1. Reverse Engineering >
  2. Exploits >
  3. Apple OS X/macOS bis 10.12 Disk Utility Password Information Disclosure

ArabicEnglishFrenchGermanGreekItalianJapaneseKoreanPersianPolishPortugueseRussianSpanishTurkishVietnamese
Anzeige

Apple OS X/macOS bis 10.12 Disk Utility Password Information Disclosure

Exploits vom 05.10.2017 um 00:00 Uhr | Quelle vuldb.com

Eine problematische Schwachstelle wurde in Apple OS X sowie macOS bis 10.12 gefunden. Es geht hierbei um eine unbekannte Funktion der Komponente Disk Utility. Dank der Manipulation mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle (Password) ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-200. Auswirken tut sich dies auf die Vertraulichkeit.

Die Schwachstelle wurde am 05.10.2017 durch Matheus Mariano als HT208165 in Form eines bestätigten Security Updates (Website) herausgegeben. Auf support.apple.com kann das Advisory eingesehen werden. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2017-7149 gehandelt. Die Schwachstelle ist relativ beliebt, und dies trotz ihrer hohen Komplexität. Umgesetzt werden muss der Angriff lokal. Das Ausnutzen erfordert eine einfache Authentisierung. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt.

Er wird als proof-of-concept gehandelt. Der Preis als 0-Day war auf dem Schwarzmarkt etwa $5k-$25k.

Ein Aktualisieren auf die Version 10.13 vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Apple hat demzufolge sofort gehandelt.

Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityTracker (ID 1039513) dokumentiert. Von weiterem Interesse können die folgenden Einträge sein: 107592.

CVSSv3

VulDB Base Score: 3.3
VulDB Temp Score: 3.0
VulDB Vector: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N/E:P/RL:O/RC:C
VulDB Zuverlässigkeit: High

CVSSv2

VulDB Base Score: 1.5 (CVSS2#AV:L/AC:M/Au:S/C:P/I:N/A:N)
VulDB Temp Score: 1.2 (CVSS2#E:POC/RL:OF/RC:C)
VulDB Zuverlässigkeit: High

CPE

Exploiting

Klasse: Information Disclosure / Password (CWE-200)
Lokal: Ja
Remote: Nein

Verfügbarkeit: Ja
Zugang: öffentlich
Status: Proof-of-Concept

Preisentwicklung: gleichbleibend
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt

Upgrade: OS X/macOS 10.13

Timeline

05.10.2017 Advisory veröffentlicht
05.10.2017 Gegenmassnahme veröffentlicht
05.10.2017 SecurityTracker Eintrag erstellt
08.10.2017 VulDB Eintrag erstellt
08.10.2017 VulDB letzte Aktualisierung

Quellen

Advisory: HT208165
Person: Matheus Mariano
Status: Bestätigt

CVE: CVE-2017-7149 (mitre.org) (nvd.nist.org) (cvedetails.com)

SecurityTracker: 1039513 - Apple macOS/OS X Disk Utility Hint Field Lets Local Users View the Password for an Encrypted APFS Volume

Siehe auch: 107592

Eintrag

Erstellt: 08.10.2017
Eintrag: 77.2% komplett
...

Komplette Webseite öffnen

Newsbewertung

Kommentiere zu Apple OS X/macOS bis 10.12 Disk Utility Password Information Disclosure