MacOS High Sierra heeft een kritieke kwetsbaarheid onthuld op de dag dat de nieuwe versie van het besturingssysteem voor het bedrijf werd uitgebracht Apple, sinds gisteravond beschikbaar. Een voormalige NSA-onderzoeker ontdekte deze kwetsbaarheid in macOS High Sierra en demonstreert in het onderstaande filmpje hoe je er misbruik van kunt maken, zodat Apple op de hoogte is van het bestaan ervan en het snel kan repareren.
macOS High Sierra heeft een kwetsbaarheid waardoor sleutelhangergebruikersnamen en -wachtwoorden in leesbare tekst kunnen worden weergegeven, zelfs zonder het beheerderswachtwoord van het besturingssysteem te gebruiken. Het lijkt erop dat alleen niet-ondertekende applicaties kwetsbaar zijn in macOS High Sierra en eerdere versies van het besturingssysteem, dus applicaties die beschikbaar zijn in de AppStore zouden geen last moeten hebben van dit onthulde probleem.
macOS High Sierra – kritieke kwetsbaarheid onthuld
macOS High Sierra kan niet gemakkelijk worden misbruikt, omdat de gebruiker moet worden misleid om malware op de Mac te installeren, beveiligingswaarschuwingen te negeren en Gatekeeper vooraf uit te schakelen. De onderzoeker beweert dat de exploit niet zo moeilijk is als het lijkt, maar in werkelijkheid is het moeilijk te zeggen in hoeverre hij gelijk heeft, en macOS High Sierra moet de kwetsbaarheid door Apple laten repareren.
macOS High Sierra beschikte niet over de broncode van de exploit die door de computerbeveiligingsonderzoeker werd onthuld, dus de kwetsbaarheid kan voorlopig door geen enkele hacker worden misbruikt. Apple zal de kwetsbaarheid repareren in een toekomstige update voor macOS High Sierra, dus het valt nog te bezien hoe lang het zal duren voordat deze wordt aangeboden, ook al hebben niet veel mensen last van het bestaan ervan.
"Zonder rootrechten kan ik, als de gebruiker is ingelogd, de sleutelhanger dumpen en exfiltreren, inclusief platte tekstwachtwoorden. Normaal gesproken is het niet de bedoeling dat je dat programmatisch kunt doen. Bij de meeste aanvallen die we vandaag de dag zien, is sprake van social engineering en lijken ze zich met succes op Mac-gebruikers te richten.”
