Ältere macOS-Versionen: Apple fixt heimlich schwerwiegende Lücke im Schlüsselbund
Mit einem Security-Update für Sierra und El Capitan, das bereits Ende Oktober erschien, wurde auch ein böser Keychain-Bug behoben. Das hat Apple erst jetzt in den Releasenotes zur Aktualisierung klargestellt.
Proof-of-Concept-Werkzeug für die Schlüsselbund-Lücke von Sicherheitsforscher Patrick Wardle.
Ein Sicherheitsproblem, das es einer böswilligen App unter macOS El Capitan und macOS Sierra erlaubte, die interne Passwortdatenbank (Schlüsselbund oder Keychain) auszulesen, ist inzwischen behoben worden. Apple hat einen entsprechenden Fix bereits mit dem Security Update 2017-001 Sierra und dem Security Update 2017-004 El Capitan ausgeliefert, die Ende Oktober veröffentlicht wurde. Allerdings wurde ein Hinweis auf die Fehlerbehebung erst vor kurzem in den Releasenotes nachgetragen.
Fix kam einen Monat später für ältere Versionen
Entdeckt hatte das Problem der US-Sicherheitsforscher Patrick Wardle. Dieser hatte Apple Mitte Oktober dafür kritisiert, dass macOS High Sierra bereits Anfang Oktober einen entsprechenden Fix erhalten hatte, Sierra und El Capitan hingegen nicht. "Unglücklicherweise geht Apple beim Beheben von Fehlern häufig so vor – die jüngste Version des Betriebssystems ist die einzige Version, die einen Patch erhält", hatte er damals gegenüber Mac & i gesagt.
Keychain ist für Malware-Autoren ein gefundenes Fressen
Die Schwachstelle, die in macOS High Sierra 10.13 sowie mindestens macOS Sierra und El Capitan steckte, machte es beliebigen Programmen möglich, den kompletten Schlüsselbund des Nutzers heimlich auszulesen – mitsamt allen dort gespeicherten Passwörtern im Klartext. Viele Anwendungen und Apples Systemprogramme sichern in der Keychain wichtige Angaben inklusive der Apple-ID-Informationen. Entsprechend versucht Malware auch gerne, Zugriff auf diese zu erhalten, etwa der Trojaner Proton, der aktuell in mehreren Varianten kursiert. Durch den Bug war dies deutlich leichter möglich.
Schwere root-Lücke (recht) schnell behoben
Apple hatte gestern zudem eine schwere Sicherheitslücke in macOS High Sierra behoben, über die man mit wenigen Klicks alle Systemrechte erhielt. Hier war Apple recht schnell: Medienberichte dazu gab es erst am Dienstagabend. Allerdings soll die Lücke schon mehrere Wochen in Foren besprochen worden sein. (bsc)
