Sicherheitsforscher knackt macOS über Microsoft-Office-Makros

Der frühere NSA-Hacker Patrick Wardle hat eine schwerwiegende Sicherheitslücke in macOS entdeckt. Wie Motherboard berichtet, ist es ihm gelungen, über eine Microsoft-Office-Datei, die ein Makro enthält, die vollständige Kontrolle über Apples Desktop-Betriebssystem zu erlangen. Ein Opfer muss die speziell präparierte Datei lediglich mit einem Doppelklick öffnen – eine weitere Interaktion mit dem Nutzer findet nicht statt.

Wardle war nach eigenen Angaben in der Lage, alle von Microsoft eingeführten Sicherheitsvorkehrungen zu umgehen. Ausgehend von einer Schwachstelle in macOS entwickelte der Sicherheitsforscher eine Exploit-Kette, die Sogar Apples Sicherheits-Framework aushebelte, um Code einzuschleusen und sogar außerhalb der Sandbox auf einem vollständig gepatchten macOS Catalina auszuführen.

Um unter macOS ein Makro ausführen zu können, muss ein Office-Dokument mit einer Microsoft-Anwendung geöffnet werden. Diese Anwendung weist den Nutzer darauf hin, dass ein Makro aktiviert werden soll, was explizit bestätigt werden muss. Zudem führt macOS die Office-Anwendungen in einer Sandbox aus. Darüber hinaus beschränkt Apple die Ausführung von Anwendungen auf von Apple signierte Apps. All diese Sicherheitsvorkehrungen konnte Wardle umgehen.

Für seinen Angriff benutzte er ein eigentlich veraltetes Dateiformat, das Office jedoch aus Gründen der Abwärtskompatibilität weiterhin unterstützt. Dateien im SLK-Format sind jedoch von der Warnung vor Makros ausgenommen – Office führt darin enthaltene Makros ohne Rückfrage aus.

Darüber hinaus griff Wardle auf einen Bug zurück, den ein anderer Forscher entdeckt hatte, um die Office-Sandbox zu verlassen. Die Sandbox verlässt Wardle schließlich mit einer ZIP-Datei, die macOS dann ebenfalls ohne weitere Rückfrage beim Nutzer verarbeitet.

Allerdings wird diese Exploit-Kette nicht in einem Schritt ausgeführt. Jede Stufe der Kette setzt voraus, dass sich das Opfer erneut bei seinem Mac anmeldet – also insgesamt sind zwei Neuanmeldungen erforderlich, um die vollständige Kontrolle zu übernehmen.

Apple und Microsoft wurden bereits vor Monaten über das Sicherheitsproblem informiert. Inzwischen liegen laut Wardle Patches für Office für Mac und auch macOS 10.15 vor. Der Forscher kritisierte jedoch mangelndes Interesse seitens Apple an seiner Arbeit.