Nachlässige Installer können Sicherheit von Mac OS X schwächen
Viele Installationsprogramme, die ein so genanntes StartupItem einrichten, scheinen nachlässig bei der Rechtevergabe zu sein.
Anwender von Apples Unix-Betriebssystem Mac OS X haben die Diskussionen um Sicherheitslücken auf Windows-Seite bisher eher gelassen verfolgt. Doch die Sicherheit kann trügerisch sein. Viele Installationsprogramme, die in /Library/StartupItems/ ein so genanntes StartupItem einrichten, scheinen nämlich ein wenig nachlässig bei der Rechtevergabe zu sein.
Ein StartupItem ist nichts weiter als ein Verzeichnis, in dem ein gleichnamiges Shell-Skript (oder ein anderes Programm) und einige Konfigurationsdateien liegen. Der System-Starter von Mac OS X durchsucht beim Systemstart alle Verzeichnisse in /Library/StartupItems/, ob sie den Strukturanforderungen genügen und führt, falls ja, den aktiven Teil aus -- mit root-Rechten. Das ist so vorgesehen und noch nichts Besonderes.
Hat aber nun ein Installer die Rechte eines von ihm angelegten StartupItems so gewählt, dass nicht nur root respektive Mitglieder der Gruppe wheel, sondern auch die Angehörigen der Gruppe admin dort hinein schreiben dürfen, bildet dies eine Schwachstelle. Fast alle Mac-Anwender arbeiten mit dem Benutzerkonto, das Mac OS X bei der Installation anlegt, und das gehört zur Gruppe admin. Führt solch ein Benutzer ein Skript oder Programm aus, etwa bei einer Installation, so muss er nicht einmal sein Passwort eingeben, damit dieses ein StartupItem anlegen kann, das beim nächsten Systemstart mit root-Rechten machen kann, was es will. Bekommt ein gutgläubiger Anwender nun ein bösartiges Programm untergejubelt, sind der Software über diesen Mechanismus Tür und Tor geöffnet. Nicht nur deshalb sollte man nur Programme starten, die aus einer zuverlässigen Quelle stammen.
Unter Mac OS X 10.3 besitzt das Festplatten-Dienstprogramm zwar eine Funktion namens "Volume-Zugriffsrechte reparieren" zur Korrektur fehlgeleiteter Rechte, diese berücksichtigt aber lediglich /Library/StartupItems/ selbst und nicht dessen Inhalt. Um auf Nummer Sicher zu gehen, kann man deshab in einem Terminal
sudo chown -R root:wheel /Library/StartupItems/
eingeben und diesen Befehl mit seinem Administratorpasswort bestätigen. Danach dürfen nur root und die Mitglieder der Gruppe wheel (und das ist standardmäßig nur root) in die StartupItems schreiben. Apple soll bereits am 24. März über das Problem informiert worden sein, bislang aber noch nicht darauf reagiert haben. Wer sich etwas näher mit diesem Sachverhalt beschäftigen möchte: Er wird zur Zeit in der Newsgroup de.comp.sys.mac.misc intensiv diskutiert. (adb)
