Bundesamt für Sicherheit in der Informationstechnik

BSI warnt vor Sicherheitslücke in Apple-Betriebssystem

Ort Bonn
Datum 29.11.2017

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor einer schwerwiegenden Sicherheitslücke im Apple-Betriebssystem macOS 10.13 (High Sierra), die es ermöglicht, sich ohne die Eingabe eines Passwortes mit vollen administrativen Rechten auf diesem System anzumelden.

Bei betroffenen Computern können mit dem Nutzernamen "root" und einer leeren Passwortzeile Sicherheitseinstellungen überwunden werden, indem mehrfach auf "Schutz aufheben" geklickt wird. Anschließend kann sich der Angreifer ohne die Eingabe eines Passwortes als Benutzer "root" mit vollen administrativen Rechten auf diesem System anmelden. Dieser Vorgang ist unter bestimmten Voraussetzungen über das Apple-eigene Remote Access Tool auch ohne physischen Zugriff auf das Gerät möglich. Andere Wege zur Ausnutzung dieser Schwachstelle sind denkbar.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt die explizite Vergabe eines starken Passworts für den Root-Account betroffener Apple-Computer. Daneben sollten auch passwortgeschützte Apple-Computer nicht unbeaufsichtigt gelassen werden.

Apple hat bekanntgegeben, in Kürze ein Sicherheitsupdate zur Verfügung stellen zu wollen. Sobald das Update veröffentlicht ist, sollten Anwender es einspielen.

Dazu sagt BSI-Präsident Arne Schönbohm: "Der vorliegende Fall macht einmal mehr deutlich, dass Software-Qualität ein entscheidender Faktor für die Informationssicherheit ist. Betroffene Anwender sollten sich nun aktuell informieren und ihren Apple-Rechner mit den empfohlenen Maßnahmen absichern."

Folgende Maßnahmen empfiehlt das BSI zur Absicherung betroffener Systeme:

  • Die Schwachstelle kann abgesichert werden, indem ein Passwort für den root-Account gesetzt wird.

    • Folgendes Kommando setzt ein Passwort für den root-Account über die Kommandozeile: sudo passwd -u root
    • Apple bietet auf seinen Support-Seiten eine Beschreibung für die Änderung des root-Passwort über die Benutzeroberfläche an. Die Beschreibung ist derzeit nur auf der englischen Supportseite enthalten. Falls der root-Account noch nicht aktiviert wurde, muss dieser vorher erst aktiviert werden. Das Vorgehen dafür ist ebenfalls auf den genannten Seiten beschrieben.
  • Der root-Account darf nicht deaktiviert werden, da dies die Lücke sonst wieder öffnen würde.
  • Zusätzlich kann der eingebaute Remotezugriffe über "Systemeinstellungen -> Freigaben -> Bildschirmfreigabe / Entfernte Verwaltung / Entfernte Anmeldung" deaktiviert werden, wenn dieser nicht benötigt wird.
  • Grundsätzlich sollten die automatischen Updates des Betriebssystems aktiviert werden. Die Einstellungen sind standardmäßig gesetzt und können wie folgt überprüft werden. Klicken Sie in den Systemeinstellungen auf das Symbol "App Store" und prüfen Sie, ob folgende Optionen aktiviert sind:

    • Automatisch nach Updates suchen
    • Neu verfügbare Updates im Hintergrund laden
    • Systemdatendateien und Sicherheits-Updates installieren

UPDATE vom 29.11.2017, 17:45 Uhr: Apple hat am späten Mittwochnachmittag ein Update zur Verfügung gestellt, das die Sicherheitslücke behebt. Apple-Anwender sollten das Update schnellstmöglich einspielen. Das Update kann über den AppStore unter Updates installiert werden. Grundsätzlich sollten die automatischen Updates des Betriebssystems aktiviert werden.

Pressekontakt:

Bundesamt für Sicherheit in der Informationstechnik
Postfach 200363
53133 Bonn
Telefon: +49 228 99 9582-5777
Telefax: +49 228 99 9582-5455
E-Mail: presse@bsi.bund.de

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK