Apple vydal opravu pro MacOS High Sierra 'Root' Bug

AKTUALIZACE 30. 11.: Bohužel, patch, který Apple vydal, může představit další chyba, která brání sdílení souborů na Macu. Společnost vydala poradní který ve čtyřech krocích vysvětluje, jak tento problém vyřešit.



AKTUALIZACE 29. 11.: Apple vydal a bezpečnostní záplata ve středu opravit tuto chybu a vydal následující prohlášení:

m audio bx5 uhlíková recenze

„Zabezpečení je nejvyšší prioritou každého produktu Apple a bohužel jsme narazili na toto vydání macOS.





„Když se naši bezpečnostní inženýři v úterý odpoledne o problému dozvěděli, okamžitě jsme začali pracovat na aktualizaci, která zaceluje bezpečnostní díru. Dnes ráno, od 8:00, je aktualizace k dispozici ke stažení a počínaje dnešním dnem se bude automaticky instalovat na všechny systémy s nejnovější verzí (10.13.1) macOS High Sierra.

„Velmi nás mrzí tato chyba a omlouváme se všem uživatelům Macu, jak za uvolnění s touto chybou zabezpečení, tak za obavy, které způsobila. Naši zákazníci si zaslouží lepší. Provádíme audit našich vývojových procesů, abychom zabránili tomu, aby se to opakovalo.“



Původní příběh 11/28:
Počítače Mac s High Sierra (MacOS 10.13.1 nebo vyšší) mají závažnou chybu, která může komukoli umožnit získat root přístup k systému bez hesla.

Hack lze spustit prostřednictvím aplikace System Preferences na počítači Mac. Zpočátku zprávy naznačovaly, že chyba byla omezena na možnost „Uživatelé a skupiny“. Ti, kteří klikli na ikonu zámku, viděli nové přihlašovací okno. Zadáním „root“ jako uživatelského jména, ponecháním pole pro heslo prázdné a kliknutím na odemknout (jednou nebo dvakrát) vytvořte nový účet s právy správce systému k počítači.

High Sierra Lock Podle bezpečnostní firmě Malwarebytes to však nebylo omezeno pouze na „Uživatelé a skupiny“ a bylo možné jej spustit kliknutím na ikonu zámku vedle libovolné aplikace v nabídce Předvolby systému.

Objevily se také zprávy, že chyba mohla být spuštěna přes Mac přihlašovací obrazovka , ale ne všichni to dokázal zopakovat.

Pro ty, kteří uspěli, bylo možné použít oprávnění správce systému k úpravě zbytku Macu a vyhledání hesel v přístupu ke klíčence. I po restartu zůstal účet root.

'Nepodařilo se mi to zpočátku spustit z hlavní přihlašovací obrazovky,' řeklThomas Reed, bezpečnostní výzkumník ve společnosti Malwarebytes, v e-mailu. 'Jakmile se chyba spustí v jakémkoli autentizačním dialogu, PAK se můžete přihlásit jako root z přihlašovací obrazovky... ale pokud vím, do té doby ne.'

Problém se dostal na titulky, když bezpečnostní výzkumník Lemi Orhan Ergin tweetoval asi v úterý.

Amit Serper, bezpečnostní výzkumník z Cybereason, replikované výsledek a řekl, že chyba 'je tak závažná, jak jen může.'

Hackeři vždy vytvářejí malware, který může do počítače získat větší systémová oprávnění. Nyní mají nový způsob, který lze spustit také pomocí funkce příkazového řádku počítače Mac. Představte si kus škodlivého kódu určený k útoku na počítače Mac pomocí stejné chyby. Uživatelé by ani nevěděli, že byli kompromitováni, řekl Serper.

Krátce poté, co byla chyba zveřejněna, Apple vydal následující prohlášení:

„Pracujeme na aktualizaci softwaru, která by tento problém vyřešila. Mezitím nastavení hesla uživatele root zabrání neoprávněnému přístupu k vašemu Macu. Chcete-li povolit uživatele root a nastavit heslo, postupujte podle pokynů tady . Pokud je již uživatel root povolen, abyste se ujistili, že není nastaveno prázdné heslo, postupujte podle pokynů v části „Změnit heslo uživatele root“.

Bezpečnostní experti chybu stále řeší, ale může být vzdáleně zneužitelná, pokud je například na Macu povoleno sdílení obrazovky.

Nezdá se, že by se Apple o chybě dozvěděl dříve, než byla zveřejněna na Twitteru, což je něco, na co se bezpečnostní komunita obecně mračí. „Tento druh zveřejnění může uživatele vystavit riziku,“ řekl Keith Hoodlet, bezpečnostní inženýr společnosti Bugcrowd, která provádí crowdsourcingové bezpečnostní testování.

počítač dell vše v jednom

On doporučuje uživatelé se zdrží zkoušení chyby na svých počítačích Mac nainstalovaných v High Sierra. Tím se vytvoří účet se super oprávněními, který jej může otevřít vzdálenému útoku. Pro zmírnění rizika by uživatelé, kteří se rozhodli chybu otestovat, měli vytvořit heslo pro nový účet root, což lze provést podle dočasná oprava Apple poskytl.

Doporučená