Sicherheitslücke in macOS High Sierra mit Patch geschlossen

[steffen66]

Also bei mir hat sich das irgendwie sich auch ins Gedächtnis gebrannt, dass es in letzter Zeit das ein oder andere mal hieß „wann dieses Update für Sierra oder El Capitan“ bereitgestellt wird, ist nicht bekannt.

Natürlich schön, wenn es nicht so ist bzw. war.

Doch, war so. Das "Supplement Update" für High Sierra hat den Schlüsselbund-Bug beseitigt, für El Capitan und Sierra kam das Update mit dem Sicherheitsupdate, was parallel zu macOS 10.13.1 erschien.

Gruß, Steffen

 

[Mitglied 105235]

Ich verstehe die Aufregung nicht.
Hier im Forum ist niemand betroffen, in anderen wo ich ab und an mal lese auch nicht. Aber es wird ein Tamtam gemacht als hätte es jeden zweiten erwischt.
Lasst mal die Kirche im Dorf, sicher ist so ein Fehler nicht gut und es HÄTTE viel passieren können, ist zum Glück nicht. Fehler wurde behoben und für mich ist das Ding damit auch erledigt.

Du verstehst die Problematik nicht und daher ist es für dich nicht so wichtig.

1. Dieser Fehler mit den Root User, ist ein Fehler der nicht passieren darf. Bei den Privatanwender ist das vielleicht noch unproblematisch aber es gibt auch Nutzer die mit Ihren Macs produktiv arbeiten und diese sind vielleicht sogar in einen Firmennetzwerk Intrigiert. Diese Nutzer, finden das sicherlich nicht so lustig.

2. Der Fix den Apple nun noch nachgeschoben hat, behebt zwar das Root Problem, jedoch haben sie das Datei Freigabe System nun beschädigt Das ist vielleicht auch nur für den Uninteressant der nur 1 Rechner daheim hat. Für alle anderen die mehre Rechner daheim haben oder vielleicht sogar mal von Außerhalb zugreifen wollen auf Ihre Rechner, ist dieser Fehler nun aber genau so ätzend wie das mit den Root.

3. Hat Apple dann noch einen Fix für den Fix gebracht und auch hier ist das Problem mit den Datei Freigabe System noch nicht komplett behoben.

4. Kann man nun wohl auch kein weiteres Admin Konto anlegen.

 

[ottomane]

Und ob der Fehler ausgenutzt wurde, weiß man schlimmstenfalls gar nicht. Ich gehe aber nicht davon aus.

 

[Mitglied 105235]

Gut mein Mac und der meiner Lebensgefährtin war die Woche eh nicht an, daher bin ich mir da ziemlich Sicher das er bei mir nicht ausgenutzt wurde. Ist aber auch Irrelevant, so ein Fehler ärgert mich trotzdem.

Ich habe da nicht umsonst ein Admin Konto eingerichtet und mein User bzw. der meiner Lebensgefährtin sind normale Nutzer. Da man so sofort merken würde wenn sich irgend etwas Installieren will, da man dann ja die Admin Daten bräuchte. So hätten nun dreiste Entwickler den root verwenden können und ich hätte das vielleicht nicht mal mitbekommen das nun was Installiert wurde.

 

[Benutzer 190524]

Hat noch jemand jetzt Probleme mit Time Machine? Backup per SMB auf NAS lief nicht, Meldung:

ja ich gestern hatte erst1002 und danach die 1003 eingespielt und konnte nicht mehr auf die TC zugreifen auch eine neue Anmeldung brachte nichts nur ein kompletter Neustart..
Den Hack lasse ich einstweilen wie er ist da er nicht am Netz ist im Regelfall,.
Ich habe das im Urin das es das noch alleinig war ...

 

[u0679]

Die Mac&i berichtet dazu heute:

https://www.heise.de/mac-and-i/meld...iegende-Luecke-im-Schluesselbund-3904759.html

 

[ottomane]

Jetzt lese ich von Leuten, die als einziges Konto root hatten und sich nun nicht mehr einloggen können ... dumm gelaufen. Viel Spaß beim Neuaufsetzen.

