8
MacOS: Sicherheitslücke durch Root-Zugriff selbst schließen
Eine neue ziemlich heftige Sicherheitslücke in macOS High Sierra 10.13.1 (17B48) macht die Runde. Sie erlaubt unbefugten den Root-Zugriff indem einfach das Passwort leer gelassen wird (einfach mehrfach ausprobieren, ahrg). Dummerweise funktioniert das sogar mit dem Gastzugang (gerade ausprobiert). Das ist wirklich sehr sehr schlecht, was machen die bei Apple?
Aktuell gibt es leider noch keinen Patch dazu. Mann kann die Lücke aber sehr schnell selbst schließen, in dem man dem User Root einfach ein eigenes Passwort vergibt.
Hier die Schritt für Schritt Anleitung um den Fehler selbst zu beheben:
Sollte der Fehler irgendwann per Patch behoben sein kann man den nun aktiven Root-Account im Verzeichnisdienste-Fenster über das Menü -> Bearbeiten -> "root-Benutzer deaktivieren" auch wieder deaktivieren. Danach sollte man aber nochmal prüfen, ob man sich wieder ohne Passwort als Root anmelden kann.
Ich muss leider zugeben, das war für macOS die bisher schlimmste und dümmste Sicherheitslücke.
Passwort per Terminal ändern
Hier die Lösung für Mac-User, die wissen was ein Terminal ist. Terminal öffnen (geht auch über die Spotlight-Suche) und folgenden Befehl eingeben:
Man braucht durch die Lücke das "sudo" nicht mal davor zu setzten (lol). Hier ein Screenshot als angemeldeter Gast:
Gruß
Frank
Aktuell gibt es leider noch keinen Patch dazu. Mann kann die Lücke aber sehr schnell selbst schließen, in dem man dem User Root einfach ein eigenes Passwort vergibt.
We are working on a software update to address this issue. In the meantime, setting a root password prevents unauthorized access to your Mac. To enable the Root User and set a password, please follow the instructions here: https://support.apple.com/de-de/HT204012. If a Root User is already enabled, to ensure a blank password is not set, please follow the instructions from the ‘Change the root password’ section. AppleHier die Schritt für Schritt Anleitung um den Fehler selbst zu beheben:
- Melde dich mit deinem User auf dem macOS Desktop an, dieser sollte Adminrechte haben (obwohl, durch die Lücke geht's auch ohne)
- Drücke auf der Tastatur die "Command" und die Leertaste gleichzeitig, damit sich die globale Spotlightsuche öffnet. Alternativ klicke oben rechts in der Menüleiste, neben der Uhr auf das "Lupen"-Icon. Auch dann öffnet sich das Eingabefeld von Spotlight
- Gebe nun den Begriff "Verzeichnisdienste" ein und drücke "Return" bzw. die Eingabetaste (oder auf das nun erscheinende Verzeichnisdienste-Icon).
- Es öffnet sich das "Verzeichnisdienste"-Fenster. Klicke nun auf das Schlosssymbol unten links im Fenster, und gebe anschließend den Benutzernamen und das Passwort für einen Administratoraccount ein.
- Das Schloss sollte jetzt "geöffnet" angezeigt werden. Klicken oben im Menü auf "Bearbeiten" und wähle den Punkt -> "root-Passwort ändern".
- Nun vergibst du ein neues und sicheres Passwort. Fertig, die Sicherheitslücke ist damit geschlossen
Sollte der Fehler irgendwann per Patch behoben sein kann man den nun aktiven Root-Account im Verzeichnisdienste-Fenster über das Menü -> Bearbeiten -> "root-Benutzer deaktivieren" auch wieder deaktivieren. Danach sollte man aber nochmal prüfen, ob man sich wieder ohne Passwort als Root anmelden kann.
Ich muss leider zugeben, das war für macOS die bisher schlimmste und dümmste Sicherheitslücke.
Passwort per Terminal ändern
Hier die Lösung für Mac-User, die wissen was ein Terminal ist. Terminal öffnen (geht auch über die Spotlight-Suche) und folgenden Befehl eingeben:
passwd rootMan braucht durch die Lücke das "sudo" nicht mal davor zu setzten (lol). Hier ein Screenshot als angemeldeter Gast:
Gruß
Frank
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 356494
Url: https://administrator.de/contentid/356494
Printed on: April 19, 2024 at 03:04 o'clock
8 Comments
Latest comment
Hallo @Frank,
danke für die Information. Aber ich hab mal eine Frage (bin selbst kein Mac-User, nur Linux).
