Sicherheitsforscher: OS X 10.10 Yosemite enthält weiterhin Rootpipe-Lücke

In Apples aktuellem Betriebssystem OS X 10.10 Yosemite steckt offenbar weiterhin eine schwerwiegende Lücke im Administrator-Framework, die eigentlich durch das Update 10.10.3 geschlossen werden sollte. Wie Sicherheitsforscher Patrick Wardle nun entdeckt hat, lässt sich die als „Rootpipe“ bezeichnete Schwachstelle weiterhin ausnutzen. Sie ermöglicht es einem lokalen Angreifer, sich Root-Rechte und damit vollständigen Zugriff auf das System zu verschaffen.

Erstmals öffentlich auf die Lücke hingewiesen hatte Anfang November 2014 der schwedische Sicherheitsberater Emil Kvarnhammar. Sie steckt in allen Versionen OS X, doch im April brachte Apple nur einen Fix für sein aktuelles Betriebssystem heraus. Es begründete dies gegenüber Kvarnhammar damit, „dass das Problem erhebliche Änderungen erfordert und dass sich der Fix nicht auf OS X 10.9.x und früher portieren lässt“.

Wie sich nun herausstellt, scheint jedoch auch der Patch für OS X 10.10 Yosemite wirkungslos zu sein. Wie Patrick Wardle in einem Blogeintrag ausführt, hat er eine neue, banale Möglichkeit gefunden, die Rootpipe-Lücke weiterhin auszunutzen – selbst auf einem vollständig aktualisiertem Yosemite-System. Dies demonstriert er auch in einem Video.

Nach eigenen Angaben hat Wardle Apple bereits über seine Entdeckung informiert. Im Sinne einer verantwortungsvollen Offenlegung wolle er zum jetzigen Zeitpunkt aber noch keine technischen Details des Exploits öffentlich machen. „Dennoch hatte ich das Gefühl, dass OS-X-Nutzer sich in der Zwischenzeit des Risikos bewusst sein sollten.“

Der Rootpipe genannte Fehler basiert auf einem API-Aufruf, der Kvarnhammar zufolge wahrscheinlich für das Einstellungsmenü von OS X und den Befehl „Systemsetup“ benötigt wird. Dabei finde jedoch keine Überprüfung der Rechte statt, weswegen er allen Nutzern offen stehe. „Das ist ein logische Rechteausweitung, die lokal oder in Kombination mit einem Exploit, der eine Remotecodeausführung erlaubt, genutzt werden kann“, erklärte Kvarnhammar.

Apple versuchte laut Wardle, die Lücke in OS X 10.10.3 zu schließen, indem es Zugangsprüfungen über eine neue private Berechtigung einführte. Theoretisch sei dies ein vernünftiger Ansatz gewesen, so der Sicherheitsforscher. In der Praxis stellte er sich aber als wirkungslos heraus.

So bleibt auch Nutzern von OS X 10.10.3 Yosemite bis zum Erscheinen eines weiteren Patches nichts anderes übrig, als den Empfehlungen zu folgen, die Apple bereits für ältere Systeme gegeben hat: Um sich vor Rootpipe zu schützen, sollten Anwender für die tägliche Arbeit kein Administratorkonto verwenden. Stattdessen können sie ein zweites Administratorkonto anlegen und ihrem täglich genutzten Konto die uneingeschränkten Rechte entziehen. Auch die Verwendung der Verschlüsselungsfunktion FileVault kann die Auswirkungen eines Angriffs minimieren.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.