Einloggen auf heise online

    • News
    • heise Developer
    • heise Netze
    • heise Open Source
    • heise Security
    • c't
    • iX
    • Technology Review
    • c't Fotografie
    • Mac & i
    • Make
    • Telepolis
    • heise Autos
    • TechStage
    • tipps+tricks
    • heise Download
    • Preisvergleich
    • Whitepapers
    • Webcasts
    • Stellenmarkt
    • Karriere Netzwerk
    • Gutscheine
    • IT-Markt
    • Tarifrechner
    • Netzwerk-Tools
    • Spielen bei Heise
    • heise shop
    • heise Select
    • Artikel-Archiv
    • Zeitschriften-Abo
    • Veranstaltungen
    • Arbeiten bei Heise
    • Mediadaten
mac
  • 7-Tage-News
  • News-Archiv
  • Liveticker
  • News-Foren
  • Artikel-Foren
  • Kontakt
  • News
  • Tipps
  • Artikel
  • Forum
  • Produkte
  • Heft
  • Archiv
  • Abo
  1. Mac & i
  2. News
  3. 11/2017
  4. Schwere Sicherheitslücke: root ohne Passwort mit macOS High Sierra

Schwere Sicherheitslücke: root ohne Passwort mit macOS High Sierra Update

29.11.2017 06:34 Uhr Ben Schwan
vorlesen
High Sierra

macOS High Sierra ist seit September verfügbar.

(Bild: Apple)

Mit ein paar Klicks können sich eingeloggte Nutzer in macOS 10.13 root-Rechte besorgen. Apple lässt eine extrem einfache Privilege Escalation zu.

Der türkische Developer Lemi Orhan Ergin hat auf Twitter eine schwere Sicherheitslücke veröffentlicht, die die macOS-Version 10.13 alias High Sierra betrifft – inklusive des aktuellen Final Releases 10.13.1 und offenbar auch Betaversionen von 10.13.2. Apple hat es augenscheinlich versäumt, den root-Account korrekt abzusichern beziehungsweise zu deaktivieren, was auch normalen Nutzern erlaubt, zum Superuser zu werden. Sie müssen nur Zugriff auf einen eingeloggten Account haben. [Update 29.11.17 15:40 Uhr:] Klarstellung: Dabei kann es sich sowohl um einen Administrator- als auch einen Standardzugang handeln. [/Update]

Klicken und schon root

Um die Lücke auszunutzen, muss man sich in die Systemeinstellungen begeben und einen Dialog auswählen, der Administratorrechte verlangt – etwa jenen, mit dem sich neue Accounts kreieren lassen. Nach dem Klick auf das Schlosssymbol zum Entsperren wird als Username "root" eingegeben und das Passwortfeld leer gelassen. Nach einmaligem Selektieren des leeren Feldes lässt sich auf "Schutz aufheben" klicken (gegebenenfalls mehrmals) – und man ist drin. Anschließend agiert man als Root-User und kann sich im System beispielsweise einen neuen Zugang mit allen Rechten anlegen.

Nutzer berichten zudem, dass nach einem Reboot beziehungsweise frischen Einloggen "root" ohne Passwort auch als System-Login verwendet werden kann, solange es in diesem Dialog möglich ist, einen freien Benutzernamen einzugeben, statt aus einer Liste von Nutzern auszuwählen. Diese Einstellung ist allerdings kein Standard, wurde bislang aber als Sicherheitstipp gehandelt, weil Angreifer in diesem Fall auch den Accountnamen herausfinden müssen und nicht nur das Passwort eines Benutzers.

root-Account aktivieren und Passwort setzen hilft

Kurzfristige Abhilfe gegen die root-Lücke schafft, dem root-Account schlicht ein Passwort zuzuordnen. Dazu muss dieser normalerweise zunächst aktiviert werden. Wie dies inklusive Passwortvergabe funktioniert, beschreibt Mac & i in diesem Tipp. Laut ersten Angaben des Konzerns ist das Sicherheitsteam über das grundsätzliche Problem bereits informiert und werkelt an einem Fix. "Wir arbeiten an einem Software-Update, um den Fehler zu adressieren", hieß es. Das Unternehmen empfiehlt zusätzlich, zu überprüfen, ob ein eventuell zuvor aktivierter Root-Zugang über ein Passwort verfügt – das scheint ebenfalls nicht immer der Fall zu sein.

