1234, root! – Das Adventsgeschenk von Apple

Im Blogbeitrag von Objective-See wird die Funktionsweise des möglichen Angriffs erläutert. In unserem Beispiel im Video testen wir den Login als Benutzer root mit Passwort 1234. Beim Authentifizierungsversuch wird intern der Verzeichnisdienst angefragt. Dabei wird eine Funktion aufgerufen, die versucht, den Shadowhash (das verschlüsselte Passwort) des Benutzers root zu lesen. Bei einem aktivierten Benutzerkonto funktioniert dies und das eingegebene Passwort kann mit dem Shadowhash verglichen und auf Korrektheit geprüft werden. Da der Benutzer root aber standardmäßig deaktiviert ist und daher keinen Shadowhash hat, schlägt die Funktion fehl. Dieses Fehlschlagen hat zur Folge, dass das eingegebene Passwort 1234 für das Benutzerkonto root gesetzt wird, wodurch dieses Konto auch aktiviert wird. Anschließend können wir uns mit diesem Passwort durch einen erneuten Klick auf Schutz aufheben als Benutzer root legitimieren. Da der Benutzer root jetzt aktiv ist und wir das Passwort kennen, ist auch eine Anmeldung mit root und 1234 am Anmeldebildschirm möglich.

Erste Abhilfe ist durch das Aktivieren des root-Benutzers und das Vergeben eines Passwortes möglich. Der Benutzer darf anschließend aber nicht wieder deaktiviert werden, da dadurch der Shadowhash wieder gelöscht wird und das System wie anfangs verwundbar ist.

Mittlerweile hat Apple ein Sicherheitsupdate veröffentlicht, das die Lücke schließt. Dieses Update führte ursprünglich zu Problemen mit der Dateifreigabe und wurde von Apple daher noch einmal aktualisiert. Sofern, wie im Screenshot, in den App Store-Einstellungen die Optionen „Neu verfügbare Updates im Hintergrund laden“ und „Systemdatendateien und Sicherheits-Updates installieren“ aktiviert sind, wird das Update ohne Zutun des Anwenders installiert.

Zur Prüfung, ob Ihr System geschützt ist, öffnen Sie das Apple-Menü > Über diesen Mac. Falls nach einem Klick auf „Version“ 17B1003 angezeigt wird, ist die letzte Version des Updates installiert.

Wird eine ältere Version als 17B1003 angezeigt, sollte das Sicherheitsupdate 2017-001  manuell heruntergeladen und installiert werden.

(Bildquelle: Apple)