Categories: Sicherheit

Thunderclap: Sicherheitslücke in Thunderbolt betrifft Windows, macOS und Linux

Forscher haben eine Schwachstelle namens Thunderclap entdeckt, die die von Intel in Zusammenarbeit mit Apple entwickelte Thunderbolt-Schnittstelle betrifft. Durch die Art, wie Thunderbolt-Peripheriegeräte mit Betriebssystemen wie Windows, macOS, Linux und FreeBSD interagieren dürfen, kann ein schädliches Gerät unter Umständen Daten aus dem Speicher des Betriebssystems auslesen, darunter auch vertrauliche Informationen wie Passwörter.

Die Anfälligkeit tritt demnach unter anderem bei „allen Apple-Laptops und –Desktops auf“, die seit 2011 produziert wurden. Einzige Ausnahme sei das 12-Zoll-MacBook. Angreifbar seien aber auch viele Laptops und einige Desktops mit Windows und Linux, die seit 2016 in Umlauf gebracht wurden – falls sie über einen Thunderbolt-Anschluss verfügen.

Thunderbolt ist eine Kombination aus DisplayPort und einer PCI-Express-Schnittstelle. Sie erlaubt es, Tatstaturen, Ladegeräte, Netzwerkkarten, Monitore oder Videoprojektoren mit einem Mac oder PC zu verbinden. Die Schwachstelle steckt den Forschern zufolge in allen drei Thunderbolt-Versionen, also auch im per USB-C genutzten Thunderbolt 3.

Thunderclap basiert den Forschern zufolge auf einer fehlerhaften Implementierung von Thunderbolt in ein Betriebssystem. So gewähren Windows, macOS und Linux einem Peripheriegerät am Thunderbolt-Anschluss stets Zugriff auf den Arbeitsspeicher, da sie die Geräte automatisch als vertrauenswürdig einstufen. Dadurch soll es möglich sein, bösartige Peripheriegeräte zu entwickeln, die neben ihrer eigentlichen Aufgabe auch Schadcode im Hintergrund ausführen – dank Direct Memory Access (DMA) sogar ohne jegliche Einschränkung durch das Betriebssystem.

Angriffe auf DMA mit speziell präparierten Peripheriegeräten sind eigentlich schon seit vielen Jahren bekannt. Deswegen wurde schon Anfang der 2000er Jahre eine IOMMU genannte Technik entwickelt. Sie ist allerdings bei Thunderbolt ab Werk deaktiviert. Thunderclap kann die Schutzfunktion jedoch umgehen, falls sie vom Nutzer aktiviert wurde, da der Schadcode im selben Speicherbereich ausgeführt wird, in dem das Betriebssystem Nutzerdaten ablegt.

Da es sich um einen „Designfehler“ handelt, arbeiteten die Forscher der University of Cambridge, der Rice University und von SRI International fast drei Jahre lang mit Hardware- und OS-Anbietern zusammen, um Patches zu entwickeln. Trotzdem sollen viele der von den Forschern beschriebenen Thunderclap-Angriffe weiterhin funktionieren.

Unter Windows 10 hat Microsoft den Forschern zufolge mit der Version 1803 den Support für IOMMU für Thunderbolt aktiviert. Vor Anfang 2018 veröffentlichte Hardware benötige indes ein Firmware-Update. Zudem seien einige der komplexeren Angriffe weiterhin möglich.

Apple soll ein spezifisches Problem mit Netzwerkkarten indes mit macOS 10.12.4 angesprochen haben. Thunderbolt-Geräte sollen aber weiterhin Zugriff auf jeglichen Netzwerktraffic sowie manchmal auch auf Tastatureingaben und Framebuffer-Daten haben. Linux wiederum soll mit der Kernel-Version 5 ab Werk IOMMU für Thunderbolt aktivieren.

Technische Details zu den Angriffen auf Thunderbolt haben die Forscher auf einer Website und in einem Blogeintrag veröffentlicht. Da die meisten Attacken weiterhin möglich sind, raten sie, Thunderbolt-Anschlüsse im BIOS beziehungsweise der UEFI-Firmware abzuschalten, um einen Missbrauch zu verhindern. Allerdings sollten Nutzer vorab abwägen, inwieweit für sie überhaupt ein Risiko besteht, sprich Unbefugte Zugang zu ihren Geräten haben, um diese mithilfe eines Peripheriegeräts anzugreifen.

Whitepaper

Studie zu Filesharing im Unternehmen: Kollaboration im sicheren und skalierbaren Umfeld

Im Rahmen der von techconsult im Auftrag von ownCloud und IBM durchgeführten Studie wurde das Filesharing in deutschen Unternehmen ab 500 Mitarbeitern im Kontext organisatorischer, technischer und sicherheitsrelevanter Aspekte untersucht, um gegenwärtige Zustände, Bedürfnisse und Optimierungspotentiale aufzuzeigen. Jetzt herunterladen!

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Kaspersky-Prognose: Raffiniertere Deepfakes und mehr Abo-Betrug

Die zunehmende KI-Verbreitung erschwere die Erkennung von Fälschungen. Gleichzeitig begünstige der Abo-Trend das Aufkommen neuer…

20 Stunden ago

Infineon und Quantinuum schließen Entwicklungspartnerschaft

Gemeinsam arbeiten die Konzerne an Ionenfallen, die in Hochleistungs-Quantencomputern zum Einsatz kommen sollen.

1 Tag ago

Forschende beheben SIEM-Defizite mit ML-Lösung

Neu entwickeltes Open-Source-System soll Signatur-Umgehungen durch adaptive Missbrauchserkennung transparent machen.

1 Tag ago

Google stopft vier Sicherheitslöcher in Chrome 131

Von mindestens einer Schwachstelle geht ein hohes Sicherheitsrisiko aus. Betroffen sind Chrome für Windows, macOS…

1 Tag ago

Bitcoin-Trading für Einsteiger und Profis mit Kraken

Digitale Währungen haben in nur kurzer Zeit die komplette Finanzlandschaft auf den Kopf gestellt. Mit…

1 Tag ago

Dezember-Patchday: Google stopft schwerwiegende Löcher in Android

Mindestens eine Anfälligkeit erlaubt eine Remotecodeausführung. Angreifbar sind alle unterstützten Versionen von Android.

2 Tagen ago