dann lasse ich keine Fremden an diesen Mac und lasse die Sitzung auch nicht offen, während der Mac unbeaufsichtigt ist.

 

[MaxTrax]

Nein. So wie ich es verstanden habe, genügt es, mit einem Admin-Konto am Mac angemeldet zu sein (und sudo schonmal benutzt zu haben) und dann jemanden Fremden an den eigenen Mac zu lassen (direkt oder per Remote Login), ohne sich vorher abgemeldet oder die Sitzung gesperrt zu haben.

Mich betrifft das definitiv nicht, denn ich arbeite aus Sicherheitsgründen ohnehin nie mit einem Admin-Konto (nur mit eingeschränktem Benutzerkonto). Als Admin logge ich mich nur ganz selten für umfangreichere Administrationsaufgaben ein, und dann lasse ich keine Fremden an diesen Mac und lasse die Sitzung auch nicht offen, während der Mac unbeaufsichtigt ist.

Verstehe.

 

[frostdiver]

Oha. Der andere Bug, von dem arstechnica schreibt, könnte wesentlich nerviger werden.
http://arstechnica.com/apple/2013/0...nd-ios-apps-with-string-of-arabic-characters/

 

[Oliver78]

Sorry, aber wo ist das eine Sicherheitslücke, wenn erst diese ganzen Voraussetzungen erfüllt sein müssen? Das wäre wie wenn man sagt, die Schadsoftware kann erst ausgeführt werden, wenn der Angreifer an meinem Schreibtisch vor dem Mac sitzt, ich ihn als Administrator angemeldet habe und dann werkeln lasse und vielleicht noch eine Tasse Kaffee bringe

 

[Scotch]

Nein, der Benutzer muss ein Admin-Konto haben (fahrlässigerweise immer noch Standard bei der OS X Installation), sudo benutzt haben (Standard bei Benutzern, die auch schon mal die Kommandozeile benutzen) und entweder lokal angemeldet sein oder remote verbunden sein - bei der Vielzahl an Fragen zum Thema "wie erreiche ich meinen Mac von unterwegs" hier im Forum zumindest keine exotische Kombination.

 

[redhat]

Aber selbst die Remoteverbindung müsste man doch erst proaktiv einrichten.

 

[Scotch]

Da sich hier Fragen zum Fernzugriff häufen und gefühlt kein Benutzer mehr ohne SMB oder AFP Freigaben auszukommen scheint, dürfte das nicht sehr exotisch sein.

Nur für alle Fälle, falls das nicht klar ist: Remotezugriff ist nicht nur VNC/"Bildschirmfreigabe" und SSH/telnet ist m.W. unter OS X standardmässig aktiviert (kann ich grad' nicht prüfen, da meine Rechner das eh' alle aktiviert haben ).