Sicherheitslücke in Microsoft-Apps ermöglicht das Ausspionieren von macOS
Eine Sicherheitslücke in Microsoft-Apps ermöglicht das Ausspionieren von macOS. In einem Blogbeitrag von Cisco Talos wird berichtet, wie die Schwachstelle in Apps von Microsoft genutzt werden könnte und was Microsoft unternimmt, diese Lücke wieder zu schließen.
Zugriff auf Kamera und Mikrofon möglich
Cisco Talos erklärt, dass insgesamt acht Sicherheitslücken in Microsofts macOS-Apps missbraucht werden könnten, um Video und Ton eines Macs aufzuzeichnen, auf vertrauliche Daten abzugreifen, Benutzereingaben zu protokollieren und Berechtigungen zu erhalten.
Die Sicherheitslücken betreffen MS Excel, MS OneNote, MS Outlook, MS PowerPoint, MS Teams und MS Word.
Eigentlich verfügt Apple macOS über ein Framework namens Transparency Consent and Control (TCC), das die Berechtigungen von Apps für den Zugriff auf Standortdienste, Kamera, Mikrofon, Fotos und andere Daten verwaltet. Stimmen Nutzer:innen der Berechtigung nicht zu, haben Apps eigentlich keinen Zugriff auf diese Dienste.
Die entdeckten acht Schwachstellen in den Microsoft-Apps für macOS ermöglichen einem Angreifenden das Berechtigungsmodell des Betriebssystems zu umgehen, in dem vorhandene App-Berechtigungen verwendet werden, ohne die Nutzer:in zu einer Überprüfung aufzufordern.
So können Hacker beispielsweise Schadsoftware erstellen, um Audiodaten vom Mikrofon zu ergattern oder eine Foto mit der Kamera machen.
Microsoft sieht »geringes Risiko«
Laut dem Blogbeitrag stuft Microsoft diese Sicherheitslücke als »geringes Risiko« ein und behauptet, ihre Apps müssten das Laden nicht signierter Bibliotheken zulassen, um Plug-ins von Drittanbietern zu unterstützen. Der Autor des Beitrags schreibt, Microsoft würde sich weigern, das Problem zu beheben und setzt so die Benutzer:innen einem unnötigen Risiko aus.
Andererseits könnte aber auch Apple Änderungen am TCC vornehmen, um das System insgesamt sicherer zu machen. Die Sicherheitsforscher von Cisco Talos schlagen vor, Apple sollte die Nutzer:innen beim Laden von Drittanbieter-Pug-Ins in Apps, die bereits die erforderlichen Berechtigungen erhalten haben, darauf hinweisen.