macOS-System High Sierra gewährt "root"-Zugriff ohne Passwort

  • Allgemein
  • macOS-System High Sierra gewährt "root"-Zugriff ohne Passwort

    Kritische Sicherheitslücke 28.11.2017, 22:14 Uhr
    macOS-System High Sierra gewährt "root"-Zugriff ohne Passwort
    Das Apple Betriebssystem macOS High Sierra überrascht durch eine ziemlich ärgerliche Sicherheitslücke. Mit dem Benutzernamen root kann ohne Passworteingabe auf das Betriebssystem zugegriffen werden.

    Carsten Knobloch hat diese Sicherheitslücke in einem Youtube-Video dokumentiert. Er schreibt auch dazu:

    Ihr wollt das nachvollziehen? Geht einmal in die Systemeinstellungen und versucht im Bereich Benutzer etwas zu ändern. Der Admin-Account muss sich autorisieren. Nutzt man aber den Anwender root ohne Passwort – und probiert ein paar Mal, dann ist man drin. Bei mir ging es so: Nicht auf „Schutz aufheben“ klicken, sondern einfach mit Return bestätigen.

    Gegenmassnahmen

    Als Massnahme gegen diese Sicherheitslücke empfiehlt MacRumors den Root-Zugriff zu aktivieren und aber mit einem Passwort zu versehen.
    Apple schreibt dazu in einem Support-Dokument:

    Den root-Benutzer aktivieren oder deaktivieren

    • Wählen Sie das Menü "Apple" (Applesymbol) > "Systemeinstellungen", und klicken Sie anschliessend auf "Benutzer & Gruppen" (oder "Accounts").
    • Klicken Sie auf das Schlosssymbol, und geben Sie anschliessend den Benutzernamen und das Passwort für einen Administratoraccount ein.
    • Klicken Sie auf "Anmeldeoptionen".
    • Klicken Sie auf "Verbinden" (oder "Bearbeiten").
    • Klicken Sie auf "Verzeichnisdienste öffnen".
    • Klicken Sie im Fenster "Verzeichnisdienste" auf das Schlosssymbol, und geben Sie den Benutzernamen und das Passwort für einen Administratoraccount ein.
    • Führen Sie in der Menüleiste der Verzeichnisdienste Folgendes aus:
    • Wählen Sie "Bearbeiten" > "root-Benutzer aktivieren", und geben Sie anschliessend das Passwort ein, das Sie für den root-Benutzer verwenden möchten.
    • Oder wählen Sie "Bearbeiten" > "root-Benutzer deaktivieren".



    Quelle: macOS-System High Sierra gewährt "root"-Zugriff ohne Passwort - onlinepc.ch




    High Sierra 29.11.2017, 06:52 Uhr
    Apple kündigt Software-Update wegen Sicherheitslücke auf Macs an
    Apple will einen Fehler in seinem aktuellen Betriebssystem für Mac-Computer ausbessern, durch den der Passwort-Schutz ausgehebelt werden kann.

    Ein Computer-Experte wies den Konzern am Dienstag per Twitter darauf hin, dass sich jeder mit einem sogenannten Root-Account für Änderungen am System in die Computer einloggen könne. (Online PC hat darüber berichtet.)
    Dazu reiche es an Rechnern mit dem MacOS-System "High Sierra" aus, den Benutzernamen "root" zu wählen, kein Passwort einzugeben und mehrfach den Login-Knopf zu drücken.

    "Wir arbeiten an einem Software-Update, um das Problem anzugehen", erklärte Apple dazu in einer Stellungnahme. In der Zwischenzeit empfahl der Konzern den Nutzern, ein Passwort für den Root-Account zu setzen. Über den Zugriff kann man System-Einstellungen verändern - so könnte über ihn zum Beispiel eine schützende Firewall deaktiviert werden.

    Ein Fehler dieser Art ist ein blaues Auge für Apple, denn der Konzern wirbt mit einem besonderen Augenmerk auf Datenschutz und Sicherheit auf seinen Geräten. Zunächst blieb unklar, wie es zu der Sicherheitslücke kommen konnte.


    Quelle: Apple kündigt Software-Update wegen Sicherheitslücke auf Macs an - onlinepc.ch