macOS: jest już łatka uniemożliwiająca logowanie na roota bez hasła
Wczoraj głośno zrobiło się o zaskakująco łatwej w wykorzystaniu luce w bezpieczeństwie w komputerach Apple. Po wyświetleniu żądania hasła do uprawnień root, wystarczyło kilkukrotnie wcisnąć enter przy pustym polu hasła, aby zyskać najwyższe uprawnienia. Apple wydało już łatkę, która rozwiązuje ten problem.
29.11.2017 | aktual.: 30.11.2017 12:17
Luka, która wymagała tak małego wysiłku ze strony atakującego z fizycznym dostępem do maszyny, jest niewątpliwie jedną z największych w ostatnich latach wpadek Apple w zakresie bezpieczeństwa. PIkanterii dodaje fakt, że o zagrożeniu przed dwoma tygodniami pisano już na na forach Apple. Tak naprawdę łatkę otrzymujemy zatem nie zaledwie dobę po ujawnieniu podatności (co byłoby wszak godne pochwały), lecz dobę po medialnym nagłośnieniu sprawy, co niestety wypada wizerunkowo znacznie gorzej.
W końcu jednak łatka została wydana pod nazwą Security Update 2017-001. Z jej opisu dowiadujemy się, że podatne na ominięcie konieczności podawania hasła były maszyny z systemem nowszym niż macOS Sierra 10.12.6. Według klasyfikacji Common Vulnerabilities and Exposures, załatana właśnie luka otrzymała sygnaturę CVE-2017-13872. Instalacje udostępnionej przez Apple łatki nie wymaga restartu komputera.
Cała sytuacja oczywiście jeszcze wczoraj stała się okazją do złośliwych żartów, które często nawiązywały do magicznej otoczki Apple: oto korporacja, po latach żmudnego wprowadzania haseł wreszcie wspaniałomyślnie rozwiązała ten problem! W parze z żartami idą całkiem poważne diagnozy i są one związane nie tyle z łatwością przejęcia konta roota, co z czasem reakcji. Firma sprzedająca sprzęt premium nie tylko pod względem wykonania, ale ponoć także bezpieczeństwa, od 13 listopada, a zatem 16 dni, nie zareagowała na zgłoszenia na forum.
Aby zainstalować łatkę, wystarczy włączyć menu Launchpad i kliknąć ikone App Store. W nowym oknie należy przejść do kategorii Uaktualnienia i tam kilknąć przycisk Uaktualnienia zabezpieczeń (Security Update 2017-001). Do zainstalowania łatki nie będzie konieczny restart komputera.
