Apple Patches Major macOS-sikkerhedsproblemer Kontroller dine opdateringer nu

En tyrkisk sikkerhedsforsker har udsat en stor fejl i macOS High Sierra. Fejlen gør det muligt for en hacker at få adgang til en maskine uden en adgangskode - samt adgang til magtfulde administratorrettigheder. Apple har udstedt en patch til at løse sårbarheden, der påvirker næsten alle macOS High Sierra-systemer.

Uudfyldte systemer forbliver imidlertid usikre ...

Hvad er fejlen?

Manglen blev overgået af den tyrkiske udvikler Lemi Orhan Ergan. Det gjorde det muligt for enhver at få fulde administrative rettigheder over en macOS High Sierra-maskine ved blot at skrive “rod” som brugernavn i godkendelsesdialogboksen. Efterlad derefter adgangskodefeltet tomt og klikke på “Lås” to gange, der gives fuld administrativ adgang.

Du kan få adgang til det via Systemindstillinger> Brugere & grupper> Klik på låsen for at foretage ændringer. Brug derefter "root" uden adgangskode. Og prøv det flere gange. Resultatet er utroligt! pic.twitter.com/m11qrEvECs

- Lemi Orhan Ergin (@lemiorhan) 28. november 2017

I teorien, før patch'en, hvis du forlod din Mac uden opsyn, kunne nogen let få adgang og ødelægge din maskine. For eksempel kan de installere malware 5 lette måder at inficere din Mac med Malware 5 lette måder at inficere din Mac med Malware Du synes måske det er ret svært at inficere din Mac med malware, men der er altid undtagelser. Her er fem måder, du kan gøre din computer beskidt på. , indfang adgangskoder 5 lette måder at inficere din Mac med Malware 5 Nemme måder at inficere din Mac med Malware Du synes måske det er ret svært at inficere din Mac med malware, men der er altid undtagelser. Her er fem måder, du kan gøre din computer beskidt på. brug af nøgleringstilgang Skal du bruge iCloud nøgleringe til at synkronisere adgangskoder på Mac og iOS? Bør du bruge iCloud nøglering til at synkronisere adgangskoder på Mac og iOS? Hvis du primært bruger Apple-produkter, hvorfor ikke bruge virksomhedens egen password manager helt gratis? , slette eller ødelægge dit Apple ID og meget mere.

Men Apple har løst problemet, ikke?

Da jeg skrev denne artikel, frigav Apple sikkerhedsopdateringen for at løse problemet. I Apple-erklæringen om opdatering af sikkerhedsindhold oplyses det “Der eksisterede en logisk fejl i valideringen af ​​legitimationsoplysninger. Dette blev behandlet med forbedret legitimationsvalidering.”

Rettelsen er allerede tilgængelig i Mac App Store. Opdateringen vil også automatisk gælde for Mac'er, der kører High Sierra 10.13.1 fra onsdag 29^th November. Apple udvidede situationen med følgende udsagn:

“Sikkerhed er en høj prioritet for hvert Apple-produkt, og desværre snublede vi med denne udgivelse af macOS.

“Da vores sikkerhedsingeniører blev opmærksomme på problemet tirsdag eftermiddag, begyndte vi straks at arbejde på en opdatering, der lukker sikkerhedshullet. I morges, kl. 8, er opdateringen tilgængelig til download, og starter senere i dag installeres den automatisk på alle systemer, der kører den nyeste version (10.13.1) af macOS High Sierra.

“Vi beklager i høj grad denne fejl, og vi beklager alle Mac-brugere, både for at have frigivet med denne sårbarhed og for den bekymring, den har skabt. Vores kunder fortjener bedre. Vi reviderer vores udviklingsprocesser for at forhindre, at dette sker igen.”

Men de vidste allerede om det?

Desværre for Apple var dette emne allerede dukket op - men modtog ingen handling. Et medlem af Apples supportforum offentliggjorde nøjagtige detaljer om fejlen for mere end to uger siden. Det originale indlæg og svar ser ud til at se den store fejl som en potentiel fejlfindingsfunktion snarere end en kritisk sikkerhedstrussel.

Hvad gør jeg nu?

Nå, den første ting at gøre er at kontrollere for systemopdatering. Apple skulle indstille den automatiske programopdatering på et tidspunkt i de sidste 24 timer. Hvis den automatiske opdatering ikke er vist, skal du gå til Mac App Store og søge efter opdateringen der. Alternativt skal du klikke på dette link.

Når opdateringen er downloadet, skal du installere med det samme.

Det fungerer ikke

Hvis opdateringen ikke installeres af en eller anden grund, skal du først slukke og tænde dit system og derefter prøve igen. Apple har automatiseret processen.

