Googles Bug-Veröffentlichungen:
Jetzt ist auch Apples OS X dran

Während das Project Zero des Suchmaschinenkonzerns Google in den letzten Wochen vor allem durch die Kontroverse um veröffentlichte Windows-Sicherheitslücken auffiel, kommt nun auch Apples Betriebssystem OS X an die Reihe. Hier wurden nun ebenfalls Informationen zu einem Fehler veröffentlicht, für den es noch keinen Patch gibt. Betroffen ist hiervon der System-Daemon networkd. Wenn mit diesem aus einer Sandbox des Browsers Safari heraus kommuniziert wird, erfolgen teilweise keine ausreichenden Prüfungen. Dadurch kann es einem Angreifer gelingen, Code aus der Sandbox herauszuschleusen und auf dem System an sich ausführen zu lassen, heißt es in der Beschreibung des Problems, für das auch gleich ein Beispiel-Exploit mitgeliefert wird.


Der jeweilige Code wird dann mit den gleichen Rechten wie networkd ausgeführt. Da der Dienst seinen eigenen Nutzer-Account hat, sind diese allerdings nicht gleichbedeutend mit Root-Rechten. Trotzdem lassen sich auf diesem Weg deutlich mehr Aktionen durchführen als mit Code, der in der Sandbox eingeschlossen bleibt.

Betroffen von dem Problem sind nach Angaben der Google-Entwickler auf jeden Fall Macs, auf denen OS X Mavericks in der Version 10.9.5 läuft - hier haben die Google-Entwickler ihren Exploit zumindest getestet. Auch frühere Ausgaben könnten durchaus betroffen sein. Im aktuellen OS X 10.10 Yosemite funktioniert der Beispielcode hingegen nicht. Offenbar haben die Apple-Entwickler die Sicherheits-Lücke hier bereits gestopft.

Bei der Veröffentlichung der Informationen zu dieser Sicherheitslücke arbeitete Google erneut nach seinen Responsible Disclosure-Richtlinien. Hier werden dem Hersteller einer Software 90 Tage Zeit gelassen, um zu reagieren. Trotzdem hat Apple bisher noch keinen Patch herausgegeben. Seitens des Computerkonzerns gibt es bisher noch keine Verlautbarungen zu dem Thema.