Poważny błąd pozwalający na zalogowanie się z pełnymi uprawnieniami roota bez podawania hasła został załatany. Właśnie pojawiła się aktualizacja bezpieczeństwa dla macOS 10.13.1 High Sierra i nowszych.

Konto root bez hasła… kilka godzin grozy

Niecałą dobę temu deweloper Lemi Ergin opisał na Twitterze odkrycie, którego dokonał. „Domowy” sposób na załatanie dziury opisaliśmy na blogu już rano. Ten opis może Wam się przydać nawet po zaktualizowaniu systemu.

Aktualizacja bezpieczeństwa jest dostępna w Mac App Store.

Łatka wydana w pośpiechu

W takiej sytuacji czas ma ogromne znaczenie, dlatego Apple załatał problem w najszybszy i najskuteczniejszy sposób. Po prostu wyłączył konto root. Dokładnie tak powinno być po instalacji systemu. Konto roota zawsze jest wyłączone i chętni muszą je włączyć, i nadać mu hasło samodzielnie.

Trochę szkoda, że łatka nie rozpoznała, czy konto roota było włączone rozmyślnie i jest zabezpieczone hasłem, czy jest dziurą. Jednak takie załatwienie sprawy jest skuteczne i bezpieczne, a „power user” włączy sobie to konto bez problemu ponownie, np. korzystając z naszego opisu.

Pośpiech widać również w braku polskiego opisu aktualizacji bezpieczeństwa oraz niekompletnym tłumaczeniu menu Narzędzi katalogowych, po aktualizacji.

Zdecydowanie należy jak najszybciej skorzystać z łatki, nawet jeżeli już wcześniej sami zabezpieczyliście konto root hasłem.