Gat in Mac OS X geeft inbrekers VIP-toegang

Het achterdeurtje in Mac OS X draait om het Unix-component sudo, een programma dat via een wachtwoord toegang geeft tot de ‘super user’-status van een Mac-machine. Die status geeft een gebruiker roottoegang tot een machine, waardoor hij vrij spel krijgt om bestanden te openen of programma’s te installeren.

Via de kwetsbaarheid is het mogelijk om deze inlogprocedure te omzeilen door de klok terug te zetten naar 1 januari 1970, de theoretische startdatum in het Unix-besturingssysteem. Als een aanvaller ook de timestamp weet aan te passen voor de sudo-gebruiker, krijgt hij volledige toegang zonder het wachtwoord te hoeven invoeren.

De bug in Mac OS X werd vijf maanden geleden ontdekt, maar volgens Ars Technica is de aandacht de lucht in geschoten na het toevoegen van een nieuwe module aan de opensourcehackerskit Metasploit.

[related_article id=”158256″]

Metasploit is gebouwd voor securityonderzoekers om netwerken te testen en infiltreren, maar is ook bij cybercriminelen mateloos populair. Nu is het dus ook een handig middel om de sudo-kwetsbaarheid te misbruiken.

Het lek is nog niet gerepareerd, waardoor versies 10.7 tot en met 10.8.4 (laatste versie) van OS X kwetsbaar zijn. Ook Linux-distro’s zijn kwetsbaar, maar volgens Ars Technica is hier een rootwachtwoord nodig om de instellingen van de systeemklok te wijzigen.

Geen vrijbrief
Dat betekent zeker niet dat Mac OS X-gebruikers tijdens het surfen zomaar slachtoffer kunnen worden van een geslaagde inbraak, zoals het geval was bij de beruchte Flashback-aanval in 2012.

Een aanvaller moet al beschikken over beheerdersrechten van een Mac en de gebruiker moet het sudo-programma in het verleden al eens hebben gedraaid. Een hacker moet bovendien fysieke toegang of toegang op afstand kunnen krijgen.

Trage reactie
“De bug is belangrijk, omdat hij elk gebruikersniveau mogelijk kan compromitteren en in root kan omzetten, wat het op zijn beurt mogelijk maakt om wachtwoorden van Keychain in platte tekst zichtbaar te maken. Het is ook mogelijk voor een indringer om een permanente rootkit te installeren”, zei Metasploit-bouwer HD Moore tegen Ars Technica.

“Ik geloof dat Apple dit meer serieus moet nemen, al ben ik niet verbaasd over de trage reactie, gezien hun voorgeschiedenis met de respons op kwetsbaarheden in de opensourcetools die zij meeleveren.”, aldus Moore.

Het achterdeurtje in Mac OS X draait om het Unix-component sudo, een programma dat via een wachtwoord toegang geeft tot de ‘super user’-status van een Mac-machine. Die status geeft een gebruiker roottoegang tot een machine, waardoor hij vrij spel krijgt om bestanden te openen of programma’s te installeren.

Via de kwetsbaarheid is het mogelijk om deze inlogprocedure te omzeilen door de klok terug te zetten naar 1 januari 1970, de theoretische startdatum in het Unix-besturingssysteem. Als een aanvaller ook de timestamp weet aan te passen voor de sudo-gebruiker, krijgt hij volledige toegang zonder het wachtwoord te hoeven invoeren.

De bug in Mac OS X werd vijf maanden geleden ontdekt, maar volgens Ars Technica is de aandacht de lucht in geschoten na het toevoegen van een nieuwe module aan de opensourcehackerskit Metasploit.

[related_article id=”158256″]

Metasploit is gebouwd voor securityonderzoekers om netwerken te testen en infiltreren, maar is ook bij cybercriminelen mateloos populair. Nu is het dus ook een handig middel om de sudo-kwetsbaarheid te misbruiken.

Het lek is nog niet gerepareerd, waardoor versies 10.7 tot en met 10.8.4 (laatste versie) van OS X kwetsbaar zijn. Ook Linux-distro’s zijn kwetsbaar, maar volgens Ars Technica is hier een rootwachtwoord nodig om de instellingen van de systeemklok te wijzigen.

Geen vrijbrief
Dat betekent zeker niet dat Mac OS X-gebruikers tijdens het surfen zomaar slachtoffer kunnen worden van een geslaagde inbraak, zoals het geval was bij de beruchte Flashback-aanval in 2012.

Een aanvaller moet al beschikken over beheerdersrechten van een Mac en de gebruiker moet het sudo-programma in het verleden al eens hebben gedraaid. Een hacker moet bovendien fysieke toegang of toegang op afstand kunnen krijgen.

Trage reactie
“De bug is belangrijk, omdat hij elk gebruikersniveau mogelijk kan compromitteren en in root kan omzetten, wat het op zijn beurt mogelijk maakt om wachtwoorden van Keychain in platte tekst zichtbaar te maken. Het is ook mogelijk voor een indringer om een permanente rootkit te installeren”, zei Metasploit-bouwer HD Moore tegen Ars Technica.

“Ik geloof dat Apple dit meer serieus moet nemen, al ben ik niet verbaasd over de trage reactie, gezien hun voorgeschiedenis met de respons op kwetsbaarheden in de opensourcetools die zij meeleveren.”, aldus Moore.