Kritischer Apple-Bug gewährt jedem ohne Passwort vollen Zugriff auf den Rechner

Es gibt ein paar einfache Dinge, die jeder beachten sollte, um sich vor Sicherheitslücken und Hacker-Angriffen schützen. Dazu gehört die gebetsmühlenartig wiederholte Regel: Immer schön alles updaten. Genau das kann aber nun Mac-Nutzern zum Verhängnis werden.

Denn wer einen Mac mit dem aktuellen Betriebssystem Mac OSX 10.13 High Sierra besitzt, hat ein Problem: Eine schwere Sicherheitslücke erlaubt nämlich jedem, sich auf fremden Macs als Administrator mit vollen Rechten einzuloggen. Alles, was man dafür tun muss, ist den Benutzernamen root in die Anmeldemaske einzugeben und die Eingabetaste zu drücken. Der Mac verlangt kein Passwort.

Die root-Lücke gehört zu den schwersten Sicherheitslücken auf dem Mac seit Jahren – und ist Apple bereits seit zwei Wochen bekannt, seit ein Entwickler im hauseigenen Developer-Forum die Lücke gefunden und als "Tipp" darüber berichtet hat. Sicherheitsforscher Jay Little fasste die Situation prägnant zusammen: "Diese Lücke ist echt dumm."

Hat man sich einmal mit dem root-Account erfolgreich angemeldet, kann der Angreifer im Einstellungsmenü "Nutzer & Gruppen" in wenigen Klicks einen neuen Account erstellen und sich selbst zum Admin erklären.

Apple hat bereits ein Update angekündigt. Bis die Firma die Lücke jedoch repariert, können User selbst Erste Hilfe leisten und ein root-Passwort setzen, um mögliche Login-Versuche abzuwehren. Das empfiehlt auch Apple in einem kurzen Statement gegenüber US-Medien. Wie das geht, beschreibt Apple hier.

Der Bug lässt sich übrigens auch ohne Login-Fenster ganz einfach auf dem eigenen Rechner nachvollziehen: Im Einstellungsmenü "Benutzer & Gruppen" öffnet sich mit einem Klick auf das Vorhängeschloss ein Popup-Fenster. Trägt man dort root statt des Benutzernamens ein, klickt in das Passwortfeld, aber lässt es leer, sollte man sich mit einem Klick auf "Schutz aufheben" nun anmelden können. Empfehlenswert ist aber natürlich, den Schutz anschließend wieder einzuschalten.

Wie mehrere Tester auf Twitter berichteten, lässt sich der Fremd-Login über die root-Lücke wohl nicht ferngesteuert über Netzwerke ausnutzen. Erste Berichte am Dienstagabend hatten das nahegelegt.

Trotzdem dürften Administratoren heute in Firmen, die Macs nutzen, ein paar Überstunden einlegen, um die Auswirkungen einzudämmen und die Rechner manuell zu sichern. Diverse Sicherheitsforscher fordern derweil, dass Apple seine Software-Updates erst dann herausgibt, wenn die Qualitätsprüfung auch wirklich abgeschlossen ist – und nicht zwingend, sobald neue Hardware erscheint.

Der Fehler wurde zuerst vom Sicherheitsforscher Lemi Orhan Engin per Twitter bekannt gemacht, nachdem er von Kollegen davon erfahren hatte. "Das hat uns echt erschrocken", schreibt er Motherboard in einer Twitter-Direktnachricht. "In meiner Firma haben sie jetzt alle Macs mit Passwörtern versehen, um diese Lücke heute zu reparieren."

Weitere Informationen und Einschätzungen bei unseren US-Kollegen.