In den letzten Jahren hat Apple viel unternommen, um System, Hardware und Dateien im Desktop-Betriebssystem macOS gegen unerlaubten Zugriff von Schadsoftware abzusichern. Eine relevante Rolle spielen dabei „Transparency, Consent, & Control“ (TCC). Diese können Mac-Anwender hauptsächlich im Dialog „Datenschutz & Sicherheit“ in den (System-)Einstellungen regeln. Je nach Ressource legt man fest, ob eine App darauf zugreifen soll. Sowohl Office-Apps als auch MS-Teams-Clients melden sich bei den macOS-TCC-Einstellungen an. Allerdings erlauben viele Microsoft-Apps das dynamische Nachladen von Libraries. Eine böswillige Erweiterung könnte so Zugriffsrechte „erben“, die Anwender beispielsweise Word oder PowerPoint eingeräumt haben, argumentiert Talos, ein Team von Sicherheitsforschern des Netzwerkspezialisten Cisco, in einer umfangreichen Analyse.


Für die Notarisierung der Microsoft-Apps muss Microsoft die eigenen Programme in der sogenannten „Hardened Runtime“ betreiben, um nachträgliche Änderungen am Programm-Code zu verhindern. Trotzdem will Microsoft den eigenen Apps erlauben, Funktionen über (ungeprüfte) Drittanbieter-Erweiterungen nachzuladen. Diese Eigenschaft erfordert eine spezielle Berechtigung (Entitlement) namens „com.apple.security.cs.disable-library-validation“. Diese war zum Zeitpunkt der Talos-Untersuchung in allen relevanten Office- sowie Teams-Programmen aktiviert. Darüber bestünde, so erklären die Sicherheitsforscher, eine zumindest theoretische Möglichkeit, dass Berechtigungen der Haupt-App für ungeprüften Code bereitstehen. Besonders dramatisch könnten die Folgen bei der Videokonferenz-Lösung „Teams“ sein – diese benötigen Zugriff auf Mikrofon sowie Kamera des Mac; nutzte eine Fremd-Library dies aus, dürfte sie nach Gutdünken Kamera und Mikrofon einschalten und Video- und Audioaufzeichnungen anlegen.

Microsoft bewertet Risiko gering – und bessert nach
Als das Talos-Team den Teams-Hersteller mit den Beobachtungen konfrontierte, wiegelte dieser ab: Es sei unwahrscheinlich, dass diese Lücke ausgenutzt würde. Im Nachgang entfernte Microsoft jedoch bei einigen die entsprechende Berechtigung: Sowohl OneNote als auch drei beanstandete Teams-(Helfer-)Apps verzichten fortan auf das „disable-library-validation“-Entitlement. Office-Programme (Excel, Outlook, Powerpoint, Word) behielten diese jedoch.

Strukturelle Änderungen an macOS notwendig?
Am Ende des ausführlichen Berichts zweifelt das Talos-Team an, dass die Sonderberechtigung überhaupt notwendig sei, die Microsoft den eigenen Programmen einräumt. Schlussendlich schlagen die Sicherheitsforscher vor, diese Erlaubnis in die TCC-Einstellungen aufzunehmen, damit Anwender transparent entscheiden dürfen, ob sie eine spezifische Programmerweiterung zulassen möchten.