• Erich Pekar
    Teilnehmer
    Post count: 135
    #52571 |

    http://derstandard.at/2000068684842/Massives-Sicherheitsleck-macOS-erlaubt-Admin-Login-ohne-Passwort

    Angreifer können mit vollen Rechten auf “High Sierra” zugreifen – Apple arbeitet an Update, Workaround verfügbar

    IT-Riese Apple hat sich mit seiner jüngsten macOS-Version “High Sierra” einen massiven Sicherheitspatzer geleistet. Wie der Sicherheitsforscher Lemi Orhan Ergin auf Twitter offenlegte, ist es möglich, sich auf Macs mit dem Betriebssystem als Root-User, also mit vollen Rechten, einzuloggen – ohne ein Passwort einzugeben.

    Um diese “Privilege Escalation” durchzuführen, reicht es, mit einem beliebigen Konto, etwa einem Gast-Account, auf dem Gerät in den Einstellungen für “Nutzer und Gruppen” das Schloss-Icon anzuklicken und im anschließenden Eingabefenster “root” als Usernamen einzutragen und zumindest einmal ins Passwortfeld zu klicken. Nach ein- bis mehrmaligem Klick auf “Entsperren” erteilt das System dem eigenen Konto Administratorrechte. Das bedeutet volle Kontrolle über den Rechner.

    Bis das Unternehmen einen Patch nachreicht, kann das System allerdings mit einem einfachen Workaround abgesichert werden. Dazu reicht es, sich selbst mit Administratorrechten einzuloggen und ein (möglichst sicheres) Passwort zu vergeben. Das Vorgehen ist wie folgt: Man öffnet ein Terminalfenster und gibt dort “sudo su” und anschließend das eigene Passwort ein. Danach folgt das Kommando “passwd”, anschließend folgt ein mit Anleitung versehener Prozess, um ein Kennwort einzurichten. Anschließend ist ein Root-Login ohne Passwort nicht mehr möglich.

    Allerdings scheint dies eher ein (“verwaltungstechnisches”) Problem von allen ausgelieferten Rechnern  bzw. Geräten (wie z.B Router , Drucker .. ) – auch anderer Hersteller –  mit vollständiger Installation des Betriebsystems zum Zeitpunkt der Übergabe des Gerätes an den Kunden  zu sein :

    Wenn der Kunde/Endbenutzer  sich auch als  Administrator einloggen können soll ( bzw, darf )   so muss zum  Zeitpunkt  des Verkaufs ( bzw Geräteübergabe) an den Endbenutzer dem Kunden auch der Admnistrator-Account  “übergeben” werden.

    Zum Zeitpunkt der Geräteübergabe kann für dieser Administrator-Account
    a)  kein Passwort
    b) ein Standard-Passwort
    c) ein sicheres ( individuellees ) Passwort
    eingerichtet sein.

    Für die Abwicklung der Übergabe ist der Fall c ) mit dem größten Aufwand  verbunden, da das sichere Passwort  dem Kunden auch gesichert ( in einem versiegelten Kuvert oder nach Anmeldung des Endbenutzes über einen sicheren Server des Geräteherstellers ) übergeben werden muss, damit der Endbenutzer auch Zugriff auf den Administrator Account  erhalten kann.
    Daher wird üblicherweise ein Standard-Passwort ( das  dann auch in den Benutzerhandbüchern zu finden ist) oder gar kein Passwort  für den Admistrator Account vorgesehen.
    Wenn der Benutzer dann zufolge fehlender technischer Kenntnisse und/oder nicht gelesenem  Benutzerhandbuch nicht weiß, dass er als erste Maßnahme nach der Inbetriebnahme des Gerätes (und vor dem Anschluss ans Netzwerk ) ein sicheres Administrator-Passwort zu vergeben hat, dann kann  es zu solchen “Bugs” kommen, wie in obigemArtikel beschrieben.

    Die sicherste Vorgangsweise wäre allerdings allemal noch das Betriebsystem für das Gerät ( gilt leider nur für Rechnersyteme von Stand-PC bis Lap-Top und ist bei Apple-Geräten offenbar gar nicht vorgesehen )  vollständig neu selbst zu installieren.
    Netzwerk-Drucker, Router, Tablets, Smartphones .. gibt’s  halt nur mit bereits installierter Software. Zumeist wird für dieser Geräte im Benutzerhandbuch empfohlen, ein sicheres Passwort – auch für den Administrator-Account –  selbst zu vergeben (und sich sicher zu notierten).  Allerdings dürften manche  (viele ?) User damit bereits überfordert sein.

     

     

     

     

  • Fritz Stockhammer
    Teilnehmer
    Post count: 155
    #63267 |

    Das ist mittlerweile gefixed.

    Neu hinzu kam aber: IOHIDeous

    Und auch die Meltdown, Spectre, Intel Management Engine Lücken

    Inwieweit Apple diese schon in den letzten Bugfixes repariert hat, ist momentan unklar.

You must be logged in to reply to this topic.