Google veröffentlicht in OS X 10.9.5 entdeckte Sicherheitslücke
Nach mehreren Sicherheitslücken in Windows hat Google im Zuge seines Project Zero auch eine gravierende Schwachstelle in Apples Betriebssystem Mac OS X gefunden und sie gemäß seiner selbst auferlegten Richtlinien nach einer Sperrfrist von 90 Tagen öffentlich gemacht. Darüber hinaus liefert es direkt Exploit-Code mit, der bislang aber nur unter OS X 10.9.5 getestet wurde.
Der von Google beschriebene Bug befindet sich im System-Daemon networkd. Dieser lässt sich über die prozessübergreifende XPC-API von Applikationen aufrufen, die normalerweise in einer Sandbox laufen. Dazu zählen auch der Browser Safari oder der Zeit-Daemon ntpd.
Angreifer können die Schwachstelle Google zufolge ausnutzen, um unter Umgehung der Sandbox Schadcode in networkd auszuführen. Der Daemon besitzt jedoch nicht alle erforderlichen Systemrechte, sondern läuft als eigener Nutzer mit eigenen Rechten.
In einer Beschreibung des Exploits erläutert Google, wie der Bug unter OS X 10.9.5 ausgenutzt werden kann. In einem Update heißt es, dass libxpc unter OS X 10.10 Yosemite diese Schwachstelle nicht aufweise, da Apple bereits eine sogenannte Härtung vorgenommen habe.
Laut Google wurde Apple am 20. Oktober über die erwähnte Sicherheitslücke informiert. Da Apple bis zum gestern keinen Patch verfügbar gemacht hat, wurde sie nun publik gemacht. Neben OS X 10.9.5 könnten auch frühere Versionen des Betriebssystems von der Schwachstelle betroffen sein.
Mit den zuletzt von seinem Sicherheitsforscher James Forshaw entdeckten Schwachstellen in Windows war Google bereits ähnlich verfahren. Damit zog es sich den Unmut von Microsoft zu, das Google zuvor bereits mitgeteilt hatte, an Patches zu arbeiten, und es gebten hatte die Offenlegung zu verschieben. Diese Bitte ignorierte Google jedoch, obwohl die Sperrfrist in einem Fall nur zwei Tage vor Microsofts Patchday auslief.
[mit Material von Björn Greif, ZDNet.de]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de