Zum Abend noch eine erfrischende Sicherheitslücke: macOS erlaubt es in der aktuellen Version, die Einstellungen des App Stores ohne Passwort zu ändern. Das kann absolut jeder in weniger als einer Minute bewerkstelligen, wenn ein Administrator angemeldet ist.
macOS ist abermals von einer ungemütlichen Sicherheitslücke betroffen. Sie wurde unlängst von einigen Experten entdeckt, wohl eher durch Zufall, denn sie erfordert keinerlei Raffinesse oder Fachkenntnisse und lässt sich von jedem Nutzer mit der Kenntnis darüber spielend leicht ausnutzen.
Dabei wird es möglich, die Einstellungen des Mac App Stores zu ändern, so könnte ein Angreifer etwa einstellen, dass nicht nur Apps aus dem App Store installiert werden können, sondern auch jede andere Anwendung, etwa Malware.
Dazu müssen nur die Systemeinstellungen geöffnet werden. Wer im Bereich App Store auf das Schloss klickt, muss nur einen Benutzernamen eines Administratorkontos eintragen, häufig ist das der angemeldete Benutzer, sodann ein beliebiges Passwort ins Paswortfeld eintragen, schon lässt sich der Schutz der Einstellungen aufheben. – wir haben es ausprobiert, es funktioniert.
Lücke nur in High Sierra
Eine mögliche Gegenmaßnahme könnte es sein, nur mit einem Gast-Benutzer mit eingeschränkten Rechten angemeldet zu sein, sodass ein Angreifer in einem unbeobachteten Moment nicht sogleich den Benutzernamen eruieren kann.
Es scheint derzeit so, als ob nur macOS High Sierra von der Schwachstelle betroffen ist.
Frühere Versionen weisen das Problem demnach nicht auf.
Apple dürfte die Lücke relativ schnell mit einem Patch schließen. Erst im vergangenen Herbst zog sich Apple mit der Root-Lücke den Unmut zahlreicher Nutzer und Entwickler zu, damals sprach PR-Chef Phil Schiller lapidar von einer „schlechten Woche“.
11 Gedanken zu „macOS erneut mit Lücke: App Store-Einstellungen lassen sich ohne gültiges Passwort ändern“
Die Kommentare sind geschlossen.