Nach Microsoft folgt Apple: Google enthüllt Sicherheitslücke in OS X

Nach Microsoft ist jetzt Apple dran: Google hat nach Ablauf einer Schutzfrist von 90 Tagen eine Sicherheitslücke in OS X öffentlich gemacht. Wann es von Apple einen Patch geben wird, ist nicht bekannt.

Artikel veröffentlicht am 21. Januar 2015, 13:00 Uhr, Ingo Pakalski

Google meldet Sicherheitsloch in Apples OS X. (Bild: Justin Sullivan/Getty Images)

Google hat vor 90 Tagen eine Sicherheitslücke in OS X entdeckt und den Fehler an Apple gemeldet. Nach Ablauf dieser Schutzfrist veröffentlicht Google jetzt den Fehler. Bisher hat Apple nicht darauf reagiert, und es gibt keinen Patch. Der Fehler wurde für OS X 10.9.5 bestätigt, in OS X 10.10 alias Yosemite ist er weniger schwerwiegend. Wie üblich bei Google wurde der Fehler mit passendem Exploit-Code veröffentlicht, um das Sicherheitsloch zu belegen.

Fehler umgeht Sandbox

Der Fehler in OS X 10.9.5 betrifft den System-Daemon Networkd, der eigentlich in einer Sandbox läuft. Auf Networkd können andere Komponenten des Betriebssystems zugreifen. Das Sicherheitsleck erlaubt es, dass Angreifer etwa über den Safari-Browser oder den Zeit-Daemon ntpd Programmcode ausführen können, indem die Sandbox umgangen wird. Dabei läuft Networkd nicht mit allen Systemrechten, so dass die Sicherheitslücke nur mit den Rechten des System-Daemon ausgenutzt werden kann.

Der Fehler in Networkd soll in OS X 10.10 weniger ausgeprägt sein, weil Apple den Dienst besser abgesichert hat. Derzeit ist nicht bekannt, wann Apple einen Patch für das Sicherheitsloch veröffentlicht.

Google meldete drei Windows-Fehler in drei Wochen

Google hatte kürzlich bereits Details zu einer dritten Sicherheitslücke in Windows veröffentlicht, bevor es einen Patch gab. In drei Wochen war es der dritte Fall. Als die Details zur zweiten Sicherheitslücke veröffentlicht wurden, hatte Microsoft mit einem langen Blog-Beitrag dagegengehalten. Zwischen Google und Microsoft gibt es unterschiedliche Vorstellungen, wie mit gefundenen Sicherheitslücken umgegangen werden sollte.

Google agiert nach der Richtlinie des Responsible Disclosure, wonach gefundene Sicherheitslücken innerhalb einer Frist geheim gehalten und dann veröffentlicht werden. Bei Google beträgt die Frist 90 Tage, danach werden alle Informationen dazu öffentlich gemacht.

Der Windows-Hersteller möchte hingegen, dass alle Firmen nach der von Microsoft erdachten Richtlinie Coordinated Vulnerability Disclosure handeln. Diese sieht vor, dass Sicherheitslücken generell erst dann öffentlich gemacht werden, wenn ein Patch zur Verfügung steht. Im Fall der zweiten Sicherheitslücke in Windows bat Microsoft Google, mit der Veröffentlichung der Sicherheitslücke zwei Tage zu warten, worauf Google jedoch nicht einging. Nach Aussage von Google gelten für alle Hersteller dieselben Regeln.