iTunes: Sicherheitslücke unter Windows schnell patchen
Im Mai hat Apple ein Update für seine Medienverwaltung unter Windows publiziert. Das sollte man flott einspielen, meinen die Entdecker.
(Bild: Apple)
In der Windows-Version von iTunes steckt eine problematische Sicherheitslücke, die es erlauben könnte, Malware auf dem System zu installieren. Die insgesamt zwei Löcher in der Medienverwaltung wurden von Apple zwar bereits im Mai gestopft, viele Nutzer dürften das Update aber noch nicht eingespielt haben. Das Sicherheitsunternehmen Synopsys, das einen der beiden Bugs an Apple meldete, hat nun weitere Details zu möglichen Angriffen publiziert.
Patch liegt seit längerem vor
Nutzer sollten schnellstmöglich auf iTunes 12.12.9 aktualisieren, das über Apples Softwareupdate-Funktion unter Windows bereitsteht und alternativ über den Microsofts App-Laden oder direkt bei Apple bezogen werden kann. Die von Apple gepatchten Fehler betreffen jeweils "Logic Issues", die es einem Angreifer erlauben, über iTunes mehr Systemrechte zu erhalten. In der Praxis bedeutet dies, dass ein Hacker sich System-Level-Zugriff verschaffen kann, schreibt Synopsys. "Die Ausnutzung dieser Sicherheitsanfälligkeit kann unter Windows zu einer Ausweitung der lokalen Rechte führen, wodurch Rechte auf Systemebene erlangt werden können."
Unklar bleibt vorerst, ob die Lücken bereits ausgenutzt werden. Da sie nun weitläufig publik sind, könnte schnell ein Angreifer auf die Idee kommen, ungepatchte Systeme zu attackieren. Synopsys schätzt die Gefahr durch das Problem als "hoch" ein. iTunes erstelle einen privilegierten Ordner mit schwacher Zugriffskontrolle, was dann ein ganz normaler User ausnutzen könne.
Vorgehensweise beim Angriff
iTunes erstellt laut Synopsys einen Ordner namens "SC Info", der im Verzeichnis "C:\ProgramData\Apple Computer\iTunes" landet. Er wird als Systembenutzer erstellt und gibt damit "allen Benutzern volle Kontrolle" über dieses Verzeichnis. "Nach der Installation kann der erste Benutzer, der die iTunes-Anwendung ausführt, den Ordner "SC Info" löschen, eine Verknüpfung mit dem Windows-Systemordner erstellen und den Ordner neu aufsetzen, indem er eine MSI-Reparatur erzwingt." Diese könne dann später verwendet werden, um Zugriff auf die Windows-Systemebene zu erhalten.
Apple hat iTunes auf dem Mac längst offiziell eingestellt, beziehungsweise bietet es nur noch für alte macOS-Versionen an. Unter Windows ist es jedoch nach wie vor die zentrale Medienverwaltung. Allerdings arbeitet der Konzern seit längerem an einer Variante von Apple Music für Windows. Eine Preview-Version ist bereits im Microsoft Store vorhanden.
Empfohlener redaktioneller Inhalt
Mit Ihrer Zustimmmung wird hier ein externer Preisvergleich (heise Preisvergleich) geladen.
Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (heise Preisvergleich) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.
(bsc)
