macOS 15: Mitteilungszentrale-Datenbank landet in Container

Apple wird in macOS 15 alias Sequoia, das seit Montag im öffentlichen Betatest ist, eine Datenbank absichern, die Angreifer bislang vergleichsweise einfach auslesen konnten. Wie der Sicherheitsforscher Csaba Fitzl festgestellt hat, steckt Apple die zur macOS-Mitteilungszentrale gehörende Datenbank nun erstmals in einen Container. Damit lassen sich Benachrichtigungen – darunter iMessage-Botschaften – nicht mehr mit einem einzigen sqlite3-Befehl auslesen, was zuvor möglich war, wenn ein Angreifer die notwendigen lokalen Rechte hatte.

Problem bestand seit Jahren

Das Problem bestand über Jahre und dürfte Apple mehrfach bekannt gemacht worden sein. "Ich glaube, sie haben dafür nur vier Jahre gebraucht", schrieb Fitzl auf X. Apple selbst verlangt von App-Anbietern, die den macOS App Store verwenden wollen, normalerweise die Verwendung der sogenannten App Sandbox samt Container. Bei seinen eigenen Programmen wird dies hingegen nicht immer umgesetzt – oder aber verzögert.

Apple hatte bereits angekündigt, dass Container an sich ebenfalls besser abgesichert werden. Der Systemschutz System Integrity Protection (SIP) schützt nun auch den Ordner "~/Library/Group Containers" direkt, sodass Apps stets nur auf ihren eigenen Gruppen-Container zugreifen dürfen. Diese Container werden bereits jetzt im Rahmen von Apples TCC (Transparency, Consent and Control) mit Abfragen gesichert, mit SIP legt der Konzern aber noch eine Schippe drauf.

Sequoia reicht Schutz nach

In macOS 14 und früher befindet sich die Datenbank der Mitteilungszentrale im Ordner "private/var/folders". Damit reicht besagtes Auslesen mittels sqlite3 plus xxd und plutil, wie Fitzl weiter berichtet, der auch von SIP nicht abgedeckt wird. In der Datenbank befinden sich alle Dinge, die üblicherweise in der Mitteilungszentrale landen, entsprechend sensibel sind dies Informationen.

Die Datenbank ist temporär und liegt im Text- und Binärformat vor, ist aber vollständig ungeschützt. Das Problem erinnert an ähnliche Programmierfehler wie neulich bei der Desktop-App von OpenAIs ChatGPT oder Microsofts Recall-Funktion unter Windows. Auch hier lagen alle Angaben ungeschützt für lokale Nutzer auf dem Rechner.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmmung wird hier ein externer Preisvergleich (heise Preisvergleich) geladen.

Preisvergleiche immer laden Preisvergleich jetzt laden

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (heise Preisvergleich) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

(bsc)