8 replies to this topic

[Pichfl]

Quote

Apple Remote Desktop Root Privilege Escalation Vulnerability

Ein Fix wurde bereits gefunden, man muss ihn aber von Hand im Terminal ausführen.

Step bei Step:
1. Terminal starten (/Programme/Dienstprogramme)
2. Folgendes Kommando eingeben:

osascript -e 'tell app "ARDAgent" to do shell script "chmod 0555 /System/Library/CoreServices/RemoteManagement/ARDAgent.app/Contents/MacOS/ARDAgent"';

3. Mit folgendem Befehl prüfen:

osascript -e 'tell app "ARDAgent" to do shell script "whoami"';

4. Wenn als Ausgabe (dauert eventuell einen Moment) im Terminal etwas anderes als "root" erscheint (um genau zu sein sollte Kurzname da stehen), ist die Lücke fürs erste gefixt.

Security!

[Arleiygn]

Empfiehlt sich das für alle, oder nur für die Herren Entwickler?

[Pichfl]

Das ist eine ganz "normale" Sicherheitslücke die schon für den ersten Trojaner genutzt wird, es wäre also ratsam, dass das JEDER macht. terminal auf, 2x copy/paste und [enter] und schon ist man geschützt.

[beaver]

pichfl, on 08/06/28@12:06, said:

[...] und schon ist man geschützt.

aber nur bis man das nächste mal die rechte reparieren lässt.
dann muss man das ganze wiederholen.

[Pichfl]

Jo, leider. Das sollte aber eigentlich vorher klar sein. Hoffentlich kommt Apple bald mit nem Patch.

[Hirogen]

1. eigentlich viel aufregung um nix, insofern man vorher sein hirn einschaltet
2. einfach in den den systemeinstellungen > sharing einen haken vor entfernte verwaltung setzen ohne rechte zu vergeben reicht auch, ganz ohne terminal gedöns

[Pichfl]

@Hiro: nope reicht nicht aus weil der Service im Gegensatz zu dem was eigentlich sein sollte volle root-rechte besitzt, was du mit dem haken auch nicht änderst.

[Hirogen]

root hin root her, das ist nicht der springende punkt. der dienst arbeitet mit root rechten ja und, um die lücke zu schließen brauch man nur dafür sorgen das der dienst gar nicht erst arbeitet bzw. ihm vorgegeben wird was er arbeiten DARF trotz root. Standardmäßig ist nix offen, die Sicherheitslücke geht davon aus, dass der ARDAgen ohne Wissen des Nutzers gestartet wird (beispielsweise durch ein Schadscript) und der dann komplett offen ist. Wenn man den Haken setzt und nix erlaubt soll nix passieren. wer ganz sicher gehen will und völlig paranoid ist kann natürlich auch gleich die ARDAgent.app löschen, dann kann 100% nix passieren

alles in allem ist das eh ein theoretische diskussion erst angefacht von dem hacker der rumgeweint hat und Intego die ihren kram verkaufen wollen.

[Arleiygn]

Versteh kein Wort hier, ihr Freaks! Hab das nu halt ma gemacht, danke für den Hinweis, jedenfalls.