Exploit für ungepatchte Lücke in OS X 10.10 ermöglicht Root-Rechte

Eine im Juli durch den deutschen Sicherheitsforscher Stefan Esser alias @i0n1c entdeckte Sicherheitslücke, die Angreifern die lokale Ausweitung administrativer Rechte und damit den Root-Zugang zu Mac-OS-X-Systemen erlaubt, wird jetzt offenbar ausgenutzt.

Wie Malwarebytes in einem Blogbeitrag berichtet, hatte Adam Thomas, Sicherheitsspezialist bei dem Security-Anbieter, den Exploit entdeckt, als er auf eine neue Adware-Installationsdatei stieß. Nachdem der Forscher diese auf einem OS-X-System getestet hatte, bemerkte er, dass die sogenannten Sudoers-Dateien modifiziert worden waren. Bei diesen handelt es sich um versteckte Unix-Dateien, die über Root-Rechte in einer Unix-Shell entscheiden und auch darüber, wie genau sie vergeben werden. In diesem Fall räumt die Schwachstelle dem Adware-Installer Root-Rechte für die Unix-Shell ein – also ohne dafür die Passwort-Berechtigungen eines Administrators zu verlangen.

Das Exploit-Skript, das die durch die DYLD_PRINT_TO_FILE-Umgebungsvariable hervorgerufene Anfälligkeit ausnutzt, wird zunächst in eine Datei auf der Festplatte geschrieben und löscht sich nach seiner Ausführung schließlich selbständig. Das Skript ist in der Lage, die Beschaffenheit der Sudoers-Datei so zu verändern, dass Shell-Befehle mit Admin-Rechten ausgeführt werden können, um wiederum eine VSInstaller genannte Anwendung ohne vorherige Passwortabfrage zu starten. Ausgestattet mit den vollumfänglichen Root-Rechten kann die sich in einem versteckten Verzeichnis auf dem Disk-Image des Adware-Installers befindliche Anwendung dann beliebige andere Dateien herunterladen.

Dem Malware-Forscherteam zufolge ist VSInstaller beispielsweise für die Installation der Adware-Varianten VSearch und Genieo verantwortlich und spielt ebenso das potenziell unerwünschte Programm MacKeeper auf. Bislang ist noch kein offizieller Fix für die Sicherheitslücke verfügbar. Mac-Anwender können sich jedoch mit einem von Esser entwickelten Patch namens SUIDGuard schützen, den er auf GitHub bereitstellt. Dieser lässt sich aber offenbar nur von erfahreneren Nutzern einspielen.

Die Schwachstelle betrifft das aktuelle Mac-Betriebssystem OS X 10.10 Yosemite. Mit dessen Einführung hatte Apple dem dynamischen Linker dyld neue Umgebungsvariablen hinzugefügt, darunter DYLD_PRINT_TO-FILE, die das Schreiben von Fehlerprotokollen in beliebigen Dateien zulässt. Bei dieser Variable wurde allerdings versäumt, die üblichen Sicherheitsvorkehrungen zu treffen, was letztlich eine einfache lokale Rechteausweitung zuließ.

Zu dem Zeitpunkt war noch unklar, ob Apple von der Sicherheitslücke wusste, da die Anfälligkeit zwar in den ersten Betaversionen der kommenden OS-X-Version 10.11 El Capitan behoben wurde, nicht aber in der aktuellen Finalversion OS X 10.10.4 oder in der derzeitigen Vorschauversion von OS X 10.10.5. Esser hatte Apple vor der Veröffentlichung der Sicherheitslücke nicht über den Fehler informiert. Es wird daher angenommen, dass der Hersteller durch eine frühere Offenlegung eines anderen Sicherheitsspezialisten von der Schwachstelle wusste.

Der aktuelle Exploit ist jedoch nicht die einzige Sicherheitslücke, die Mac-Systeme derzeit betreffen. Die Sicherheitsforscher Trammell Hudson von Two Sigma Investments sowie Xeno Kovah von LegbaCore, haben erst kürzlich nachgewiesen, dass Rechner mit Mac OS für Angriffe auf Firmware-Ebene ebenso anfällig sind, wie Windows-PCs. Ihnen gelang es, mehrere bekannte Schwachstellen in der Firmware von PCs der wichtigsten Hersteller auch auszunutzen, um Mac-Rechner zu infizieren.

Der von den Forschern Thunderstrike 2 genannte Wurm kann sich über Netzwerkgrenzen hinweg ausbreiten, wie man das von seinen Pendants aus der Windows-Welt kennt. Thunderstrike 2 greift zum Beispiel Ethernet-Adapter und SSDs an und kann sich verbreiten, wenn diese an einen Mac angeschlossen werden. Ausgang eines Angriffs könnte etwa eine infizierte E-Mail oder Website sein.

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de