Apple patcht Thunderstrike-Lücke

Die jüngste Betaversion von OS X, 10.10.2, enthält einen Patch für die im Dezember bekannt gewordenen Thunderstrike-Lücke. Das berichtet iMore. Bisher hatte es nur einen teilweisen Workaround für den iMac mit 5K-Retina-Display und den Mac Mini von 2014 gegeben. Zugleich patcht Apple in der Beta drei von Google gemeldete Zero-Day-Lücken. OS X 10.10.2 ist seit November im Test.

Die Thunderstrike-Lücke hatte Sicherheitsforscher Trammell Hudson gemeldet, der für seinen Arbeitgeber die Sicherheit von Macbooks im Hinblick auf eine denkbare Anschaffung überprüfen sollte. Er fand dabei heraus, dass sich über die Thunderbolt-Schnittstelle eine Möglichkeit ergibt, während des Bootvorgangs Code auszuführen: „Thunderbolt öffnet den PCIe-Bus für die Außenwelt, und während des Boots fragt die EFI-Firmware angeschlossene Geräte, ob irgendwelche Option-ROMs ausgeführt werden sollen.“

Apples in 10.10.2 enthaltenen Bugfix hat Hudson noch nicht untersucht. Einen zuvor auf dem Chaos Communication Congress diskutierten Ansatz kritisiert er aber jetzt gegenüber Ars Technica. Der beabsichtigte Patch habe zwar einen Austausch des BIOS verhindert, aber Option-ROMs nicht grundsätzlich abgeschafft, was ihm Sorgen mache.

Die drei laut iMore ebenfalls in OX X 10.2.2 behobenen Sicherheitslücken hatte Google im Oktober an Apple weitergegeben. Entsprechend den Regeln seiner Zero-Day-Initiative veröffentlichte es sie drei Monate später, obwohl kein Patch erschienen war. In einem ähnlichen Fall war es kürzlich zu einem Streit zwischen Microsoft und Google gekommen.

Alle drei Schwachstellen lassen sich nicht aus der Ferne nutzen. Der Angreifer muss bereits Zugang zum System haben. Eine der Schwachstellen erlaubt es ihm aber in diesem Fall, seine Rechte zu erhöhen.

Die Beta von OS X 10.10.2 war vor vier Tagen erschienen. Build 14C106a steht Teilnehmern des Betatestprogramms und registrierten Entwicklern zur Verfügung. Eine bereits vorhandene ausführliche Beschreibung und eine deutsche Übersetzung des englischen Texts lassen vermuten, dass das Update bald regulär ausgeliefert werden wird.

[mit Material von Adrian Kingsley-Hughes, ZDNet.com]

Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.