Google veröffentlicht auch MacOS-Exploit vor Patch-Verfügbarkeit

Googles Project Zero-Team hat jetzt auch mal Informationen zu einer Sicherheitslücke in Apples Betriebssystem MacOS veröffentlicht, bevor der Hersteller einen Patch an die Nutzer schickte. Denn die Frist von 90 Tagen ist verstrichen. Zu große Sorgen scheinen sich die User aber wohl nicht machen zu müssen. Dem Problem liegt die Tatsache zugrunde, dass der MacOS-Kernel XNU in manchen Fällen ein so genanntes Copy-on-Write (COW)-Verhalten zulässt. Eigentlich sollten Modifikationen an Speicherinhalten immer sauber voneinander getrennt abgearbeitet werden, manchmal ist es dann aber doch sinnvoll zugunsten einer höheren Performance von diesem Prinzip abzuweichen. Dann sollte man aber aufpassen, dass andere Schutzmechanismen greifen.

Und das ist in dem genannten Fall nicht gegeben und es kann zu Schwierigkeiten bei den komplexen Prozessen kommen, die bei der Verarbeitung und Speicherung von Informationen durchlaufen werden. Wie es hier nun genau zu einem Leck in den Sicherheitsstrukturen kommen kann, lässt sich am Code des Beispiel-Exploits der Google-Experten sehen.

Massen-Angriffe eher unwahrscheinlich

Für die meisten Nutzer sollte hingegen der Fakt ausreichen, dass der Bug es möglich macht, Manipulationen an Daten im Dateisystem vorzunehmen, ohne dass die Prozesse des Dateisystems darüber informiert werden. In der Folge lässt sich so Code in Bereiche des Systems einschleusen, auf die ein Angreifer normalerweise keine Zugriffsberechtigungen hätte.

Das Risiko dürfte im allgemeinen Recht gering sein. Denn erst einmal muss man überhaupt eine Malware unter MacOS zum Laufen bekommen, damit diese dann ihre Rechte über den Bug erweitern kann. Die konkrete Umsetzung dessen bedarf schon eines größeren Aufwandes, der sich nur in Einzelfällen wirklich rentieren dürfte. Daher ist man bei Apple wohl auch nicht in Panik verfallen und will mit einem der kommenden Updates einen Patch mitliefern.

Die Veröffentlichung durch das Project Zero sorgt hier allerdings einmal mehr für Diskussionen. Zwar ist der Zeitraum von 90 Tagen, die dem Hersteller einer Software zum Patchen angeboten werden, gemeinhin gängig. Hier sind aber eben auch keine unabhängigen Security-Spezialisten am Werk, sondern Mitarbeiter eines großen IT-Konzerns, die stur zum angekündigten Termin Exploit-Codes für die Plattform eines Konkurrenten veröffentlichen. Das war auch schon gegenüber Microsoft der Fall und wird zuweilen ziemlich kritisch betrachtet.

Siehe auch: