Feature Wieder Sicherheitslücke in OS X gefunden, auch 10.10.5. betroffen

[Mitglied 128076]

Gerade erst, nachdem am Donnerstag das Update auf OS X 10.10.5 ausgerollt wurde, treffen Meldungen über eine weitere Sicherheitslücke in Apples Betriebssystem ein. [prbreak][/prbreak]

Mit dem Update auf OS X 10.10.5 wurden bereits einige kritische Sicherheitslücken geschlossen. Unter anderem der gefährliche DYLD-Exploit, mit dem sich Angreifer Root-Rechte und so die Kontrolle über den Mac verschaffen konnten.
NM
Nun wurde vom Entwickler Luca Todesco ein weiteres Leck, dieses Mal im XNU-Darwin-Kernel von Yosemite, gefunden. Diese Schwachstelle kann dem Angreifer im schlimmsten Fall ebenfalls Root-Zugriffsrechte bescheren. Todesco hat seine Entdeckung nicht sofort an Apple gemeldet, sondern hat diese auf GitHub online gestellt.

Auf Twitter hat er ebenfalls Meldung gemacht:
[tweet]https://twitter.com/qwertyoruiop/status/632665422593179649[/tweet]
Eine Reaktion von Apple auf die Meldung der Sicherheitslücke steht noch aus. Sie könnte nun, da der Fehler direkt öffentlich gemacht wurde, etwas schneller ausfallen, da Handlungsbedarf besteht.

Angriffsziel des neuen Exploits ist die Shell. Über I/O-Kit im XNU-Darwin-Kernel wird mit einem Null-Pointer ein Adressraum gesucht, in dem dann eine Payload in einer Root-Shell integriert werden kann.

Dieser Fehler bestand bereits in jeder Version von OS X Yosemite. In OS X El Capitan wurde das Problem bisher nicht gefunden.

Mehr Info´s zu diesem Thema sind in diesem Artikel zu finden.

(via Macnotes.de , Bild: Wikipedia)

 

[u0679]

Wird so langsam anstrengend mit den Updates. Betrifft aber jedes OS, nicht nur Mac. IT ist zu komplex mittlerweile.

 

[Gorn]

Angriffsziel des neuen Exploits ist die Shell. Über I/O-Kit im XNU-Darwin-Kernel wird mit einem Null-Pointer ein Adressraum gesucht, in dem dann eine Payload in einer Root-Shell integriert werden kann.

Achso...

 

[Dario von Apfel]

Und wie kann die Lücke ausgenutzt werden? Muss man selbst ein "infiziertes" programm installieren oder kann das auch ohne mein Zutun passieren via Website oder Mail?

Wäre super wenn sich die Experten hier mal zu äußern könnten

 

[RedCloud]

Achso...

Meine Waldmeisterbrause ist leider auch schon alle.

 

[soramac]

Ich übersetze einfach mal aus dem englischen. Das heisst der Patch wurde mit 10.11 schon gepatcht und es besteht keine Gefahr das die Sicherheitsluecke unter Yosemite ausgenutzt werden kann.

Sei denn du benutzt diesen Befehl im Terminal:

sudo nvram boot-args=-no_shared_cr3

Ebenso brauch man Schreibzugriffe auf den Speicher, was es quasi unmöglich macht. Also im groben zusagen es besteht keine Gefahr.

Laut Hacker News besteht aber eine grosser Leistungseinbruch, von daher empfehle ich den Code vorübergehend erstmal nicht, es sei denn du legst sehr viel Wert auf Sicherheit.

Quelle: https://news.ycombinator.com/item?id=10067803

 

[Dario von Apfel]

Was genau macht der Befehl jetzt?

 

[double_d]

Was genau macht der Befehl jetzt?

Die Frage ist, was macht er nicht, wenn man ihn eingibt, oder doch nicht eingeben soll?

es besteht keine Gefahr das die Sicherheitsluecke unter Yosemite ausgenutzt werden kann.

Sei denn du benutzt diesen Befehl im Terminal:

 

[Dario von Apfel]

Sei denn du benutzt diesen Befehl im Terminal:

Man kann jetzt daraus deuten dass die Lücke nicht ausgenutzt werden kann, solange man nicht den Befehl eingibt,
oder dass man sicher ist wenn man diesen Befehl eingibt

 

[double_d]

Ist das ne Frage, da Du beide Möglichkeiten erwähnst?

Man kann aus obiger Aussage nur deuten, dass der Befehl nicht eingegeben werden sollte, da sonst eine Gefahr für das System bestehen könnte.

Der Originaltext lässt allerdings ein paar Zweifel daran, wenn man ihn übersetzt
Da heißt es:

add -no_shared_cr3 to your boot-args.

it will have an hefty performance penalty, but if you value security over performance, it'll also protect you against a lot of (even 0day!) exploits.

Keine Ahnung, ob ich einfach einen Code von einer Seite ins Terminal eingeben würde, ohne zu wissen, was er tatsächlich tut. Aber das ist nur meine Meinung. Es sei denn, ich bin unwissend darüber, dass der User qwertyoruiop eine Größe in der OS X Sicherheitswelt ist.

 

[BigJ1972]

Jessas Gott!!!!!! Wir werden alle sterben!!!!!!!!!!!

 

[soramac]

Ich bin kein Professor in der Art, nur ich drücke mich mal vereinfacht aus.

Das System arbeitet irgendwie in 0 und 1, und das wird vom Speicher bearbeitet, quasi automatisch, aber um das zu umgehen, ist der Befehl dafür da, das heisst er macht das nicht mehr, sondern ich sag mal der Prozessor macht das, und deswegen wird das System dadurch langsamer. Womit auch die Lücke geschlossen wird.

