"Apple started dropping my emails"
Gatekeeper-Schwachstelle im Video: Apple trotz Hinweisen tatenlos
„Es gibt Software“, so Apple, „die Probleme auf einem Mac verursachen kann“.
Um mögliche Kandidaten bereits frühzeitig zu erkennen bzw. den Anwender zu besonderer Sorgfalt aufzufordern, setzt Apple auf den in macOS integrierten Gatekeeper und seine Sicherheitswarnungen, die darauf hinweisen wenn Online-Downloads das erste Mal ausgeführt werden sollen und wenn Apps geladen wurden, deren Entwickler Apple nicht namentlich bekannt ist.
Dass man sich auf Apples Schutz vor schadhaften Apps, Trojanern und Viren jedoch nicht hundertprozentig verlassen kann, demonstriert der Sicherheits-Forscher Filippo Cavallarin anhand seines zum Wochenende veröffentlichten „MacOS X Gatekeeper Bypass“.
Die Technik-Demonstration zeigt, wie sich Apples Gatekeeper-Mechanismus einfach aushebeln lässt. Böswillige Angreifer müssen ihre Opfer lediglich dazu bringen, die App von einem gemounteten Netzwerk-Laufwerk zu starten, die macOS grundsätzlich als sicher einstuft und hier auf zusätzliche Nachfragen verzichtet. Dies lässt sich mit Bordmitteln des Mac-Betriebssystems bewerkstelligen.
Apps, die dieses Verhalten ausnutzen, können ohne Einschränkungen und Warnungen gestartet werden und, wie in Cavallarins Beispiel etwa dafür genutzt werden, Verbindungen zu externen Command-and-Control-Server aufzubauen.
Apple trotz Hinweisen tatenlos
Cavallarin meldete seine Entdeckung bereits im Februar an Apple und bekam die Zusage, dass man den Sicherheitsfehler bis Mitte Mai beheben werde. Passiert ist bislang allerdings nichts. Nachdem nachfragende E-Mails von Cavallarin zudem schlicht von Apple verworfen wurden, hat der Security-Spezialist die Sicherheitslücke, die auch in der erst kürzlich ausgegebenen System-Version macOS 10.14.5 noch vorhanden ist, jetzt öffentlich gemacht.
The vendor has been contacted on February 22th 2019 and it’s aware of this issue. This issue was supposed to be addressed, according to the vendor, on May 15th 2019 but Apple started dropping my emails. Since Apple is aware of my 90 days disclosure deadline, I make this information public.