OS X Yosemite: Hacker findet Sicherheitslücke Rootpipe

veröffentlicht: 31. Oktober 2014

Ich ergänze diesen Fall um einen Weiteren: , .

kann MTN das mal übernehmen?

Und, hat er die Sicherheitslücke im Fundbüro abgegeben?

OS X 10.10 ist anscheint das schlechteste OS aller Zeiten ^^

Natürlich!

nein nein, 10.10 ist das beste OS X aller Zeiten...
Da ändern auch so ein paar Sicherheitslücken und Inkompatibilitäten und Fehler nix dran.
Es ist das Beste und basta!

gleich kommt Hannes Gnad und schreibt ,dass 10.9.0 ebenfalls das schlechteste war, und dann 10.9.5 wiederum das beste. usw.

Das entspricht nicht der Wahrheit!

von Apple

dom_beta

Ich widerspreche Dir nur ungern, aber es entspricht nicht der Wahrheit, dass Apple Vorerwähntes nicht kommentiert!

Man erhält durchaus Resonanz!
Vielleicht nicht jedermann, aber so kann man das nicht stehenlassen ...

Natürlich tritt man so etwas nicht in der Öffentlichkeit breit.
Das versteht sich wohl von selbst, oder nicht?

Hot Mac:

Wenn dem durchgängig und zufriedenstellend so wäre wie Du sagst, warum gibt es dann seit Jahren und immer wieder aufs Neue Menschen, die Sicherheitslücken und Problemstellen finden, aufdecken, sie an Apple melden und sich darüber beklagen, dass sie eben leider kein Feedback von Apple bekommen haben, keinerlei Reaktion? Und Apple erst dann per Patch reagiert, wenn diese Leute an die Öffentlichkeit gehen und drüber berichten und auch sagen, dass Apple informiert ist?

Hat Apple zum Beispiel die Schließung der bash-Lücke dokumentiert, was sie an welcher Stelle gefixt haben bzw. welcher der kursierenden Patches bei ihnen zum Einsatz gekommen ist und warum? Nein. Mussten die Interessierten alles selbst rausfinden, Apples Lippen sind bis heute verschlossen geblieben, selbst im Nachhinein. Und das eingedenk der Tatsache, dass Apple damals als einer der Ersten vom Bash-Hauptentwickler in Kenntnis gesetzt worden ist über die Lücken. Auch der wartet bis heute auf irgendein Feedback seitens Apple und war verärgert, dass Apple sich in der fraglichen Zeit kein einziges Mal mit ihm mal ins Benehmen gesetzt hatte.

Es ist bekannt, dass Apple hier ein großes grundsätzliches Kommunikations- und auch Umsetzungsproblem hat auf dem Gebiet. Das lässt sich nicht beschönigen, dafür gibt's der Fälle zuviele. Leider.

Belege das mal mit Quellen.

reicht das nicht?

Mal abgesehen vom geschmeichelten Ego: Was hat man davon, wenn sich Apple bei einem meldet und sagt: "So, jetzt haben wir den Fehler, den DU gefunden hast, gefixt!"

Sollen sie die Bugs noch nach dem Entdecker benennen? Z.B. Scarabeus Bugus Sierkbus?

Wenn's gefixt wurde, dann hat sich die Sache doch erledigt?

Ich mein, klar, dass jeder den Fehler, den er gefunden hat, als den absolut schlimmsten Fehler aller Zeiten ansieht. Aber viele, auch in der Presse breitgetretenen Fehler, sind in Wirklichkeit nicht so schlimm, wie es auf den ersten Blick scheint. Root-Zugriff - ohje! Klar, das ist schon übel. Wenn man aber dann liest, dass als Sicherheitstipp gegeben wird, nicht mit einem Admin-Account zu arbeiten, sondern als normaler Benutzer... dann seh ich das Problem nicht. Wenn ich auf einem Mac-Rechner Zugang zu einem Admin-Account hab, bin ich zwar nicht offiziell, aber de facto eh schon Root.

sierkb

Herzlichen Dank dafür, dass Du meine Aussage „eigentlich“ bestätigst.

Ich habe nicht behauptet – warum sollte ich das auch tun? –, dass Apple mit „offenen Karten“ spielt!
Wer macht das schon?

