[patched] macOS root

Brute Force im Kontrollfeld: root-Zugriff ohne Kennwort

Sicherheitslücke in High Sierra. Das aktuelle Betriebssystem für Mac-Computer macOS High Sierra v10.13 hat eine Sicherheitslücke im User-Interface. Es ist nicht so, dass sich fremde Nutzer anmelden könnten, vielmehr lässt sich das Kontrollfeld Benutzer & Gruppen in den Systemeinstellungen mit root-Rechten entsperren, indem man das Kontrollfeld als Nutzer root ohne Passwort durch mehrmaliges Klicken auf die Schaltfläche Unlock entsperrt.

Dear @AppleSupport, we noticed a *HUGE* security issue at MacOS High Sierra. Anyone can login as „root“ with empty password after clicking on login button several times. Are you aware of it @Apple?
[ Lemi Orhan Ergin ]

Eigentlich handelt es sich um ein Sicherheitsmerkmal, dass für den root–User kein Passwort vergeben ist. Denn ohne Passwort ist über das Terminal und ssh keine Anmeldung bei macOS möglich.
Eigentlich, denn der Fehler im Kontrollfeld Benutzer & Gruppen aktiviert den Nutzer root. Fortan sind dann sehr wohl Anmeldungen von fremden Nutzern mit Superuser-Rechten am Computer möglich. Aber halt nur am Computer. Allerdings ist es mit root–Rechten ein Leichtes, sich einen Remote-Zugriff einzurichten, der sich dann über ssh anmelden kann.

So wird’s wieder sicher: root-Kennwort anlegen, dann wieder ausschalten.

Apple verspricht ein zügiges Sicherheitsupdate. Bis dahin muss man für den root-Benutzer ein Passwort anlegen. Das geht über Verzeichnisdienste, die über das Kontrollfeld Benutzer & Gruppen erreichbar sind: support.apple.com beschreibt die Arbeitsschritte.
Wer den root-Benutzer wieder deaktiviert, öffnet die Lücke erneut … irgendwie erinnert es an goto fail;.

Eigentlich nehmen Sicherheit und Datenschutz einen hohen Stellenwert bei Apple ein. Doch beim Mac und insbesondere beim aktuellen macOS High Sierra v10.13 sieht es anders aus:

• [ patched ] Schlüsselbund-Kennwörter können dank einer Schwachstelle in macOS von einer Schad-Software ausgelesen werden.
• [ patched ] Passwort eines AFPS Containers im Klartext angezeigt, wenn man im Dienstprogramm Disk Utility ( Festplattendienstprogramm ) den Passwort Hint sehen möchte.
• [ patched ] Sicherheitsstandard WPA2 für W-Lan-Netzwerke ist über kritische Schwachstellen verwundbar.

Das iPhone X hat Face ID, ein iPad hat Touch ID und macOS High Sierra hat root ID. Überdies wird Apple seit Jahren kritisiert, kein sogenanntes Bug Bounty-Programm zu betreiben, in dem entdeckte Sicherheitslücken entlohnt werden.

< update />
Security Update 2017-001 for macOS High Sierra 10.13.1 schaltet die mögliche Umgehung der Passwort-Verifizierung aus – und zwar ohne Neustart und über die System-eigene Softwareaktualisierung.