Ist es nicht möglich das Passwort einfach übers Terminal mit "passwd root" zu ändern?
Gruß, Max
Edit: bzw "sudo passwd root"
danke für die Information. Aber ich hab mal eine Frage (bin selbst kein Mac-User, nur Linux).
Ist es nicht möglich das Passwort einfach übers Terminal mit "passwd root" zu ändern?
Gruß, Max
Edit: bzw "sudo passwd root"
Hallo @Tungdal,
ja, klar das geht auch. Für den Durchschnitts-Mac-User wollte ich den Weg aber so einfach wie möglich halten. Suche nach dem Verzeichnissdienst, Entsperren und auf den Menüpunkt "root-Passwort ändern" fand ich jetzt auch sehr einfach.
Hier die Lösung für Mac-User, die wissen was ein Terminal ist. Terminal öffnen (geht auch über die Spotlight-Suche) und folgenden Befehl eingeben:
Man braucht durch die Lücke das "sudo" nicht mal davor zu setzten (lol). Hier ein Screenshot als angemeldeter Gast:
Ich habe das auch oben in der Anleitung aktualisiert.
Gruß
Frank
ja, klar das geht auch. Für den Durchschnitts-Mac-User wollte ich den Weg aber so einfach wie möglich halten. Suche nach dem Verzeichnissdienst, Entsperren und auf den Menüpunkt "root-Passwort ändern" fand ich jetzt auch sehr einfach.
Hier die Lösung für Mac-User, die wissen was ein Terminal ist. Terminal öffnen (geht auch über die Spotlight-Suche) und folgenden Befehl eingeben:
passwd rootMan braucht durch die Lücke das "sudo" nicht mal davor zu setzten (lol). Hier ein Screenshot als angemeldeter Gast:
Ich habe das auch oben in der Anleitung aktualisiert.
Gruß
Frank
Vermutlich Ihr Geld zählen und mit dem Koksdealer verhandeln, wie sie das Geld in Schnee umsetzen.
lks
was machen die bei Apple?
Die Leute "veräppeln" natürlich, was sonst .
Hallo,
danke für die Antwort, nach einer kurzen Internetrecherche hab ich diesen Link gefunden, der meine Frage beantwortet hätte
Gruß, Max
PS: In meinem Link steht noch als Ergänzung
danke für die Antwort, nach einer kurzen Internetrecherche hab ich diesen Link gefunden, der meine Frage beantwortet hätte
Gruß, Max
PS: In meinem Link steht noch als Ergänzung
*** If the root user account is not yet enabled, choose “Enable Root User” and then set a password instead.
Ich vermute, das müsstest du noch deiner Anleitung hinzufügen.
@Tungdal
Nein, das braucht man nicht, da der root-Account automatisch aktiviert wird, wenn man ihm ein Passwort gibt (egal ob über Terminal oder per Verzeichnisdienst).
Gruß
Frank
Ich vermute, das müsstest du noch deiner Anleitung hinzufügen.
Nein, das braucht man nicht, da der root-Account automatisch aktiviert wird, wenn man ihm ein Passwort gibt (egal ob über Terminal oder per Verzeichnisdienst).
Gruß
Frank
Hallo,
tatsaechlich ist der Rootaccount per se deaktiviert.
Wie oben beschrieben braucht es dazu nur ein passwd root um in zu aktivieren.
Interessanterweise wird ueber den Verzeichnisdienst das alte rootpw nicht abgefragt, aber ueber das Terminal schon.
Mal als Hinweis, sollte man sein Login vergessen haben und es ist nicht mehr moeglich sich anzumelden, kann in der Shell im Superusermode
mit ein paar Zeilen ein neues Passwort vergeben werden.
Wie das genau geht schreib ich hier jetzt nicht, Anleitungen dafuer gibt es im Netz.
Gruss
tatsaechlich ist der Rootaccount per se deaktiviert.
Wie oben beschrieben braucht es dazu nur ein passwd root um in zu aktivieren.
Interessanterweise wird ueber den Verzeichnisdienst das alte rootpw nicht abgefragt, aber ueber das Terminal schon.
Mal als Hinweis, sollte man sein Login vergessen haben und es ist nicht mehr moeglich sich anzumelden, kann in der Shell im Superusermode
mit ein paar Zeilen ein neues Passwort vergeben werden.
Wie das genau geht schreib ich hier jetzt nicht, Anleitungen dafuer gibt es im Netz.
Gruss
Fix für 10.13 ist raus...
"Sicherheits-Update 2017-001"
im App Store installieren...
"Sicherheits-Update 2017-001"
im App Store installieren...
