Schwere Lücke in macOS verschafft Angreifern Admin-Rechte: Patch dürfte folgen

macOS Big Sur ist von einer gravierenden Sicherheitslücke betroffen. Durch ihre Ausnutzung kann Code mit Root-Rechten ausgeführt werden, wodurch einem Angreifer faktisch das ganze System offen steht. Es ist unklar, wieso Apple diese Lücke nicht bereits mit macOS Big Sur 11.2 behoben hat, denn die Vorlaufzeit war prinzipiell lang genug.

In macOS Big Sur steckt ein ernstes Sicherheitsloch. Die Schwachstelle CVE-2021-3156 wurde vor kurzem in dem Kommandozeilenwerkzeug sudo entdeckt. Mit sudo kann ein angemeldeter Benutzer einzelne Aktionen oder Code unter einem anderen Nutzer ausführen, etwa auch einem Administrator. Die vorliegende Schwachstelle erlaubt es somit auch, Code mit Root-Rechten auszuführen, auf diese Weise erlangt ein Angreifer alle Freiheiten auf einem System. Die Lücke in sudo wurde zunächst in verschiedenen Linux-Distributionen gefunden und geschlossen, später erst wurde bestätigt, dass auch macOS, ein Unix-artiges Betriebssystem, dafür anfällig ist. Um die Schwachstelle auszunutzen, muss zuvor ein niederschwelliger Systemzugriff bestehen, etwa durch eine Malware, die sich Nutzer im Netz eingefangen haben.

Mit schnellem Patch wird gerechnet

Zuvor war allerdings vermutet worden, Apple habe sich bereits um diese Schwachstelle gekümmert: macOS Big Sur 11.2 hat eine recht lange Beta-Phase hinter sich, an deren Ende der Release Candidate in drei Versionen erschienen war. Es war vermutet worden, RC3 hätte das sudo-Problem gelöst, dem ist aber nun nicht so, wie Sicherheitsexperten inzwischen zweifelsfrei bestätigt haben.

Big Sur 11.2 RC3 (20D64) install report
CVE-2021-3156

sudo remains unchanged – version 1.8.31
10.15 = 1.8.31
10.14 = 1.8.17p1

Security Update 2020-001 Beta for 10.15 & 14 – not updated

I'm not saying that macOS is or isn't vulnerable. We don't have very much info to go on. 🤔

— Mr. Macintosh (@ClassicII_MrMac) January 28, 2021

Apple ist sich des Problems aber bewusst und angesichts seiner Schwere, ist mit einem zeitnahen Patch zu rechnen.

-----
Willst du keine News mehr verpassen? Dann folge uns auf Twitter oder werde Fan auf Facebook. Du kannst natürlich in Ergänzung unsere iPhone und iPad-App mit Push-Benachrichtigungen hier kostenlos laden.