Bitcoin

MacOS-Sicherheitsfehler könnte einer gefälschten Version erlauben

MacOS-Sicherheitsfehler könnte einer gefälschten Version von Safari erlauben, Ihre Daten zu stehlen

Im vergangenen Jahr hat Apple sein Sicherheitsprellprogramm auf MacOS ausgeweitet, nachdem es seit mehreren Jahren auch für iPhone-Entwickler angeboten wird. Aber laut mindestens einem Forscher handelt das Unternehmen bei einigen Exploits nicht schnell genug.

Der Entwickler Jeff Johnson informierte Apple vor über sechs Monaten über einen Exploit, der es einem Angreifer erlaubte, private Daten mit einem bösartigen Safari-Klon zu stehlen. Die Plattform Bitcoin Trader informiert darüber, dass es hohe Sicherheitsstandards gibt und dies dort nicht passieren kann. Sobald ein Benutzer dazu gebracht wurde, die bösartige Datei herunterzuladen, erhält der Safari-Klon über das MacOS ungebührlichen Zugriff. Jede eingeschränkte Datei, die Safari zur Verfügung steht, wird dann für den Angreifer verfügbar.

Johnson erklärt, dass die Schwachstelle funktioniert, weil Apples Datenschutz (Transparancy, Consent, and Control) die Authentizität einer Datei nur unzureichend überprüft. Das bedeutet, dass die modifizierte Version von Safari ausgeführt werden kann, ohne den oben genannten Schutz zu aktivieren:

In diesem Fall sollten nur Safari und der Finder (von Apple) berechtigt sein, auf die Dateien in ~/Library/Safari zuzugreifen, es sei denn, Sie erteilen einer anderen Anwendung eine Sonderberechtigung, wie z.B. „Full Disk Access“ für Terminal. Meine Umgehung zeigt, dass eine in böswilliger Absicht erstellte Anwendung auch auf diese Dateien zugreifen kann, ohne eine Autorisierung zu erhalten. Tatsächlich gibt es hier zwei in böswilliger Absicht erstellte Anwendungen: eine modifizierte Version von Safari, die auf die geschützten Dateien zugreift, und die Anwendung, die Safari modifiziert und die modifizierte Version von Safari startet. Jede Anwendung, die Sie aus dem Web herunterladen, könnte diesen Schutz der Privatsphäre umgehen. Mein Beispiel-Exploit lädt einige Ihrer privaten Daten (z.B. Ihre Top Sites) auf einen Server hoch, den ich kontrolliere, denn das ist einfach zu bewerkstelligen, wenn ich jedes JavaScript ausführen kann, das ich will.

Und ja, der Exploit funktioniert auch auf der aktuellen Beta-Version von MacOS 11 Big Sur

Etwas ironischerweise hat Apple eine große Sache aus den Safari-Aktualisierungen in seinem neuesten Betriebssystem gemacht.

Johnson sagt, Apple habe ihm gesagt, das Unternehmen untersuche das Problem noch immer, nachdem es ihm zunächst gesagt habe, es würde im Frühjahr 2020 behoben sein. Natürlich ist die Welt derzeit von einer andauernden Pandemie betroffen, und Mitarbeiter unter anderem auch bei Bitcoin Trader auf der ganzen Welt arbeiten mit begrenzten Ressourcen; es ist möglich, dass dies zu der Verzögerung beigetragen haben könnte.

Wie dem auch sei, hoffen wir, dass der Fehler behoben ist, wenn Big Sur öffentlich ausgerollt wird. Weitere Informationen darüber, wie der Exploit funktioniert, finden Sie in Johnsons Blog-Post hier.