Die macOS-High-Sierra-Root-Lücke in der Praxis (Video: Roman Loyola).

Apple hatte sich in macOS High Sierra bereits zuvor einen echten Sicherheitsklopfer geleistet. Verschlüsselte APFS-Volumes zeigten ihr Passwort unerwartet als Merkhilfe. Eine Lücke im macOS-Schlüsselbund, die böswilligen Apps einen Zugang zu zentralen Passwörtern erlaubt, wurde in macOS 10.12 und 10.11 zudem erst spät behoben. Dafür sind diese älteren Systeme von der am Dienstag entdeckten root-Lücke offenbar nicht betroffen, zumindest legen das erste Versuche nahe.

Mehr zum Thema:

  • root-Account in macOS High Sierra absichern

[Update 29.11.17 11:04 Uhr:] Hinweis auf Behebung der Schlüsselbundlücke korrigiert.

[Update 29.11.2017 17:50 Uhr] Apple hat inzwischen ein Sicherheits-Update freigegeben, das die Lücke in macOS High Sierra schließen soll.

[Update 29.11.17 20:25 Uhr:] Die root-Lücke erlaubt auch einen passwortlosen Zugriff auf Macs, auf denen der Remote-Zugriff ("entferne Verwaltung") aktuell aktiviert ist – gegebenfalls sogar aus dem internet, sollten die entsprechenden Ports im Router / der Firewall nach außen freigegeben sein beziehungsweise weitergeleitet werden. (bsc)

Kommentare lesen (417 Beiträge)

Forum zum Thema: Mac OS X

https://heise.de/-3903707 Drucken
Mehr zum Thema:
macOS Sicherheitslücken
Anzeige
Anzeige

Mac & i Heft 2/2018

50 ultimative Mac-Tricks · Retro-Kult · Extern speichern · 360°-Panoramen · HomePod · iOS 11.3, macOS 10.13.4 · Musik programmieren · Top-PC-Spiele auf lahmen Macs · Steuererklärung · iMac Pro mit 10/18 Kernen · iCloud und EU-Datenschutz · Apple-Support

  • Aktuelles Heft
  • Abonnieren
  • Heftarchiv
Anzeige
  • Geldanlage: von Mensch und Maschine profitieren
  • DSGVO: Was nach dem 25. Mai noch zu tun ist
  • Special: DSGVO Ratgeber
  • Interessante Jobangebote - IT-Jobtag in Leipzig!
  • 5 IT-Trends, die Sie auf dem Schirm haben sollten
  • Arbeitgeber Bewerbungen: Heise Karriere-Netzwerk
  • enterJS: Die volle Bandbreite an JavaScript-Wissen
  • Unter der Lupe: Hardware für den Endgeräteschutz
  • Wie Endgeräteschutz die IT-Sicherheit verbessert
Meistkommentiert
  • OLED fürs iPhone: Apple bleibt weiter von Samsung abhängig
  • Marktforscher: iPhone 8 und 8 Plus schlagen iPhone X
  • WhatsApp mit iOS 11.3: Exchange-Kontakte können fehlen
  • Apple Watch als Schnarchstopper
  • Umfrage: 97 Prozent der Kunden mit iPhone X zufrieden – bis auf Siri
Meistgelesen
  • Details zum "iPhone SE 2" durchgesickert
  • OLED fürs iPhone: Apple bleibt weiter von Samsung abhängig
  • WhatsApp mit iOS 11.3: Exchange-Kontakte können fehlen
  • Marktforscher: iPhone 8 und 8 Plus schlagen iPhone X
  • Bericht: Kunde beschädigt iMac Pro – Apple verweigert Reparatur
Aktuelle Artikel
Bessere Fotos mit dem iPhone – 50 Tipps zu Bearbeitung, Aufnahme und Motivwahl
iPhone als Kamera

Mit der iPhone-Kamera kann man oft ebenso gute Fotos wie mit teuren Spiegelreflex-Kameras schießen. Mit unseren Tipps bewältigen Sie schwierige…

Das günstige iPad im ersten Test

Die Redaktion der Mac & i konnte Apples um 50 Euro verbilligtes iPad 9,7" samt Pencil einem ersten Test unterziehen. Im Fokus lagen dabei die…

Pro & Contra
Tanzt Apple auf zu vielen Hochzeiten?