 

[MichaNbg]

Die Mac&i berichtet dazu heute:

https://www.heise.de/mac-and-i/meld...iegende-Luecke-im-Schluesselbund-3904759.html

Danke. Dachte schon, ich wäre verrückt.


Tja. Apple. Super sicher und total kundenorientiert und so.

 

[u0679]

Viel Spaß beim Neuaufsetzen.

hoffentlich gibt es aktuelle Backups der eigenen Daten

 

[Martin Wendel]

Das "Supplement Update" für High Sierra hat den Schlüsselbund-Bug beseitigt, für El Capitan und Sierra kam das Update mit dem Sicherheitsupdate, was parallel zu macOS 10.13.1 erschien.

Da lagen tatsächlich ein paar Wochen dazwischen.

Jetzt lese ich von Leuten, die als einziges Konto root hatten und sich nun nicht mehr einloggen können ... dumm gelaufen. Viel Spaß beim Neuaufsetzen.

Du meinst ein Admin-Konto als einziges? Bei mir gibt’s keine Probleme.

 

[ottomane]

Ich meinte das root-Konto als einziges. Ob das geht, weiß ich indes nicht. Ich habe nur davon gelesen. Dass dies nicht klug ist, ist klar. Aber ebenso wundert mich, dass du nur einen Admin hast

 

[franky273]

Ich hab auch nur meinen User - und der hat auch Adminrechte. Solange ich allein am Macbook arbeite, ist alles andere doch auch Unsinn. Bei systemkritischen Eingriffen wird ja trotzdem das Passwort oder TouchID verlangt.
Verwendet man mehrere User ändert sich an dem Verhalten auch nichts, außer dass man eben noch den Nutzer auswählen kann, dessen Passwort man eingeben will.
Die Sicherheit erhöht sich durch mehrere Nutzer aber nicht, da man ja auch so nicht permanent mit Superuser Rechten arbeitet. Im Grunde funktioniert das unter Mac genauso wie sudo unter Linux/Ubuntu.

 

[Mitglied 105235]

Ich hab auch nur meinen User - und der hat auch Adminrechte. Solange ich allein am Macbook arbeite, ist alles andere doch auch Unsinn. Bei systemkritischen Eingriffen wird ja trotzdem das Passwort oder TouchID verlangt.

Vor den Fix nicht, denn dann wurde der Nutzer root einfach verwendet und dort musste man kein Passwort eingeben. Dieser Root Nutzer könnte dich als Admin auch von deinen eigenen System dann aussperren.

Die Sicherheit erhöht sich durch mehrere Nutzer aber nicht, da man ja auch so nicht permanent mit Superuser Rechten arbeitet. Im Grunde funktioniert das unter Mac genauso wie sudo unter Linux/Ubuntu.

Man muss auch nicht der Root User sein, es langt schon wenn man Admin ist und dann kann man sich alles mögliche verstellen bzw. auch installieren ohne das eine Passwort abfrage kommt. Nutzt man nun also einen weiteren Nutzer der keine Adminrechte hat, so würde man nach einem User mit Adminrechten gefragt werden, damit die Installation startet. Im Installer kann man aber sicherlich leicht via Script etc. automatisch den User root verwenden lassen mit einen leeren Passwort und schon hätte doch die Installation vor diesen Fix nun einfach gestartet oder etwa nicht?

So gesehen ist also schon eine Zusätzliche Sicherheit, dass sich nicht einfach mal so etwas installiert ohne den eigenen Zutun.

 

[franky273]

Vor den Fix nicht, denn dann wurde der Nutzer root einfach verwendet und dort musste man kein Passwort eingeben. Dieser Root Nutzer könnte dich als Admin auch von deinen eigenen System dann aussperren.

Hier macht ein weiterer User keinen Unterschied, auch der kann ja einfach den root eintragen und 2x auf Login klicken.

