Wiedergabe reicht aus: MacOS-Lücke ermöglicht Schadcode-Attacke per Video
Sicherheitsforscher entdeckten eine Schwachstelle im Apple-Betriebssystem MacOS, die es Angreifern ermöglicht, auf anfälligen Systemen Schadcode auszuführen. Auf dem jeweiligen Zielsystem muss dafür lediglich ein Video im MOV-Dateiformat abgespielt werden, was beispielsweise über eine Webseite oder durch Öffnen einer entsprechenden Datei mit einer lokalen Anwendung erfolgen kann.
Nach Angaben der Zero Day Initiative(öffnet im neuen Fenster) (ZDI) ist die Sicherheitslücke auf einen Prozess namens VTDecoderXPCService zurückzuführen, der unter MacOS für das Dekodieren von multimedialen Inhalten verantwortlich ist. Das Fehlen einer ordnungsgemäßen Validierung kann darin in einem Schreibvorgang über das Ende eines zugewiesenen Puffers hinaus münden.
Die Folge ist, dass ein Angreifer beliebigen Code im Kontext des angemeldeten Benutzers ausführen und somit beispielsweise eine Malware nachladen und Daten exfiltrieren kann. Laut Apple(öffnet im neuen Fenster) kann die Sicherheitslücke aber ebenso dazu führen, dass die Anwendung, die die jeweilige MOV-Datei abspielt, lediglich unerwartet beendet wird.
Schadcode-Ausführung per Video
Die genannte Schwachstelle ist als CVE-2024-27829(öffnet im neuen Fenster) registriert und nach Angaben der ZDI mit einem CVSS-Wert von 8,8(öffnet im neuen Fenster) und folglich mit einem hohen Schweregrad bewertet. Der Angriff könne demnach ohne vorherige Zugriffsrechte aus der Ferne ausgeführt werden und zeichne sich durch eine geringe Komplexität aus.
Lediglich eine Nutzerinteraktion ist erforderlich, etwa durch das Öffnen einer speziell präparierten Videodatei oder eines Links zu einer bösartigen Webseite, auf der ein entsprechendes Video eingebettet ist.
An Apple gemeldet wurde die Sicherheitslücke laut der ZDI bereits am 8. März. Ein Patch steht seit dem 13. Mai bereit und wurde mit MacOS Sonoma 14.5 ausgeliefert. Das Update sollte zeitnah installiert werden, sofern noch nicht geschehen. Behoben habe Apple das Problem nach eigenen Angaben durch "eine verbesserte Speicherbehandlung" . Die Offenlegung der Schwachstelle erfolgte im Rahmen des Responsible-Disclosure-Verfahrens erst am 26. Juli.