Sobald Apple neue Systemupdates für den Mac bereitstellt, profitieren davon üblicherweise sogar Nutzer älterer Geräte: Das Unternehmen veröffentlicht zumeist auch Aktualisierungen für die letzten beiden Versionen des Betriebssystems – aktuell sind das macOS Catalina und Big Sur. Ein Feuerwerk an neuen Features ist in diesen Fällen nicht zu erwarten, allerdings nimmt sich Cupertino bekannter Sicherheitslücken sowie Bugs an und merzt diese aus. Im Falle von macOS 12.3.1, auf welches Nutzer seit dem 31. März zugreifen können, ist das etwas anders: Apple lieferte keine Patches für macOS 10.15 und 11 aus. Damit steht zu befürchten, dass zwei gefährliche Schwachstellen auf betroffenen Macs weiterhin ausgenutzt werden können.


macOS Catalina und Big Sur erhalten lediglich neuen Safari-Build
Das Update auf macOS 12.3.1 kommt für viele Nutzer aus verschiedensten Gründen nicht infrage: Manche Anwender ziehen eine ältere Version des Betriebssystems vor, um Inkompatibilitäten mit installierter Software zu vermeiden. In vielen Fällen stehen Nutzer gar nicht erst vor der Wahl: Ihr Rechner ist oft zu alt und lässt – zumindest offiziell – keine Installation von macOS Monterey zu. Im Falle der zuletzt veröffentlichten Updates zeigte sich Apple aber knausrig: Das Unternehmen lieferte für Macs mit macOS Catalina und Big Sur lediglich einen neuen Build von Safari aus. Von Patches, welche Schwachstellen den Garaus machen, fehlt allerdings jede Spur: In macOS Monterey existierten bis zum letzten Update zwei ernstzunehmende Zero-Day-Exploits.

Zwei Zero-Day-Exploits, die bislang nur in macOS 12 beseitigt wurden
Die beiden Schwachstellen haben wir hier näher beschrieben: Einer der Exploits betrifft auch iOS-Geräte und ermöglicht es Angreifern, auf betroffenen Geräten schadhaften Code mit Kernel-Rechten auszuführen. Eine weitere Lücke betrifft Intel-Grafiktreiber: Angreifer erhalten über Apps Zugriff auf den Kernel-Speicher. Der Sicherheitsforscher Joshua Long berichtet auf Intego ausführlich über die Risiken und bat Apple um Stellungnahme. Bislang reagierte der Konzern allerdings nicht.