Ich werde langsam müde, die immergleichen Beiträge, die immergleichen Phrasen, die von den immergleichen Typen – bitte nicht persönlich nehmen! – gedroschen werden, lesen zu müssen.


iGod

Was soll ich belegen?
Hast Du gerade nichts Besseres zu tun ...?

+1

iGod:

Ich soll das Offensichtliche belegen? Das was Du eigentlich auch weißt (nur offenbar die Augen davor verschließt) weil hier schon genug drüber geschrieben und berichtet worden ist? Und sich auch schon eine ehemals für Apple arbeitende Hackerin und Sicherheitsexpertin über Apples miserable Patch- und Kommunikationspraxis in puncto Sicherheit öffentlich geärgert und ausgelassen hast? Alles sachon wieder vergessen? Du willst nicht wirklich, dass ich Dir das jetzt alles nochmal auf denTisch lege und unter die Nase halte, obwohl Du ganz genau weißt, was ich meine und wie ich es meine und wo die Belege zu finden sind. Anders herum wird ein Schuh draus: widerlege Du erstmal, dass dem NICHT so ist und belege Du, diese Dinge, die an die Öffentlicheit gelangt und breit diskutiert worden sind, alle NICHT passiert sind, wenn Du deren Wahrheitsgehalt anzweifelst. Du zweifelst an, dass das alles stimmt, obwohl mehrfach belegt, u.a. auch von Apple selbst (indem sie nämlich die betreffenden Lücken geschlossen haben und die Finder, deren Fund Du ja offenbar anzweifelst, in den Credits der betreffenden Release Notes genannt haben und nennen).

Schnapper:

Zum Beispiel der Fairness den anderen Mitspielern gegenüber im Teich wegen? Zum Beispiel im Fall der bash-Lücke zur besseren Abstimmung untereinander bzgl. eines gemeinsam abgestimmten Vorgehens? Hast Du das eigentlich mal interessehalber mitverfolgt gehabt, was da abgegangen ist über mehrere Wochen beim Patchen der verschiedenen Lücken der bash? Und welche unterschiedlichen Ansätze es dazu gab und welche unterschiedlichen Meinungen bzgl. des besten Lösungsansatzes? Und dass die betreffenden Entwickler (vor allem der Bash-Maintainer, bei dem die Fäden upstream zusammenliefen und vor allem die Entwickler von Red Hat und Debian und FreeBSD)? Die alle haben sich untereinander ausgetauscht, einander abgestimmt und gemeinsam um den besten Lösungsweg gerungen bzw. versucht, die miteinander konkurrierenden Ansätze miteinander zusammenzubringen, da sie jeweils Vor- und Nachteile mit sich bringen. Apple fehlte da völlig in dieser Diskussion, hielt sich völlig bedeckt. Obwohl sie einer der ersten waren, die davon wussten und mehrfach vom Bash-Maintainer angeschrieben worden sind und um Feedback gebeten worden sind im Sinne einer gemeinsam getragenen Lösung. Apple kam dann nachher quasi als letzter mit seinem erstmal manuell zu installierenden Patch. Der nach Analyse durchaus nicht nur positives Feedback erntete, da er radikal ist und nicht ohne Risiko bzgl. möglicher unerwünschter Nebenwirkungen und Seiteneffekte – die man bei den anderen Lösungen bewusst hatte vermeiden wollen. Und erst die Zeit wird zeigen, ob Apples radikaler Ansatz (er stützt sich im Wesentlichen auf die anderen Konzepte, geht aber in einem Detail noch einen kleinen aber gewagten und diskussionswürdigen Schritt weiter) bzgl. deren Shellshock-Patch tatsächlich ohne unerwünschte Nebenwirkungen bleibt oder nicht.

Das wird die Zeit zeigen, ob's damit wirklich erledigt ist und bleibt.


