Es ist an sich bereits eine ziemlich unerfreuliche Lücke, die Sicherheitsforscher da vor kurzem öffentlich gemacht haben: Ein Schwachstelle im bei Unix- und Linux-Systemen weit verbreiteten Tool Sudo kann dazu genutzt werden, um beliebige Kommandos mit Root-Rechten auszuführen. Während Linux-Distributionen rasch mit Updates darauf reagierten, folgte ein paar Tage später die nächste schlechte Nachricht: Auch Apples MacOS ist betroffen.

Kein Fix

Das unerfreulichste Detail folgt aber erst jetzt: Wie Sicherheitsforscher warnen, steht die Lücke nämlich unter MacOS noch immer offen. Daran ändert auch ein Anfang der Woche von Apple veröffentlichtes Sicherheits-Update für das Betriebssystem nichts. Damit können sich ganz normale Nutzer also weiterhin ziemlich einfach erweiterte Berechtigungen verschaffen.

Die Formulierung "ziemlich einfach" ist dabei nicht übertrieben: Es reicht nämlich, einen Symlink auf Sudo in einem lokalen Verzeichnis zu erstellen und dann über diesen Eintrag mit einem Einzeiler einen sogenannten "Heap Overflow" auszulösen. Ein zugehöriges Skript ist gerade einmal ein paar Zeilen lang.

Bei Sudo handelt es sich um ein Kommandozeilen-Tool, das an sich genau dazu gedacht ist, normalen Nutzern für einzelne Anwendungen erhöhte Rechte zu gewähren. Dies aber nur, wenn sie dafür auch freigegeben wurden – und auch erst nach Eingabe ihres Passworts. Der konkrete Fehler ist auf eine fehlerhafte – beziehungsweise unsichere – Verarbeitung von Kommandozeilenparametern zurückzuführen.

Kritik

Der Vorfall lässt alte Kritik an Apple neu laut werden: nämlich, dass das Unternehmen bei macOS in Sicherheitsfragen eher gemächlich reagiert – vor allem wenn man es mit der Fülle an von Freiwilligen betriebenen Linux-Distributionen vergleich. Gleichzeitig lässt sich aber auch die Frage aufwerfen, warum Apple offenbar nicht vorab informiert wurde – womit auch keine gleichzeitige Update-Veröffentlichung möglich war. (apo, 4.2.2021)