Apple mischt in immer mehr Branchen mit. Ist das zu viel des Guten?

Ausprobiert: Apples Pages für digitale Bücher
Apples Pages

Die neue Version von Apples Textverarbeitung soll sich besser zum Erstellen digitaler Bücher eignen und unterstützt den Apple Pencil – zeigt dabei…

Schnüffel-Apps
Datenverkehr von iPhone und Mac überwachen
Schnüffel-Apps iPhone

Wir zeigen, wie Sie mit Hilfe eines Web-Proxys Einblick in die Datenverbindungen Ihrer iOS- und macOS-App erhalten.

Systemwechsel
Umsteigen von Windows auf den Mac
Windows Mac Müllkorb

Mac & i liefert Argumente für den Umstieg und zeigt, wie sich Windows-Umsteiger in macOS schnell zurechtfinden.

Das Mac-Glossar

In der Hintergrundreihe „macOS intern“ blickt Mac & i ab Heft 1/2017 hinter die Kulissen von Apples Desktop-Betriebssystem. Begleitend dazu stellen wir hier ein Glossar mit den wichtigsten Fachbegriffen zur Verfügung. Es wird mit jedem Artikel entsprechend erweitert.
Themenforen
  1. High Sierra Kalender verbraucht extrem viel Arbeitsspeicher
    Hallo liebe Mac&i Community, ich bin am verzweifeln, Apple Kalender hängt sich bei mir mittlerweile täglich nach ein paar Arbeitsstunden auf.

    Forum:  Software für Mac OS X

    B-H-Haemmerling hat keinen Avatar
    von B-H-Haemmerling; vor 2 Stunden
  2. Grafiktablett XP-Pen zum Digital Zeichnen Empfehlungen
    Guten Morgen alle zusammen, ich arbeite derzeit mit dem XP-Pen Artist13.3 ausschließlich zur Foto- / Bildbearbeitung ( mit display) zu kaufen (…

    Forum:  Software für iOS

    taibai hat keinen Avatar
    von taibai; Montag, 06:05
  3. Re: Wo speichert Apple Server Kontakte und Kalenderdaten?
    Nachtrag: Jetzt, wo sie das Thema noch mal vorgeholt haben, habe ich mich noch mal kurz mit dem Bender Programm beschäftigt und gesehen, dass…

    Forum:  Software für Mac OS X

    leckernetz hat keinen Avatar
    von leckernetz; Donnerstag, 21:12

Mac & i-Webinar zu macOS Server

Webinar von Mac & i: Wie man macOS Server im Unternehmen einsetzt
Das Webinar zeigt die Möglichkeiten von macOS Server für Firmen und Bildungseinrichtungen, beschreibt die Voraussetzungen und gibt Praxistipps. Bis zum 31. Juli können Sie sich noch mit Frühbucher-Rabatt anmelden.
Mac OS X
Mac OS X beziehungsweise macOS ist das Betriebssystem für Mac-Computer von Apple.
AppCleaner
Der AppCleaner erlaubt das vollständige Deinstallieren von Mac Apps, sodass keine Datenreste auf der Festplatte zurück bleiben.
Macs Fan Control
Macs Fan Control ermöglicht dem Nutzer von PC oder Mac bei Bedarf die CPU-Lüftergeschwindigkeit zu überprüfen und zu ändern.
SimplyBurns
SimplyBurns ist ein schlankes, kostenloses Brennprogramm für Mac-Systeme, das grundlegende Features zum Brennen und Rippen von CDs und DVDs bietet.
Carbon Copy Cloner
Ganze Volumes kopieren, dient unter anderem dem vollständigen Backup von Mac OS X; seit Version 3.1 kann das Tool prognostizieren, ob ein geklontes Volume startfähig sein wird
  • Datenschutzhinweis
  • Impressum
  • Kontakt
  • Mediadaten
  • News mobil
  • 2326667
  • Content Management by InterRed
  • Copyright © 2018 Heise Medien