Sicherheitslücke in Mac OS X: Jeder kann Passworte ändern

Eine Sicherheitslücke in Mac OS X 10.7 macht es Angreifern leicht, sich Zugang zu fremden Apple-Rechnern zu verschaffen, berichtet ein US-Blogger. Solange man sich zumindest als Gast auf einem Rechner mit Apples aktuellem Betriebssystem einloggen kann, könne man auch Passwörter anderer Nutzerkonten nach Belieben ändern - und sich damit etwa selbst zum Administrator des Computers krönen.

Sicherheitsexperte Patrick Dunstan hat die Lücke entdeckt - und ist offenbar selbst noch ganz baff darüber, wie Apple diesen Fehler übersehen konnte: "Sieht so aus, als ob bei der Überarbeitung des Authentifizierungs-Schemas in OS X Lion ein wichtiger Schritt übersehen wurde,"schreibt er in seinem Blog. Demzufolge können selbst Laien das Passwort eines gerade eingeloggten Users ändern, ohne sich zunächst mit dem alten Passwort als berechtigt identifizieren zu müssen. Das alles, indem sie ein einfaches Kommando im Terminalprogramm von Mac OS X eingeben.

Noch schlimmer: Über eine verwandte Sicherheitslücke kann ein Angreifer an die so genannten Hash-Werte der Passwörter andere Nutzer eines OS-X-Computers gelangen. Damit gelingen Brute-Force-Angriffe, bei denen in hoher Geschwindigkeit Millionen Passwort-Kombinationen durchgeraten werden, deutlich schneller.

Die Lücke dürfte für viele private Apple-Nutzer allerdings kaum eine Rolle spielen: Sie ist nur brenzlig, sofern der Angreifer bereits Zugriff auf ein Nutzerkonto hat. Ein einfacher Laptop-Dieb könnte stattdessen einfach die Festplatte ausbauen und sich mit gröberen Mitteln durch deren Datenbestand arbeiten.

Sorgen sollten sich vielmehr Unternehmen machen: Dringt eine Malware ins Firmennetz ein, kann sie sich dank dieser Sicherheitslücke theoretisch beliebig Zugangsrechte zu den Firmen-Macs verschaffen, Dateien ausforschen oder weiteren Schadcode installieren.

Aber es gibt auch einfache Schutzmechanismen, erklärt Cnet.com: Wer das automatische Login auf seinem Mac deaktiviert, Passwörter für den Schlaf- und Screensaver-Zustand aktiviert, Gäste-Zugänge abschaltet und anderen Nutzern Admin-Rechte in der Kontenverwaltung entzieht, legt Angreifern erhebliche Hindernisse in den Weg zur Computer-Herrschaft.

Anmerkung der Redaktion: In einer früheren Version des Texts hieß es, dass selbst ein Laie die Passwörter aller anderen Nutzer eines Mac-OS-X-Computers herausfinden könne. Richtig ist: Nur das Passwort des gerade angemeldeten Nutzers lässt sich so erfahren. Für alle anderen gibt es eine weitere Möglichkeit über die sogenannten Passwort-Hashes.