Schwere EFI-Sicherheitslücke bei älteren Macs entdeckt
Sicherheitsforscher haben in älteren Macs eine schwerwiegende Sicherheitslücke entdeckt, bei der nach dem Aufwachen auf dem Ruhezustand die EFI-Firmware manipuliert werden kann. Sofern der Mac in den S3-Modus schaltet, bei dem das laufende System im RAM gehalten wird, ist
nach dem Aufwachen die Firmware ungeschützt und lässt sich noch umfassender manipulieren, als es über eine bekannte Thunderbolt-Lücke der Fall ist. In Macs ab Mitte 2014 hat Apple das Problem behoben, doch ältere Systeme bleiben verwundbar.
Für Nutzer bedeutet dies, dass auf einem Mac nicht nur das OS X von Angreifern übernommen werden kann, sondern der gesamte Mac. Angreifer können das Laden von Software kontrollieren, angeschlossen Geräte wie auch Tastatur und Display. Dies geht soweit, dass
weder Neuinstallation noch Austausch des Speichers für Abhilfe sorgen können. Einzig der Tausch des Logicboards könnte entsprechende EFI-Schädlinge wieder loswerden. Eine Demonstration des Angriffs wurde bereits veröffentlicht, sodass es nur eine Frage der Zeit ist, bis entsprechende Schädlinge in Umlauf gelangen.
Lichtblick in dieser Angelegenheit ist lediglich, dass unter OS X immerhin sudo-Administrationsrechte für die EFI-Manipulation erforderlich sind. Mit entsprechenden Trojanern können Angreifer aber versuchen, im Zuge eine Installation diese von Nutzern einzufordern. Software aus unbekannten Quellen sollte daher unbedingt gemieden werden.
Aktualisierung:Für EFI-Manipulation sind nach dem Aufwachen aus dem Ruhezustand leider doch keine sudo-Rechte erforderlich. Lediglich die absichtliche Aktivierung des Ruhezustands erfordert sudo.
Weiterführende Links: