Der türkische Entwickler Lemi Orhan Ergin hat Apple öffentlich via Twitter auf eine schwere Sicherheitslücke aufmerksam gemacht. In offenbar jeder macOS-High-Sierra-Version (10.13) – inklusive Build 10.13.1 als auch der Betaversion von macOS 10.13.2 hat Apple vergessen, das Administrator-Konto mit einem Passwort zu versehen respektive zu deaktivieren. Durch wenige Klicks ist es auch Nutzern ohne Admin-Rechte möglich, sich zum Administrator zu machen. Einzige Voraussetzung: Sie müssen Zugriff auf einen beliebigen Account haben.

Zur Ausnutzung der Sicherheitslücke müssen Nutzer sich lediglich in die Systemeinstellungen begeben und die Benutzerverwaltung („Benutzer und Gruppen“) oder eine andere Option öffnen, in der die Passworteingabe erforderlich ist. Klickt ihr auf das Schlosssymbol in der linken Ecke, müsstet ihr den vorgegebenen Benutzernamen gegen „root“ austauschen – das Passwortfeld bleibt leer. Nach zweimaliger Ausführung dieser Aktion seid ihr Admin.

Wurde diese Aktion einmalig durchgeführt, ist es anschließend außerdem möglich, sich auf einem gesperrten Rechner anzumelden. Beim Anmelde-Prompt muss das Feld „Andere“ ausgewählt und anschließend „root“ eingetippt werden.

Apple sei die Sicherheitslücke bereits bekannt und arbeite an einem Patch, berichtet Techcrunch. Bis der „Anfängerfehler“ behoben ist, empfiehlt Apple das Root-Passwort selbst zu ändern. Hierfür muss das Root-Konto zuerst aktiviert werden – wie das Ganze vonstatten geht, erklärt das Unternehmen in einem detaillierten Support-Dokument.

Es ist nicht der erste große Fehler, den Apple bei macOS High Sierra geliefert hat. Wurde ein Passwort für die neuen AFPS-Partitionen vergeben, konnte dieses in der Merkhilfe mit einem Klick angezeigt werden. Eine weitere Lücke, bei der Apps bestimmten Voraussetzungen den Schlüsselbund des OS zugreifen konnten, wurde in macOS 10.12 und 10.11 bis jetzt nicht behoben.

Dass Orhan die macOS-Sicherheitslücke via Twitter an Apple mitgeteilt hat, kann als grob fahrlässig betrachtet werden, auch wenn der Fehler seit dem 13. November im Support-Forum diskutiert wird. Denn auf diesem Wege wird die kritische Sicherheitslücke bekannter als sie sein sollte. Auf der anderen Seite scheint auch Apple mit dem Problem lax umgegangen zu sein, ansonsten hätte das Unternehmen die kritische Lücke womöglich längst geschlossen.