Unsichere Apps Cisco Talos entdeckt Schwachstellen in Microsoft-Apps für macOS

Anbieter zum Thema

Cisco Systems GmbH (Switzerland)

Sick AG

FAULHABER SA

Security-ForscherInnen von Cisco Talos haben Schwachstellen in acht Microsoft-Anwendungen für das macOS-Betriebssystem identifiziert. Über sie könnten AngreiferInnen das Berechtigungsmodell des Betriebssystems umgehen, indem sie vorhandene App-Berechtigungen ausnutzen, ohne BenutzerInnen zu einer zusätzlichen Überprüfung aufzufordern.

Die Talos-ForscherInnen konnten zeigen, dass es trotz der starken Absicherung von macOS möglich ist, bösartige Bibliotheken in Microsoft-Apps einzuschleusen, um deren Berechtigungen zu erlangen. AngreiferInnen hätten somit die Option, BenutzerInnen auszuspionieren oder sensible Informationen zu stehlen.

Zum Beispiel könnten sie E-Mails vom Benutzerkonto senden, ohne dass AnwenderInnen dies bemerken. Es liessen sich ohne jegliche Freigabe durch NutzerInnen Audiomitschnitte erstellen, Bilder aufnehmen oder Videos aufzeichnen. Microsoft betrachtet diese Gefahren aktuell als geringes Risiko, hat allerdings bereits einige Anwendungen aktualisiert.

Bildergalerie

Bibliotheksinjektion

macOS nutzt standardmässig starke Sicherheitstechnologien, um den Zugriff auf Daten zu begrenzen und Anwendung widerstandsfähiger gegen Angriffe zu machen. Eine davon, die «hardened runtime», beschränkt das Laden von Bibliotheken auf solche, die vom Entwickler der Anwendung oder von Apple signiert wurden. Allerdings müssen einige Anwendungen das Laden auch unsignierter Bibliotheken von Drittanbietern erlauben, um Plugins zu unterstützen. Über Code Injection bei einer Bibliothek lassen sich jedoch die Rechte anderer Anwendungen durch Unbefugte ausnutzen. Im Fall einer Bibliotheksinjektion, im Kontext von macOS auch als «Dylib Hijacking» bekannt, wird der Code in den laufenden Prozess einer Anwendung eingeschleust. Das ist vor allem dann kritisch, wenn Anwendungen – wie im Fall der betroffenen Microsoft-Apps – das Recht «com.apple.security.cs.disable-library-validation» besitzen.

Angriffsmöglichkeiten vor und nach der Bibliotheksinjektion

Damit dürfen sie Bibliotheken von Drittanbietern laden, ohne eine Signaturvalidierung durchzuführen. Obwohl Microsoft die Gefahr als gering einstuft, wurden von den acht Anwendungen, die Cisco Talos gemeldet hat, folgende vier bereits aktualisiert und besitzen diese Berechtigung nicht mehr:

• Microsoft Teams

• app (Microsoft Teams Helper)

• microsoft.teams2.modulehost.app Helper, jetzt umbenannt in Microsoft Teams ModuleHost.app

• Microsoft OneNote

Die restlichen vier Anwendungen sind jedoch weiterhin anfällig:

• Microsoft Excel

• Microsoft Outlook

• Microsoft PowerPoint

• Microsoft Word

«Nach unseren Informationen sind die einzigen Plug-ins, die für Microsoft-Apps in macOS verfügbar sind, webbasiert und als Office-Add-ins bekannt», sagt Thorsten Rosendahl, Technical Leader von Cisco Talos in Deutschland. «Es stellt sich generell die Frage, ob die Option, die Bibliotheksvalidierung zu deaktivieren, überhaupt nötig ist. Durch diese Berechtigung setzt Microsoft seine AnwenderInnen unnötigen Risiken aus.»

Mehr Informationen zu den Schwachstellen in den Microsoft-Produkten und dem Sicherheitsmodell von macOS erfahren Sie in diesem Blog-Beitrag.

Cisco Talos ist eines der weltweit grössten Forschungsteams für Threat Intelligence. Talos-Lösungen erkennen mehr als 800 Milliarden Sicherheitsereignisse pro Tag, 2'000 neue Malware-Samples pro Minute sowie 2'000 bösartige Domains pro Sekunde.

(ID:50140584)