Hängt mich dafür aber nicht ans schwarze Brett. In dem Link den ich oben verlinkt habe, beschreibt das eine Person, natürlich alles in Englisch.

On x86 cr3 is a pointer to the page table. (The page table is a mapping set up by the kernel, it maps virtual to physical addresses or in some cases lets the kernel trap memory accesses.) Once you change it, memory access becomes temporarily slower afaik because the TLB (effectively cpu's cache of page table) is discarded. So changing it more frequently can be a bad thing.

Fazit ist, wie auch bei den anderen Sicherheitslücken brauch der Exploiter quasi physischen Zugriff auf das System.

Und da El Capitan sowieso in den Startlöchern steht, würde ich mir da absolut keine Gedanken machen. Nett das es einer gefunden hat, dass sind solche Exploits die Hackers nicht ausnutzen können und ein Programm schreiben, dass im Netz verschickt werden kann.

Eher mehr für Sicherheitsdienste, NSA sonst wo gedacht, die vielleicht auf ein Gerät Zugriff haben müssen, was sehr verschlossen ist und solche Exploits benötigen.

 

[Dario von Apfel]

Fazit ist, wie auch bei den anderen Sicherheitslücken brauch der Exploiter quasi physischen Zugriff auf das System.

Das wollte ich hören. Danke

 

[double_d]

Hängt mich dafür aber nicht ans schwarze Brett. In dem Link den ich oben verlinkt habe, beschreibt das eine Person, natürlich alles in Englisch.

Dafür nicht. Das Englische ist auch nicht das Problem.
Du stiftest nur mit Deiner "Übersetzung" etwas Verwirrung.

Und bevor irgendwer übermorgen auf Seite 3 des Threads wach wird und Dich da wieder zitiert, indem er fragt, was es für einen Grund haben sollte, solch einen Code im Terminal überhaupt einzugeben, und sich somit dann alles wieder Kreis dreht, solltest Du Deine Aussage

es besteht keine Gefahr...
Sei denn du benutzt diesen Befehl im Terminal:

korrigieren.
Denn dies ist nur so zu verstehen, dass eine Gefahr ausschließlich besteht, wenn der Code verwendet wird. Und das ist ja nicht so.

 

[soramac]

Also ich sag mal so, dieser Code im Terminal verhindert die Sicherheitslücke, macht dafür aber das System langsamer.

Quasi, ein Flugzeug hat ein technisches Problem und kann abstürzten, stattdessen verfrachtet man es auf ein Schiff und faehrt damit über den Ozean, aber dafür ist es langsamer.

Vielleicht ergibt das Sinn Weder weiss ich noch wie man die Sicherheitssluecke selbst testet und mit dem Code bestätigen kann dass es dadurch behoben ist, noch weiss ich ob es das System wirklich verlangsamt.

Deswegen entweder warten bis El Capitan, oder auf die Beta upgraden oder den Code benutzen, oder gar nichts machen.

 

[Naturfreundin]

Bin etwas verunsichert bei dem ganzen hin und her hier.

Verstehe ich das richtig, dass das Update von Yosemite auf 10.10.5 wegen der Sicherheitslücke gem. Post von Oliver Bergmann, Redakteur, nicht installiert werden soll?

 

[Naturfreundin]

Angriffsziel des neuen Exploits ist die Shell. Über I/O-Kit im XNU-Darwin-Kernel wird mit einem Null-Pointer ein Adressraum gesucht, in dem dann eine Payload in einer Root-Shell integriert werden kann.

Aha.

 

[double_d]

Vielleicht ergibt das Sinn

Ja, das ergibt schon seit dem ersten Post Sinn....

....aber jetzt strengen wir uns beide noch mal ganz doll an. Vielleicht wird es dann auch noch was mit dem verdrehten Sinn Deines Eingangspost. Wahrscheinlich überliest Du es auch nur, denn erklären tust Du es jetzt ja schon zum dritten Mal richtig.

Da steht:

Das heisst der Patch wurde mit 10.11 schon gepatcht und es besteht keine Gefahr das die Sicherheitsluecke unter Yosemite ausgenutzt werden kann.

[h2]Sei denn [/h2]du benutzt diesen Befehl im Terminal:

Da gehört nicht "sei denn" hin, denn das bedeutet für einen Querleser, der auch die Erklärungen überliest und den Links nicht folgt, dass er diesen Code auf gar keinen Fall eingeben sollte.

Nicht falsch verstehen, ich hänge mich auch nicht an der Wichtigkeit oder Unwichtigkeit des Themas oder dieses Satzes auf. Es ist auch nur eine Kleinigkeit, welche Dir bisher nicht aufgefallen ist, aber das kann u.U. dazu führen, dass Du Dich ein paar Tage und Kommentarseiten weiter immer noch völlig missverstanden fühlst.

 

[LukeAyeah]

Verstehe ich das richtig, dass das Update von Yosemite auf 10.10.5 wegen der Sicherheitslücke gem. Post von Oliver Bergmann, Redakteur, nicht installiert werden soll?

Nein, 10.10.5 wird diese Sicherheitslücke nur höchstwahrscheinlich immer noch haben.
Aktuell ist bekannt, dass sie in 10.10.4 enthalten ist, und 10.10.5 sollte diesbezüglich nichts verbessern...aber auch nichts verschlimmern.

 

[raven]

Verstehe ich das richtig, dass das Update von Yosemite auf 10.10.5 wegen der Sicherheitslücke gem. Post von Oliver Bergmann, Redakteur, nicht installiert werden soll?

Doch natürlich solltest du das Update ziehen. Es wurden Sicherjeitslücken gepatcht. Aber es gibt eben immer wieder neue. IT ist nicht 100% sicher. Auch OSX nicht.