Zero-Day-Exploit in Parallels Desktop: Sicherheitslücke ermöglicht Root-Rechte auf macOS

MÜNCHEN (IT BOLTWISE) – Eine kürzlich aufgedeckte Sicherheitslücke in Parallels Desktop sorgt für Aufsehen in der IT-Sicherheitsbranche. Ein Sicherheitsforscher hat einen Zero-Day-Exploit veröffentlicht, der es ermöglicht, Root-Rechte auf einem Mac zu erlangen.

In der Welt der Virtualisierung ist Parallels Desktop ein weit verbreitetes Tool, das es Nutzern ermöglicht, verschiedene Betriebssysteme wie Windows und Linux auf einem Mac auszuführen. Doch eine kürzlich entdeckte Sicherheitslücke hat das Vertrauen in diese Software erschüttert. Ein Sicherheitsforscher hat einen Zero-Day-Exploit veröffentlicht, der es einem Angreifer ermöglicht, Root-Rechte auf einem Mac zu erlangen und damit die vollständige Kontrolle über das System zu übernehmen.

Die Schwachstelle, die unter der Kennung CVE-2024-34331 bekannt ist, wurde bereits im vergangenen Jahr gemeldet und von Parallels mit einem Patch adressiert. Doch wie der Sicherheitsforscher Mickey Jin aufzeigt, lässt sich dieser Patch leicht umgehen. Jin hat den Exploit in zwei Varianten veröffentlicht, um auf die Dringlichkeit des Problems hinzuweisen und die Nutzer zu ermutigen, proaktive Maßnahmen zur Risikominimierung zu ergreifen.

Der Exploit nutzt eine unzureichende Verifizierung der Code-Signatur in Parallels Desktop aus. Konkret betrifft es das Kommandozeilen-Tool ‘createinstallmedia’, das nicht korrekt überprüft wird. Ein Angreifer kann in der Zeitspanne zwischen der Verifizierung und dem Start des Tools ein bösartiges Tool einschleusen und so Root-Rechte erlangen. Diese Lücke zeigt, wie wichtig es ist, dass Softwarehersteller auf Sicherheitsberichte schnell und effektiv reagieren.

Parallels Desktop wird sowohl von Privatnutzern als auch in Unternehmen eingesetzt, um Windows-Software auf Macs zu betreiben. Die Möglichkeit, Root-Rechte zu erlangen, stellt ein erhebliches Sicherheitsrisiko dar, insbesondere in Unternehmensumgebungen, wo sensible Daten verarbeitet werden. Die Veröffentlichung des Exploits durch Jin soll die Aufmerksamkeit auf die Notwendigkeit verstärkter Sicherheitsmaßnahmen lenken.

Die Reaktion von Parallels auf die Sicherheitslücke war bisher unzureichend. Obwohl der Eingang des Bug-Reports bestätigt wurde, blieb eine weiterführende Kommunikation aus. Dies führte dazu, dass Jin den Exploit öffentlich machte, um Druck auf den Hersteller auszuüben. Die Zero Day Initiative, die ebenfalls informiert wurde, konnte den Exploit zunächst nicht reproduzieren, da eine neue Version von Parallels Desktop vorlag.

Die Veröffentlichung des Exploits wirft ein Schlaglicht auf die Herausforderungen, denen sich Softwarehersteller in der heutigen digitalen Landschaft gegenübersehen. Sicherheitslücken können erhebliche Auswirkungen auf die Integrität und den Ruf eines Unternehmens haben. Es ist entscheidend, dass Hersteller schnell auf Sicherheitsberichte reagieren und effektive Patches bereitstellen, um das Vertrauen der Nutzer zu erhalten.

In der Zukunft wird es für Softwareunternehmen immer wichtiger, proaktive Sicherheitsstrategien zu entwickeln und umzusetzen. Die Zusammenarbeit mit Sicherheitsforschern und die schnelle Reaktion auf gemeldete Schwachstellen sind entscheidend, um die Sicherheit der Nutzer zu gewährleisten und das Risiko von Exploits zu minimieren.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Vikye KI -Roboter Angetrieben von Deepseek, Smart Talking Desk Companion mit 1,28 "Bildschirm, Sprachsteuerung, WLAN -Wetteruhr und Bluetooth Music Player

31,20 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

ZOOI Geschenke für Männer, Geburtstagsgeschenk für Männer, Gadgets für Männer, Geschenke für Papa Geschenk Männergeschenk Adventskalender Füllung Männer, Bluetooth Lautsprecher mit Handyständer

17,84 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

QCOQ® Air Tags 4er Pack Schwarz, Schlüsselfinder & Air Tracker Tagg Kompatibel mit Apple Wo ist? App (Nur iOS), Smart Key Finder mit Schlüsselband, Koffer-Tracker für Taschen/Keys, Austauschbarer Akku

79,99 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

169,00 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!