Ett nyligen avslöjat säkerhetshål i macOS kunde ha gjort det möjligt för en angripare att dekryptera Keychain-data utan lösenord. Felet är nu åtgärdat, men visar hur sårbart systemet var innan uppdateringen.
Apple är känt för sitt fokus på säkerhet och integritet, men i macOS Sequoia 15.0 kunde angripare ta sig förbi dessa skydd. På säkerhetskonferensen Nullcon Berlin 2025 avslöjade Koh M. Nakagawa från FFRI Security att Apples gcore-verktyg hade ett systemtillstånd som öppnade för attacker och bröt igenom viktiga säkerhetsgränser.
Felet, som nu är registrerat som CVE-2025-24204, gjorde det möjligt att läsa minne från vilken process som helst – även med System Integrity Protection (SIP) aktiverat. Det blottlade krypteringsnycklar i Keychain och kringgick Apples TCC-skydd som styr åtkomst till exempelvis bilder och kontakter. Sårbarheten gjorde det dessutom möjligt att dekryptera iOS-appar som kördes på Apple Silicon-Macar.
Slump
Nakagawa upptäckte felet nästan av en slump. När Microsoft släppte ProcDump för Mac antog han att det inte skulle fungera på skyddade processer, men tester visade motsatsen. Förklaringen var att gcore hade fått tillståndet com.apple.system-task-ports.read, vilket gav obegränsad åtkomst till minne. Genom att dumpa minnet från säkerhetsprocessen securityd kunde han återskapa huvudnyckeln för inloggnings-Keychain och därmed dekryptera hela valvet utan lösenord.
Sårbarheten innebar också att TCC-skyddet kunde kringgås. Eftersom appar laddar filer i minnet gick det att dumpa och återskapa skyddade dokument. Även iOS-appar på Mac var drabbade, eftersom deras krypterade binärer kunde hämtas i dekrypterat skick medan de kördes.
Apple tog bort det farliga tillståndet i macOS 15.3, som släpptes tidigare under 2025. Företaget gjorde ingen större affär av det, utan som vanligt dök säkerhetsfixen bara upp i uppdateringsnoteringar.
Uppdatera
För att skydda dig bör du uppdatera till macOS 15.3 eller senare. Äldre versioner är fortsatt sårbara och det finns ingen lösning annat än att uppgradera. Aktivera automatiska uppdateringar så att du inte fastnar på en osäker version. Som ett extra lager kan du använda en separat lösenordshanterare utanför Apples Keychain, vilket minskar risken om något liknande skulle inträffa igen.
Officiella säkerhetsråd från Apple publiceras på företagets supportsida och är den främsta källan för information om vad som åtgärdats och när.
Källa:
HelpNet Security
