macOS: Sicherheitsforscher warnt vor Lücke

Bereits gegen Mittag deutscher Zeit twitterte Sicherheitsforscher Patrick Wardle, dass er eine Sicherheitslücke in der Beta von Apples Betriebssystem macOS High Sierra gefunden habe. Elegantes Timing, ein paar Stunden vor der Veröffentlichung des finalen Systems. Laut Wardle ist es durch die Sicherheitslücke möglich, dass eine bösartige Applikation Passwörter aus dem Apple Keychain, also der Passwortverwaltung, stiehlt.

Laut Wardles Video liest seine bösartige App die Passwörter im Klartext aus, sodass potentielle Angreifer auf diese zugreifen können. Derzeit nicht bekannt ist, ob Wardle seinen Fund bereits im Vorfeld Apple mitteilte – oder ob er direkt mit seiner Nachricht in die Öffentlichkeit gegangen ist.

Einen Quellcode stellte Wardle (wahrscheinlich glücklicherweise) auch nicht bereit, doch darf man sicherlich davon ausgehen, dass an der Geschichte etwas dran sein muss, denn man würde ja sicherlich nicht als Sicherheitsforscher so seinen Ruf aufs Spiel setzen. Zu beachten ist dabei: In der Standardkonfiguration eines Macs dürfte der Nutzer nicht angreifbar sein, da die App nicht signiert ist und demnach an der Ausführung gehindert ist (siehe Einstellungen > Allgemein > Apps-Download erlauben, hier sollte nur der App-Store nebst verifizierten Entwicklern stehen).

In einem weiteren Tweet teilte Wardle mit, dass die Lücke auch ältere Versionen von macOS treffe. Anwender ist vielleicht daher zu raten, noch kritischer an App-Downloads heranzugehen als bisher und Augen und Ohren nach offiziellen Statements und Updates aufzuhalten.