Und das Übrige, was Du gesagt hast, finde ich, gelinde gesagt, die Dinge verniedlichend und eher fahrlässig, auch was die Gefährlichkeit des Shellschock-Bugs angeht. Du tust damit dem gemeinen Apple-Nutzer sicher keinen Gefallen, indem Du ihn in falscher Sicherheit wiegst und ihm suggerierst "Allet im Griff, allet kein Problem, leg' Dich wieder hin, kannst ruhig weiterschlafen, nur falscher Alarm". Die Sinne und Antennen für diese Dinge, auch was die eigenen Verhaltensweisen angeht, schärfst Du mit sowas nämlich überhaupt nicht. Im Gegenteil. Und das kann sich dann mal ganz böse rächen. Flashback hat einen Vorgeschmack gegeben, wie man sich in trügerischer Sicherheit wiegen kann und dann auf einmal böse überrascht werden kann über das Ausmaß.

Und nein, Shellshock und seine Folgen ist noch nicht ausgestanden. Ganz im Gegenteil.

Hot Mac:

Und womit bestätige ich Deine Aussage "eigentlich"? Dass Apple, in solchen Fällen, gerade was Sicherheit angeht, wenn überhaupt !, nur unter Zugzwang kommuniziert, und wenn, dann bestenfalls auch nur mit zugepressten Lippen und verspätet?

Ebenfalls interessant (auch die Aussagen, die bzgl. gewisser Sicherheitsfeatures von OSX und ihrer bisherigen Güte getroffen werden):

Security Spread (28.10.2014): Knock Knock, who’s there? (einleitender Bericht über folgende Präsentation von Patrick Wardle)

Präsentation (PDF) Patrick Wardle (Synack): "Methods of malware persistence … on os x mavericks"

Vorherige, etwas ausführlichere Präsentation (PDF) mit vor allem am Schluss noch interessanten Details und Aussagen zum selben Thema vom selben Autor:
Video dazu: .

Zum Autor Patrick Wardle:
Synack: director of R&D
NASA: autonomous software dev.
VRL: chief science officer
NSA: geschwärzt

Also nicht irgendjemand, sondern durchaus jemand, der weiß genau was er tut und genau weiß was er sagt und warum er es so sagt und nicht anders.

Die Lektüre dieser Präsentation ist sehr aussagekräftig und aufschlussreich, wie ich finde, vor allem, weil er deutlich aufzeigt, wie löchrig und durchlässig und leicht auszutricksen Apples System und Sicherheitsmaßnahmen eigentlich sind und wo und wie angesetzt werden kann und durchaus auch wird, um erfolgreich reinzukommen. Und wo Apple eigentlich ansetzen müsste, um es zu unterbinden.

Nein, Scarabeus Nervigus Schnapperus

Jo, Pflichtlektüre für jeden, der "sich mit Macs auskennt" bzw. dies tun will. Die meisten Wege sind nicht neu bzw. bekannt, die Präsentation faßt sie aber schön zusammen und erklärt das Thema gut. Dieses Tool "Knock Knock" ist auch spannend, das gehört in den Admin-Werkzeugkasten. Man sieht, daß Apple noch einiges tun kann, und warum es eine gute Idee ist, keine alten OS X-Versionen zu fahren (bei fast jeder Stufe passiert zumindest etwas) sowie die Softwareaktualisierung zu verwenden.

Eine Ungenauigkeit enthält die Präsentation übrigens, es wird nicht klar genug herausgearbeitet (da ist auch Apples Systeminformation ungenau samt verfügbarer Doku, zumindest an vielen Stellen), daß "Boot ROM" zwei Chips sind: Ein echter ROM-Baustein, der P.O.S.T. samt Chime (den Startton) beinhaltet, und EFI, das geflasht werden kann. Daher kann man ein verbocktes EFI-Update wieder auf die Füße stellen, denn das ROM samt EFI-Einspielroutine ist unveränderlich und immer verfügbar.

Hannes Gnad:

Auch das Video (, 27 Minuten Dauer, hier ein früherer Vortrag zum selben Thema: , 44 Minuten Dauer) dazu, das gesprochene Wort also, ist lohnenswert. Da tätigt er nämlich mündlich noch ein paar interessante Aussagen, so ganz nebenbei, die auf der zugehörigen Vortragsfolie nicht so rüberkommen bzw. die auf der Vortragsfolie nur verkürzt dargestellt sind. Die eine oder andere Formulierung, bzw. das Schlusswort, die er dabei zur Sicherheit eines voll gepatchten aktuellen OS X findet, wird dem Einen oder anderen hier wohl nicht schmecken, vermute ich mal.

Ah, er sagt immer "OS Ex" statt "OS Ten", das schmerzt beim Zuhören.

