פגם אבטחה חדש ב-macOS High Sierra התגלה על ידי חוקרים - כזה שיכול להעניק למשתמשים גישה לחשבון מנהל המערכת במחשב יעד, מה שמאפשר גישה לחשבון ללא צורך בסיסמה.
פורסם בטוויטר על ידי מהנדס התוכנה Lemi Orhan Ergin, הפגיעות דורשת כמה צעדים יחסית לביצוע, ומנצלת חלק בתפריט העדפות המערכת.AppleInsiderאינו מפרסם את מערך ההנחיות המלא למען האבטחה, אך בדיקות צוות אישרו כי היא פונקציונלית ופשוטה ביותר לביצוע.
יָקָר@AppleSupport, שמנו לב לבעיית אבטחה *עצומה* ב-MacOS High Sierra. כל אחד יכול להתחבר כ"שורש" עם סיסמה ריקה לאחר לחיצה על כפתור הכניסה מספר פעמים. האם אתה מודע לזה@תַפּוּחַ?
- Lemi Orhan Ergin (@lemiorhan)28 בנובמבר 2017
ברגע שבוצעו כמה שלבים,AppleInsiderהצוות גילה שחשבון "השורש" של מנהל המערכת ב-Mac mini עם macOS 10.13.1 המשמש לבדיקה מופעל, למרות שהושבת בעבר. לאחר השבתת החשבון, ביצוע אותן הוראות הפעיל מחדש את החשבון.
הפגם קיים בכל הגרסאות של High Sierra, כולל בטא 5 שיצאה מוקדם יותר ביום שלישי.
הענקת גישה לחשבון מנהל המערכת מאפשרת למשתמשים שליטה חופשית על שולחן העבודה של macOS, כולל היכולת להציג את כל הקבצים המאוחסנים במחשב בכל חשבונות המשתמש, לערוך את האישורים של משתמשים אחרים ולשנות הגדרות אחרות במכשיר.
לא ברור אם הודיעו לאפל על בעיית האבטחה לפני החשיפה של Ergin בטוויטר, אבל השאילתה שלו לתמיכה של Apple שואלת "האם אתה מודע לזה @Apple?" המצביע על כך שלא הושמעה אזהרה מוקדמת כזו.
למרות שהיא מהווה פגיעות גדולה, היא עדיין דורשת גישה למחשב באופן מקומי או עם חיבור לגישה מרחוק. זה גם צריך משתמש מורשה להיות מחובר כדי ליצור את חשבון השורש ללא סיסמה. השבתת חשבון האורח מספקת רמת הגנה, על ידי דרישה למשתמשים לקבל סיסמה מאובטחת ככל הנראה כדי לגשת למחשב מלכתחילה.
בדף תמיכה, אפל אומרת שמשתמש ה-Root אינו מיועד לשימוש שוטף, כאשר המשתמש מקבל הרשאות המאפשרות שינויים בקבצים הנדרשים על ידי המק.
ההגנה האולטימטיבית מפני הניצול היא להשבית את גישת האורח. ניתן להשיג זאת על ידי פתיחההעדפות מערכת, וכיבויאפשר לאורחים להיכנס למחשב זה
כדי להשבית את משתמש השורש, בחרהעדפות מערכת, ואז לחץמשתמשים וקבוצות.
לחץ על סמל המנעול, ואמת עם שם וסיסמה של מנהל מערכת. נְקִישָׁהאפשרויות כניסה
נְקִישָׁהלְהִצְטַרֵףאו עריכה.
נְקִישָׁהפתח את מדריך השירותים, ולחץ על סמל המנעול כדי לאמת. משוך למטה את תפריט עריכה ובחרהשבת את משתמש השורשזה יהיה באותו מקום כמוהפעל משתמש שורש.
אין דרך ליצור את חשבון ה-Root ממסך הכניסה. לאחר השבתת משתמש השורש, אלא אם כן יבוצעו שוב ההליך, המחשב מאובטח.
לחלופין, מ- Directory Utility, ניתן לשנות את סיסמת חשבון השורש. זה ימנע מהניצול לפעול שוב, אבל יכולות להיות השלכות לא מכוונות, והפעלת הזנת אישורי שורש בזמנים בלתי צפויים.
לְעַדְכֵּן:אפל פרסמה לאחר מכן הצהרה לiMore
"אנחנו עובדים על עדכון תוכנה כדי לטפל בבעיה. בינתיים, הגדרת סיסמת שורש מונעת גישה לא מורשית ל-Mac שלך. כדי להפעיל את משתמש הבסיס ולהגדיר סיסמה, אנא עקוב אחר ההוראות כאן:https://support.apple.com/en-us/HT204012M. אם משתמש בסיס כבר מופעל, כדי לוודא שלא מוגדרת סיסמה שחורה, אנא עקוב אחר ההוראות בסעיף "שנה את סיסמת השורש".
