Mac-Bildschirmfreigabe: Dein Passwort hilft hier nicht

Apple schiebt selten ein Update nach, das genau eine einzige Lücke schließt. Am 6. August war es so weit. macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9 kamen mit einem einzigen Eintrag im Sicherheitsdokument, und der steht unter "Screen Sharing".

Apples eigene Beschreibung ist knapp: Ein Angreifer im Netzwerk könne sich bei der Bildschirmfreigabe anmelden, ohne gültige Zugangsdaten zu besitzen. Kein Passwort, keine Rechte. Zwölf Tage später hat die US-Behörde CISA die Lücke in ihren Katalog der aktiv ausgenutzten Schwachstellen aufgenommen und amerikanischen Bundesbehörden drei Tage gegeben, um zu aktualisieren.

Warum das Passwort hier nicht hilft

Die Bildschirmfreigabe ist die Funktion, mit der man einen Mac aus der Ferne sieht und steuert. Wer sie einschaltet, legt normalerweise fest, wer sich verbinden darf, und vergibt ein Passwort. Genau darin liegt der Trugschluss. Die Lücke greift vor der Anmeldung.

Das Passwort ändern, Benutzer aus der Liste werfen, die alte VNC-Anmeldung abschalten: Nichts davon ändert etwas, das sagen die Sicherheitsfirmen Huntress und MacStadium übereinstimmend. Es gibt genau zwei Wege heraus. Das Update, oder die Funktion abschalten.

Aus 7,1 wurde 9,8

Am Tag des Updates galt die Lücke als mittelschwer. Die erste Bewertung lag bei 7,1 von 10 und ging davon aus, dass ein Angreifer bereits Rechte auf dem System braucht. Am 14. August hat CISA das korrigiert. Die Anforderung an Rechte fiel weg, Integrität und Verfügbarkeit sprangen auf hoch, der Wert stieg auf 9,8. Vier Tage später folgte der Eintrag im Katalog der aktiv ausgenutzten Schwachstellen, mit dem Vermerk, dass sich der Angriff automatisieren lässt.

Bemerkenswert ist, was Apple selbst nicht schreibt. In den drei Sicherheitsdokumenten fehlt der sonst übliche Hinweis, dass ein Bericht über aktive Ausnutzung vorliegt. Die Meldungen darüber kamen von anderen, zuerst vom niederländischen NCSC, dann von Microsoft.

Hinter dem Router bist du nicht automatisch raus

In den meisten Meldungen steht, betroffen seien Rechner mit offenem Port 5900 im Internet. Für die bisher beobachteten Angriffe stimmt das. Für die Lücke selbst nicht. Apple schreibt von einem Angreifer im Netzwerk, und MacStadium legt das ausdrücklich so aus, dass damit jeder gemeint ist, der den Dienst erreichen kann.

Also auch jemand im selben WLAN, ein infiziertes Gerät im Heimnetz oder ein Gast im Firmennetz. Für dich heißt das: Der Heimrouter schützt vor dem Scanner aus dem Internet, solange du keine Portweiterleitung eingerichtet hast. Vor dem Notebook, das jemand mitbringt, schützt er nicht.

40.000 offene Macs, und die meisten stehen privat

Wie viele Rechner tatsächlich offen im Netz stehen, hat der Sicherheitsforscher Pedro Vilaça Anfang August gescannt. Rund 40.000 erreichbare Bildschirmfreigaben, knapp die Hälfte davon in den USA. Der interessanteste Teil seiner Notiz ist der Nachsatz: Die meisten davon seien Privatanschlüsse.

Es sind also nicht in erster Linie Server, sondern Macs von Leuten, die sich irgendwann den Fernzugriff von unterwegs eingerichtet und danach nie wieder daran gedacht haben. Eine offizielle Messung mit Stichtag gibt es nicht, Huntress spricht ohne Zahl von Zehntausenden. Vilaças Scan ist ein Einzelwert, kein Messreihe.

Wer schon dran war, ist mit dem Update nicht sauber

Microsoft hat am 18. August beschrieben, was die Angreifer nach dem Einbruch anstellen. Und das überlebt jedes Update, weil es nichts mit der Lücke zu tun hat.

Die Kette nach dem Einbruch

Nach Microsofts Darstellung schieben die Angreifer über die Bildschirmfreigabe Skripte und einen SSH-Schlüssel auf den Mac und richten sich damit einen dauerhaften Zugang ein. Danach löschen sie Verlauf und Protokolle, ändern die Einstellungen des Paketfilters und installieren den Monero-Miner XMRig in der Version 6.26.0.

Die Kopie wird ad hoc signiert, unter einem versteckten Pfad abgelegt und als com.apple.airportd ausgegeben, also als Systemprozess von Apple getarnt. Gestartet wird sie über einen LaunchDaemon mit KeepAlive, damit sie jeden Neustart übersteht.

Zahlen nennt niemand. Microsoft schreibt von einer begrenzten Anzahl betroffener Geräte, das niederländische NCSC von mehreren Systemen, bei denen Port 5900 aus dem Internet erreichbar war und in allen Fällen Root-Zugriff erlangt wurde. Ob es über das Schürfen von Kryptowährung hinausging, ist offen.

Was du jetzt machst

Erstens nachsehen, ob die Bildschirmfreigabe überhaupt an ist. Der Weg führt über das Apfelmenü, Systemeinstellungen, in der Seitenleiste Allgemein, dann Freigabe. Unter Sonoma und Sequoia heißt der Punkt Freigaben. Er sitzt weit unten, du musst scrollen. Steht der Schalter auf aus, bist du raus.

Zweitens auf derselben Seite die entfernte Verwaltung prüfen. Sie ist der zweite Fernzugriff auf denselben Mac und sollte ebenfalls aus sein, wenn du sie nicht bewusst brauchst. Beide gleichzeitig gehen ohnehin nicht.

Drittens aktualisieren. Die einzigen Fassungen, die die Lücke schließen, sind 26.6.1, 15.7.9 und 14.8.9. Für macOS Ventura und älter gibt es keinen Patch, dort bleibt nur das Abschalten. Und wer einen Mac frisch aus einem älteren Wiederherstellungsimage aufsetzt, bekommt eine verwundbare Fassung und muss vor dem ersten Netzkontakt aktualisieren.

Viertens, falls dein Mac mit offenem Port am Netz hing: Das Update allein reicht dann nicht. SSH-Schlüssel und LaunchDaemons gehören durchgesehen, Zugangsdaten gewechselt. Wer sichergehen will, setzt neu auf.

Wenn du den Fernzugriff wirklich brauchst

Dann gehört er nicht offen ins Netz. Die Empfehlung der Sicherheitsforscher von Calif, die den Patch auseinandergenommen haben, ist knapp: Bildschirmfreigabe am besten aus. Und wenn sie an sein muss, dann hinter ein VPN oder eine Firewall-Regel. Wie viele Wege es gibt, die man einmal öffnet und danach vergisst, haben wir am Beispiel der Datenschutz-Schalter in ChatGPT durchgespielt.