Spannend wäre nun ein Update bzgl. 10.10, dort ist wohl wieder etwas dazugekommen, meines Wissens nach müssen nun auch kexts signiert sein. Doku dazu habe ich auf die Schnelle nicht gefunden...

Na ja, es heißt ja auch "OS X" und nicht "OS 10".

Beitrag auf Wunsch des Users gelöscht.

Nein, heißt es nicht. Keiner von Apple hat je "OS Ex" gesagt.

Es heißt OS "ex"! Basta!

Ah, ich nerv? Sagt gerade der, der manchmal zu dämlich ist, seinen Rechner überhaupt anzuschalten?
Weisst Du was? Leck mich doch. 11 Jahre hier, die guten Leute längst von Idioten wie Dir vergrault. Das reicht. Ich bin raus.


Ok, Abstimmung untereinander lass ich gelten. Daran hatte ich nicht gedacht.



Ich find Eure Panikmache bei jedem Bug fahrlässig. Wie viele der von den Berufsparanoikern hier im Forum breitgetretenen "Lücken" hatten je spürbare Auswirkung auf Otto Normalmacuser? Und wie oft hingegen wurde der Untergang des Abendlandes heraufbeschworen?

Der Punkt ist: Mit jeder Panik um irgendeine Lücke stumpfen die Leute weiter ab, wenn sich dann daraus nix ergibt. Und wenn dann mal wirklich Grund dazu besteht, Leute zu warnen, kümmert sich keiner der einfachen User mehr drum.

Daher: Macht weniger Fuss um jede Kleinigkeit, die bei Licht betrachtet so gut wie niemanden gefährdet, sondern nur in ziemlich theoretischen Gedankenspielchen eine Rolle spielt. Rückt die Dinge ins rechte Licht, dann funktioniert es auch, wenn die einfachen User mal wirklich gewarnt werden müssen.

Aber wie gesagt, nicht mehr mein Bier.

Ich denke die Panikmache ist auch gewollt.

Bringt es die User doch zum dauernden updaten-Nur das neueste OS ist "sicher" enthält aber nur wieder neue Fehler- und betatesten auf's Neue …scheinbar bis ziemlich sicher, entlohnt Apple nicht mal die Leute die einen Bug/Fehler/schwerwiegende Lücke in OS X gefunden haben

Na wie auch immer.

Nein.
Nein. Niemand außer den bösen Buben will Bugs und/oder Exploits.

Schnapper:

Du demonstrierst in Deinem verniedlichenden Kommentar, dass Du anscheinend die Lage völlig falsch einschätzt und unterschätzt. Die Zeiten, die die Mac-Plattform eine Plattform der Glückseligen war, die von Bedrohungen in Ruhe gelassen wurden, sind endgültig vorbei. Oder lass' es Dir nochmal von Hannes Gnad erklären, der hat's anscheinend verstanden.
Die drei Affen zu spielen "Nix hören. Nix sehen. Nix sagen." bringt niemandem etwas. Und verdummt die Leute nur, wiegt sie in falscher Sicherheit.
Wenn es nach Dir ginge, müsste man zu diesen Themen anscheinend am besten komplett den Mund halten. Bloß nix sagen, bloß nicht drüber reden. Also die drei Affen spielen. Oder nimmst statt meiner oder anderen Du selber die Rolle dessen ein, der drüber spricht? Können wir auch gerne machen. Gerne.

Wenn Du Dich hier nun beleidigt und schmollend verabschiedest, weil Dir offenbar die Argumente fehlen bzw. die Last, die Deinen Worten entgegensteht, wohl zu erdrückend sein mag (siehe auch der Vortrag von Patrick Wardle, den Du Dir, das vermute ich fast, wohl gar nicht erst angesehen hast und das auch gar nicht vorhast), dann ist das zwar schade, aber bezeichnend.