Man muss auch nicht der Root User sein, es langt schon wenn man Admin ist und dann kann man sich alles mögliche verstellen bzw. auch installieren ohne das eine Passwort abfrage kommt. Nutzt man nun also einen weiteren Nutzer der keine Adminrechte hat, so würde man nach einem User mit Adminrechten gefragt werden, damit die Installation startet. Im Installer kann man aber sicherlich leicht via Script etc. automatisch den User root verwenden lassen mit einen leeren Passwort und schon hätte doch die Installation vor diesen Fix nun einfach gestartet oder etwa nicht?

So gesehen ist also schon eine Zusätzliche Sicherheit, dass sich nicht einfach mal so etwas installiert ohne den eigenen Zutun.

Sorry, aber das stimmt einfach nicht.
Ich hab hier ein Macbook Pro mit nur einem User und einen iMac den ich mit der Freundin teile. Es ist egal ob Standard oder Admin User. Die Abfragen beim Installieren kommen immer. Der einzige Unterschied ist, ein Admin kann sein eigenes Passwort eingeben, als Standarduser musst du hingegen Name und Passwort eines Admins eingeben.
Es ist aber nicht so, dass als Admin User irgendwas automatisch "einfach so" an systemkritischen Dingen ausgeführt wird.

 

[matzl]

Nein ist er dort nicht soweit ich gelesen habe. Wie auch, die 5. Beta von 10.13.2 kam vorher raus.

@matzl

Gemessen an dem Zeitraum zwischen Presseberichten und Veröffentlichung schon.

Was die andere Sache angeht bezüglich erste Meldung im Dev Forum etc. weis niemand darüber Bescheid ob Apple das überhaupt genau da schon gesehen hat. Auch im Dev Forum schreiben viele Leute viel. Mitbekommen muss man es eben erst einmal.

Mein Stand ist sogar, dass Apple da überhaupt nicht mitliest. Ohne das große Twitter-Echo wäre also leider nix passiert.

 

[Mitglied 105235]

Sorry, aber das stimmt einfach nicht.

So pauschal kannst du das nicht sagen.

Ich hab hier ein Macbook Pro mit nur einem User und einen iMac den ich mit der Freundin teile. Es ist egal ob Standard oder Admin User. Die Abfragen beim Installieren kommen immer. Der einzige Unterschied ist, ein Admin kann sein eigenes Passwort eingeben, als Standarduser musst du hingegen Name und Passwort eines Admins eingeben.

Also es ist so bei dir, bei mir ist das anders. An meinen Mac mini kommt hier keine Abfrage, wenn ich neue Programme installieren will. Oder auch wenn ich installierte Programme Update. Dort finde ich es auch ganz gut, denn so kann ich einfach Plex über Safari von meinen MBA aus aktualisieren ohne das ich nun extra per Remote auf den Mac mini zugreifen muss.

Bei meinen MBA ist das gleiche, nutze ich hier mal den Admin User, so kommt keine Abfrage, wenn ich etwas installieren will.

Kann auch sein, dass es damit zusammen hängt weil ich den SIP deaktiviert habe, denn dieser behindert mich sehr oft wenn ich Tools wie Bartender Updaten will oder nutzen will.

Es ist aber nicht so, dass als Admin User irgendwas automatisch "einfach so" an systemkritischen Dingen ausgeführt wird.

Ich rede nicht von System kritischen Sachen, sondern einfach von installieren von Programmen.

 

[marcozingel]

Oder doch nicht !

 

[giesbert]

Was für ein Pfusch …

 

[MichaNbg]

Apple bestand irgendwann einmal aus hervorragenden Softwareingenieuren. Mittlerweile arbeiten wohl nur noch zwei Entwickler dort. Der Rest sind Buchhalter und Schutzhüllendesigner...

 

[Balkenende]

Irgendwie bin ich froh, dieser Tage meinen Mac gar nicht nutzen zu müssen. Einfach aus.

Ich warte schön, bis die Probleme ohne Nebenwirkungen behoben sind und gut.

Mein Bauchgefühl sagt mir, richtig behoben ohne Probleme wird es unter 10.3.2 erst.