Screensharing-Lücke in macOS missbraucht

Das niederländische NCSC hat aktive Angriffe auf eine von Apple gepatchte Schwachstelle in der macOS-Screen-Sharing-Unterstützung festgestellt. Betroffen sind Systeme, auf denen Bildschirmfreigabe oder entfernte Verwaltung aktiviert ist und die aus dem Internet erreichbar sind. Für Betreiber heißt das: Fernzugriff bleibt ein klarer Angriffsvektor, wenn er offen erreichbar und nicht sauber abgesichert ist.

Was an der Lücke praktisch relevant ist

Die Schwachstelle erlaubt Angreifern von außen, komplette Macs ohne Zugangsdaten und mit Administrationsrechten fernzusteuern. Das ist nur dann möglich, wenn Screensharing explizit aktiviert ist und die Maschine aus dem Internet erreichbar ist, etwa über Port-Weiterleitungen. Das Problem liegt damit nicht nur in der Lücke selbst, sondern in der Kombination aus aktivem Fernzugang und erreichbarem Dienst. Für die Praxis bleibt die Frage, wie solche Zugänge im Betrieb konsequent begrenzt und überwacht werden.

Was bisher bekannt ist

Laut NCSC wurden Benachrichtigungen zu mehreren Systemen gemeldet, auf denen Port 5900 aus dem Internet zugänglich war. Dort sei ein aktiver Missbrauch der Schwachstelle beobachtet worden. Die Angreifer hätten Root-Zugriff erhalten und anschließend einen Krypto-Minter für Monero installiert. Details zu betroffenen Institutionen oder konkreten Nutzern nennt die Behörde nicht. Apple hatte die Lücke bereits in der vorvergangenen Woche gepatcht und dafür außer der Reihe Updates veröffentlicht.

Begriffe und Einordnung

In dem Zusammenhang sind drei Punkte wichtig: Screen-Sharing meint die Bildschirmfreigabe oder entfernte Verwaltung auf dem Mac. Port 5900 ist in der Meldung der erreichbare Zugangspunkt aus dem Internet. Root-Zugriff bedeutet volle administrative Kontrolle über das System. Das BSI und CERT Bund stufen die Schwachstelle mit CVSS-Base-Score und CVSS-Temporal-Score jeweils als Gefahrenstufe „hoch“ ein und verweisen ebenfalls auf die Möglichkeit eines Remoteangriffs.

Welche Maßnahmen genannt werden

Das NCSC empfiehlt ein Update auf macOS 14.8.9 für Sonoma, 15.7.9 für Sequoia oder 26.6.1 für Tahoe. Nach Angaben der Behörde wurden Updates veröffentlicht, die sicherstellen, dass nur gültige Anmeldeinformationen akzeptiert werden. Apple hat die Gefahr so hoch eingeschätzt, dass ein Update außer der Reihe erschien. Parallel dazu hat das BSI samt CERT Bund offiziell vor der Lücke gewarnt. Wer sich mit ähnlichen Fragen rund um Update-Strategien und Fernzugriffe beschäftigt, findet im Austausch oft schneller belastbare Einordnungen – auch über die Veranstaltungen von The Circle of Security Professionals.

Warum der Fall für die Praxis wichtig bleibt

Ein Sicherheitsunternehmen hatte bereits in der Vorwoche mitgeteilt, dass es innerhalb von vier Stunden aus Apples Patch einen Exploit bauen konnte. Das zeigt, wie schnell veröffentlichte Patches selbst zum Ausgangspunkt für Missbrauch werden können. Unklar ist laut Quelle, wie der nun verwendete Exploit entstanden ist. In der Meldung wird außerdem darauf hingewiesen, dass moderne KI-Systeme Reverse Engineering solcher Lücken erleichtern können, sobald ein Patch publiziert wurde, besonders bei einem Update für nur eine einzige Lücke.

Im Kern geht es um einen klar abgrenzbaren, aber ernst zu nehmenden Fernzugang über macOS. Wer Bildschirmfreigabe oder entfernte Verwaltung nutzt, muss die Erreichbarkeit und die Update-Lage sauber im Blick behalten. Wie andere inhabergeführte Errichterbetriebe solche Risiken einordnen, diskutiert sich oft präziser im Austausch als allein – genau dafür steht The Circle of Security Professionals, wenn Sie den Kreis der Teilnehmenden und die Arbeitsweise kennenlernen möchten.

Quelle: Heise