Zudem fällt mir auf, dass Du derzeit offenbar nicht das offizielle MTN-Moderatoren-Logo in Deinem Nicknamen trägst. Bis gestern abend bzw. heute morgen war dem noch so, wenn ich mich nicht falsch erinnere. Scheinst also heute als Privatmann Deine Meinung hier abzugeben. Gut so. Genau dieser Umstand hatte mich nämlich zu genau der Formulierung veranlasst, die ich oben in Bezug auf Fahrlässigkeit gefunden habe. Du hast als MTN-Mod. hier eine gewisse Verantwortung zu tragen, wenn Du was sagst. Deshalb solltest Du bedenken, was Du sagst und wie Du es sagst, was für Signale Du an die Nutzer aussendest. Oder eine klare Rollentrennung vornehmen und dann lieber als Privatmann sprechen. Wird im professionellen Umfeld auch so gemacht, eine solche klare und transparente Rollentrennung zwischen Amtsmeinung und Privatmeinung, wenn man ein Amt bekleidet. Und das gehört sich auch so, finde ich.

Dieser Thread sollte sticky werden. Er demonstriert auf so herrliche Art was hier alles schief läuft...

One Two:

+1

… wie heißt es so schön: "Ist der Ruf mal ruiniert, lebt's sich völlig ungeniert."

tix:

Gilt wohl für so manchen hier, inklusive so manchen Mod. dom_beta nehme ich da aus.

Zurück zum Thread-Thema. Zu dem hast Du, tix, was genau an Sinnstiftendem und Themenrelevantem beizutragen?

sierkb

Ich bewundere die prägnante kürze mit der nötigen Schärfe

zurück zum Thema

<Off-Topic> (finde ich aber aus obigem Anlass leider notwendig, darauf hinzuweisen)
Ich sag' nur: . Und derer Beispiele gäbe es ein paar zu nennen, das ist nur das jüngste von denen.
Und einzelne Mods, die sich nicht im Griff haben und die das ihnen übertragene Amt damit in den Schmutz ziehen (im Grunde missbrauchen für ihre persönlichen Belange), als Negativ-Beispiel vorneweg. Einfach nur traurig, was hier abgeht.
</Off-Topic>

Back to topic. Wer hier hat noch irgendwas Sinnstiftendes im Sinne des Thread-Themas beizutragen? Oder war's das schon wieder, ist jetzt in Ermangelung dessen wieder Klassenkloppe und das Herumdreschen auf Einzelnen der einzige Ausweg für manche, sich irgendwie bemerkbar zu machen?

Gern. Darum geht es mir … und darum lese ich interessiert (auch) Deine Beiträge. Ich habe gestern abend das von Dir verlinkte Video angesehen und war erstaunt, was es so an Manipulationsmöglichkeiten an Mac OSX gibt. Dazu habe ich mir dann auch den Vortrag im pdf-Format heruntergeladen und werde ihn in Ruhe mal näher ansehen.

Als "Anfänger" lese ich bzw. lerne ich viel aus dem aktuellen, empfehlenswerten Standardwerk von Kai Surendorf "OS X Lion und UNIX" , welches man sich auch in gutsortierten öffentlichen Bibliotheken ausleihen kann.

Mit anderen Worten: Alles kann ich noch nicht ad hoc nachvollziehen, jedoch reicht mittlerweile mein mir autodidaktisch angeeignetes Wissen aus, um Hinweisen von Dir (und anderen) mit dem nötigen Ernst zu begegnen und das nicht als Panikmache usw. abzutun. Vielen Dank soweit erst mal.

Es heißt übrigens OS "Kreuz" bzw. OS "Cross"

Nein.

das Apple OS in der aktuelleren Version …niemand sagt ja auch Firefox soundso
logisch wäre nach OS Neun ein OS zehn, weiter geht es ja nicht, weil X11 wieder was anderes ist und belegt …tatsächlich sagt auch niemand Linix, was aber schon sein kann, dass der Plural gemeint ist, imho

Doch. "Christ" kommt übrigens auch noch in Betracht. Es heißt ja auch Marry XMas (Christmas) und nicht "Tenmas".

Damit wäre auch klar, wie die nächste Version heißt: OS X Superstar.

Jetzt wird's noch falscher. Das "X" in OS X ist eine römische Ziffer.

Glaubst du.

+ 1

Ich hole mir schon mal Popcorn, besonders Schnappers Kommentare sind lustig.

So, alle Scherze beiseite.

Gibt es was Neues zum Thema?

Ja, heute ist erst mal Feiertag.

Sie kamen mürrisch mit güldenem Räucherlachs.
Nee, das war anders ...