Kein Patch: Neue Zero Days ermöglichen Root-Zugang zu Apples OS X

Zwei Sicherheitslücken in Apples Betriebssystem OS X ermöglichen es Angreifern, aus der Ferne Root-Zugang zu dem System zu erhalten. Einen offiziellen Patch gibt es zur Zeit noch nicht - was angesichts der bereits verfügbaren Zero-Day-Exploits keine besonders angenehme Situation für Mac-Nutzer ist. Der Exploit-Code funktioniert quasi in allen OS X-Versionen, die Apple in den vergangenen anderthalb Jahren veröffentlicht hat. Durchaus interessant ist allerdings, dass der zugrundeliegende Fehler in der Beta-Fassung des im Herbst erscheinenden OS X 10.11 "El Capitan" gestopft zu sein scheint. Hier lässt sich auf diesem Weg zumindest kein Zugriff zum System mehr erhalten.


Entdeckt wurde das Problem von Luca Todesco aus Italien. Dieser hat auf der Entwickler-Plattform GitHub sowohl Demonstrations-Codes für das Ausnutzen der Lücke bereitgestellt, wie auch einen selbst entwickelten Patch. Da er aber nicht über ein Entwickler-Zertifikat von Apple verfüge, könne er diesen nicht in einer Form anbieten, die sich einfach auf einem Mac installieren lässt. Der Anwender muss den Patch-Code selbst kompilieren und ins System einpflegen.

Die große Frage ist nun, ob Apple das Problem bereits länger bekannt ist - worauf dessen Fehlen im neuesten Betriebssystem-Code schließen ließe. Dann wäre es ein Rätsel, warum es noch keinen Patch gibt - immerhin hat Apple gerade erst ein Security-Update veröffentlicht.

Es ist aber auch denkbar, dass der Exploit unter 10.11 nicht funktioniert, da die Schwachstelle aus anderen Gründen nicht mehr auf die vorliegende Art ausgenutzt werden kann. Zumindest ist Apple nicht von Todesco schon vor einiger Zeit über die Lücke informiert worden, wie es bei anderen sicherheitsrelevanten Veröffentlichungen üblich ist. Dieser teilte dem Unternehmen seine Erkenntnisse erst einige Stunden vor dem Upload der Codes auf GutHub mit.

Er wies aber Berichte zurück, die Spekulationen darüber anstellten, warum er Apple keine Zeit zur Herausgabe eines Patches ließ und ihm unterstellten, er habe so gehandelt, weil er ein Problem mit dem Unternehmen habe.