Rootpipe: Schwere Sicherheitslücke gefährdet OS X 10.10 Yosemite
In Apples Betriebssystem OS X 10.10 Yosemite steckt eine schwere Sicherheitslücke. Dies berichtet der schwedische Sicherheitsberater Emil Kvarnhammar, der sie auch entdeckt hat. Angreifer können die mit Rootpipe benannte Schwachstelle ausnutzen, um uneingeschränkt auf ein betroffenes System zuzugreifen. Wahrscheinlich wird Apple die Anfälligkeit erst im nächsten Jahr patchen. Der iPhone-Hersteller hat Kvarnhammar gebeten, sämtliche Einzelheiten zu der Sicherheitslücke bis Januar 2015 zurückzuhalten.
“Die Vereinbarung mit Apple sieht vor, alle Details Mitte Januar 2015 öffentlich zu machen”, sagte Kvarnhammar, der für das schwedische Sicherheitsunternehmen TrustSec arbeitet. “Das hört sich nach einer langen Wartezeit an, aber die Zeit vergeht schnell. Es ist wichtig, dass sie Zeit für die Entwicklung eines Patches haben und dass der Patch auch eine Zeit lang zur Verfügung steht.” Außer Apple hat er auch das US-CERT über die Anfälligkeit informiert.
Kvarnhammer berichtet weiter, dass er zuerst nur in älteren Versionen von OS X den Fehler entdeckt habe. Trotz einer einheitlichen Architektur habe er aber bei der Vorbereitung auf zwei Security-Veranstaltungen in Stockholm und Malmö Unterschiede zu neueren Releases von OS X gefunden. “Durch wenige Veränderungen war ich in der Lage, die Anfälligkeit auch in der jüngsten OS-Version 10.10 zu nutzen.”
“Normalerweise gibt es Anforderungen für ‘Sudo’-Passwörter, die als Barriere dienen, damit der Administrator ohne Eingabe des richtigen Passworts keinen Rootzugriff erhält”, sagte Kvarnhammar TechWorld Sweden. “Rootpipe umgeht das allerdings.” Wie er auf den Namen “Rootpipe” gekommen ist, wollte er nicht genauer erklären. “Darauf komme ich zurück, sobald ich mehr Informationen liefern kann.”
Mac-Nutzer können sich vor Rootpipe schützen, indem sie kein Administrator-Konto für die tägliche Arbeit verwenden. Die Auswirkungen von Angriffen können auch durch den Einsatz der Verschlüsselungsfunktion FileVault minimiert werden.
[mit Material von Stefan Beiersmann, ZDNet.de]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de