Microsoft enthüllt weitere Details zu einer möglicherweise schwerwiegenden Sicherheitslücke in Apple macOS

Microsoft hat eine detaillierte technische Analyse zu CVE-2024-44243 veröffentlicht, einer mittelschweren macOS-Sicherheitslücke, die es Angreifern ermöglichen könnte, "nicht löschbare" Malware zu verbreiten.

macOS-Geräte sind mit dem System Integrity Protection (SIP) (auch bekannt als "rootless") ausgestattet, einer Sicherheitsfunktion, die kritische Systemdateien und -prozesse vor Änderungen schützen soll, selbst durch Benutzer mit Root-Rechten. Sie wurde erstmals in macOS El Capitan eingeführt und soll den Zugriff auf Systemverzeichnisse einschränken und die Codeintegrität durchsetzen.
SIP kann für bestimmte Aufgaben vorübergehend deaktiviert werden, aber dazu muss das System im Wiederherstellungsmodus neu gestartet und Terminalbefehle verwendet werden.

Auswirkungen auf die gesamte Betriebssystemsicherheit

Der Fehler ermöglicht es lokalen Angreifern mit Root-Rechten, Angriffe mit geringer Komplexität durchzuführen, durch die sie die SIP-Root-Einschränkung umgehen können, selbst wenn sie keinen physischen Zugriff auf den Zielendpunkt haben. Dadurch können sie Rootkits installieren, Malware, die "nicht gelöscht werden kann", und das TCC-Sicherheitsframework (Transparency, Consent, and Control) von Apple umgehen.

In seinem Bericht beschreibt Microsoft, wie gefährlich die Umgehung von SIP sein kann: "Die Umgehung von SIP beeinträchtigt die Sicherheit des gesamten Betriebssystems und kann schwerwiegende Folgen haben. Dies unterstreicht die Notwendigkeit umfassender Sicherheitslösungen, die anomales Verhalten von speziell berechtigten Prozessen erkennen können", so Microsoft.

Die Herausforderung, solche Bedrohungen zu erkennen, wird durch die inhärenten Einschränkungen der Sichtbarkeit auf Kernel-Ebene unter macOS noch verschärft, was es für herkömmliche Sicherheitsmaßnahmen schwierig macht, diese ausgeklügelten Angriffe zu erkennen und abzuwehren.

Der Fehler wurde erstmals Ende 2024 sowohl von Microsoft als auch von einem unabhängigen Sicherheitsforscher, Mickey Jin, entdeckt und von beiden verantwortungsbewusst an Apple weitergegeben, das ihn am 11. Dezember 2024 durch macOS Sequoia 15.2 behebt.

Obwohl es keine Hinweise auf Missbrauch in der Praxis gibt, wird Benutzern dennoch empfohlen, den Patch so schnell wie möglich zu installieren.