Ellers skal du følge disse trin for at sikre dit system i mellemtiden:

1. Åbn Spotlight, søg efter Katalogværktøj, vælg den tilsvarende mulighed
2. Klik på låsen for at foretage ændringer; indtast dit brugernavn og din adgangskode til den administrative konto
3. Gå til Menu> Rediger
4. Vælg Aktivér rodbruger; oprette en adgangskode og bekræft

Dette er imidlertid et stop-gap. Prøv at installere den officielle opdatering.

Øjne på kilden

Når Apple lapper fejlen, vender øjnene sig til Lemi Orhan Ergan. Det selvbeskrevne “software håndværker” modtager kritik for ikke at overholde retningslinjerne for ansvarlig oplysning Fuld eller ansvarlig afsløring: Hvordan sikkerhedsmæssige sårbarheder afsløres Fuld eller ansvarlig videregivelse: Hvordan sikkerhedssvagheder afsløres Sikkerhedsmæssige sårbarheder i populære softwarepakker opdages hele tiden, men hvordan rapporteres de til udviklere, og hvordan lærer hackere om sårbarheder, som de kan udnytte? . Ansvarlig afsløring beder sikkerhedsforskere om at informere virksomheder om sikkerhedstrusler for at give tid til at løse fejlen. Når fejlen er løst, er det klart, at forskeren præsenterer deres fund for offentligheden.

DETTE ER IKKE ANSVARLIG VEDTAGELSE. Dette er ekstremt uansvarligt, især for en sårbarhed i denne størrelsesorden. Apple har et fremragende afsløringssystem, og deres team er usædvanligt lydhøre. Gør ikke ting som dette. https://t.co/E6iOX5A43C

- Johnny Xmas (@ J0hnnyXm4s) 28. november 2017

Naturligvis fungerer dette system ikke altid som tilsigtet. Virksomheder reagerer ikke, og sikkerhedsforskere bliver utålmodige. I disse tilfælde tvinger oprettelsen af ​​et offentligt emne firmaets hånd og tvinger dem til at løse sikkerhedstruslen.

Efter at have modtaget en betydelig mængde kritik, sendte Ergan en riposte på Medium. Han forklarer, at han “er hverken en hacker eller en sikkerhedsspecialist,” fortsættende “Jeg fokuserer udelukkende på sikker kodningspraksis under programmeringen, men jeg kan aldrig kalde mig selv en sikkerhedsspecialist.”

Kære @AppleSupport, vi har bemærket et * Kæmpe * sikkerhedsproblem ved MacOS High Sierra. Enhver kan logge ind som "root" med tom adgangskode efter at have klikket på login-knappen flere gange. Er du opmærksom på det @Apple?

- Lemi Orhan Ergin (@lemiorhan) 28. november 2017

I al retfærdighed blev fejlen diskuteret på Apple supportforum. Derudover hævder Ergan, at hans kolleger i betalingsfirmaet Iyzico afslørede truslen mod Apple den 23^rd November - men fik aldrig noget svar.

Øjne på bolden

Fra kilden til virksomheden. Lad Apple denne glide gennem nettet? Kort sagt: ja, især hvis de var opmærksomme på fejlen, som Ergan hævder. Desværre ved vi ikke sandheden, så vi kan ikke foretage en solid vurdering af situationen.

Selv efter at have lidt deres anden tvungen opdatering på et år (stadig kun deres anden tvungen sikkerhedsopdatering nogensinde), bør Apple ikke bekymre sig. Forekomster af macOS og iOS-malware stiger Apple-målrettet malware-stigninger - Her skal du se ud i 2016 Apple-målrettet malware-stigninger - Her skal du se ud i 2016 Apple-hardware er ikke længere en sikker havn fra hackere, malware, ransomware og andre cybertrusler. Første halvår af 2016 beviser, at uden de rigtige forholdsregler kan dine enheder blive risici…, men Windows og Android forbliver de vigtigste mål Hvad er det mest sikre mobile operativsystem? Hvad er det mest sikre mobile operativsystem? Kæmper for titlen på Mest Secure Mobile OS, vi har: Android, BlackBerry, Ubuntu, Windows Phone og iOS. Hvilket operativsystem er bedst til at holde sit eget mod onlineangreb? . Desuden har Apple en fremragende sikkerhedsrekord for det meste The Ultimate Mac Security Guide: 20 måder at beskytte dig selv Den Ultimate Mac Security Guide: 20 måder at beskytte dig selv Du må ikke være et offer! Sikker din Mac i dag med vores udtømmende High Sierra sikkerhedsguide. , som det fremgår af deres hurtige og effektive opdatering, der udløber for at dæmme op for den voksende trussel.

Er du blevet påvirket af Apple-sikkerhedsfejlen? Eller ankom opdateringen hurtigt nok til at stoppe dig med at bekymre dig? Fortæl os dine tanker nedenfor!