INTEGO SICHERHEITSWARNUNG – 19. Juni 2008
Apple Remote Desktop-Schwachstelle erlaubt
schädlichen Programmen das Ausführen eines Codes als „Root“

Exploit: Zuordnung von „Root“-Privilegien an ARDAgent

Entdeckt: 19. Juni 2008

Risiko: Bedenklich

Beschreibung: Es wurde eine Schwachstelle entdeckt, die es schädlichen Programmen erlaubt, einen Code als „Root“ auszuführen, wenn diese auf Computern unter Mac OS X 10.4 oder 10.5 lokal oder über eine Remote-Verbindung ausgeführt werden. Bei dieser Schwachstelle wird ausgenutzt, dass ARDAgent (ein Teil der Remote Management-Komponente von Mac OS X 10.4 und 10.5) ein setuid-Bit zugewiesen ist.  Jeder Benutzer, bei dem eine solche ausführbare Anweisung läuft, erhält die Privilegien des Eigentümers dieser ausführbaren Anweisung. In diesem Fall ist der Eigentümer von ARDAgent „Root“. Wenn also ein Code über das ausführbare ARDAgent ausgeführt wird, wird dieser Code als „Root“ ausgeführt und erfordert keine Passworteingabe. Das direkte Risiko hängt davon ab, ob ARDAgent AppleScripts ausführen kann, die wiederum Shell-Skript-Befehle enthalten können.

Wenn eine Anwendung eine Zuordnung von „Root“-Privilegien dieser Art aktiviert, kann jeder schädliche Code, der ausgeführt wird, verheerende Auswirkungen haben. Diese können vom Löschen aller Dateien auf dem Mac (unabhängig davon, wer der Eigentümer dieser Daten ist) bis zu noch schädlicheren Angriffen reichen, wie z.B. dem Ändern der Systemeinstellungen oder sogar dem Einrichten regelmäßiger Aufgaben, die wiederholt ausgeführt werden.  Jede Anwendung könnte diese Schwachstelle nutzen, um „Root“-Privilegien zu erlangen, ohne dass die Benutzer jemals ein Passwort eingeben müssen. Benutzer könnten schädliche Programme ausführen, die sie aus dem Internet herunterladen oder von Freunden oder Kollegen erhalten. Und wenn das Programm diese Schwachstelle ausnutzt, wäre der Schaden bereits angerichtet, wenn dieses Programm einfach nur gestartet wird.

Dieses Exploit kann von jedem Benutzer-Typ ausgelöst werden:  Standard-Benutzer, Administratoren oder sogar Gast-Accounts. Daher kann ein angemeldeter Gast, der die Gast-Account-Funktion von Mac OS X 10.5 verwendet, ein Programm herunterladen und unabsichtlich einen schädlichen Code ohne Sicherheitswarnung ausführen.

Schutzmaßnahmen: Den besten Schutz gegen dieses Exploit bietet Intego VirusBarrier X5 mit den Virusdefinitionen vom 19.06.2008. VirusBarrier führt eine Aktion durch, die ARDAgents Fähigkeit zum Ausführen von AppleScripts deaktiviert. Intego empfiehlt allen Benutzern, niemals Software von nicht vertrauenswürdigen oder fragwürdigen Websites herunterzuladen und zu installieren.

Über Intego

Intego entwickelt und vertreibt Desktop-Software für Sicherheit im Internet und den Schutz vertraulicher Daten für Macintosh.

Intego stellt eine umfassende Auswahl von Software bereit, mit der Benutzer und ihre Mac-Computer vor den im Internet lauernden Gefahren geschützt werden. Die mehrsprachige Software und die Kundenunterstützung von Intego erhalten in regelmäßigen Abständen Auszeichnungen von den ‚Mac’-Magazinen und schützen derzeit mehr als eine Million Benutzer in über 60 Ländern. Intego hat Firmenhauptsitze in den USA, Frankreich und Japan.

Da die mit dem Internet verbundenen Risiken ständig zunehmen, arbeitet Intego mit voller Kraft an der Entwicklung neuer Software, mit der Benutzer und ihre Mac-Computer vor den neuesten Übergriffen auf die persönlichen Daten und auf die Sicherheit ihrer Computer wirkungsvoll geschützt werden.

We protect your world. Wir schützen Ihre Welt.

Startseite | Kontakt