MacOS: Apple patcht MacOS Sierra und El Capitan gegen Meltdown

Und sie kommen doch noch: Apple hat die beiden letzten Versionen von MacOS gegen Meltdown gepatcht. Außerdem gibt es eine Reihe von Sicherheitslücken im aktuellen Kernel, die Patches sollten schnell eingespielt werden.

Artikel veröffentlicht am 24. Januar 2018, 9:41 Uhr, Hauke Gierow

Der El Capitan im Yosemite-Nationalpark (Bild: Mike Murphy/CC-BY-SA 3.0)

Apple hat überraschend zwei alte Versionen seiner Desktop-Betriebssysteme mit Patches gegen Meltdown versehen. Die Sicherheitslücke ermöglicht Angreifern, Inhalte des CPU-Speichers auszulesen, darunter möglicherweise vertrauliche Informationen (CVE-2017-5754). Bei Meltdown werden möglicherweise zu einem späteren Zeitpunkt gebrauchte Inhalte aus dem Arbeitsspeicher in einen Cache der Intel-CPU geladen, sie können dort von Angreifern ausspioniert werden.

Meltdown wurde separat durch Jann Horn von Google sowie Moritz Lipp, Michael Schwarz, Stefan Mangard und Daniel Gruß von der TU Graz entdeckt. Bereits wenige Tage nach Veröffentlichung der Sicherheitslücke hatte Apple Updates für die aktuelle Version von MacOS - High Sierra - veröffentlicht.

Mit dem jetzt veröffentlichten Paket werden die Versionen 10.12.6 und 10.11.6 abgesichert. Während die verwandte Spectre-Sicherheitslücke als schwer auszunutzen gilt, existieren für Meltdown bereits erste Proof-of-Concept-Versionen. Mit Exploits im Umlauf ist daher bald zu rechnen.

Letzter Patch für El Capitan aus dem Jahr 2016

Das bislang letzte Update für El Capitan wurde am 18. Juli 2016 veröffentlicht, Sierra wurde zuletzt am 19. Juli 2017 gepatcht. Ältere Releases erhalten in der Regel nur noch Patches für kritische Sicherheitslücken. Unklar ist, ob alle jetzt gepatchten Versionen die Process-Context-IDs der CPU-Generationen ab Skylake unterstützen. Da Apple nur minimale Performanceverluste verspricht, ist davon auszugehen.

Das Update-Paket schließt weitere Sicherheitslücken in der aktuellen Version High Sierra (10.13.2) und Sierra. Beide Versionen bekommen Patches für die Funktionen Quartzcore, Link Presentation, einen Fehler im Zertifikatsmanagement und ein Problem im Wi-Fi-Stack. In beiden Versionen wird zudem ein Speicherfehler in Apples Kernel behoben, der eine beliebige Codeausführung mit Kernelprivilegien ermöglichte. High Sierra bekommt darüber hinaus exklusiv Patches für mehrere Fehler im Kernel, in der Sandbox und in Webkit.