Mac-computers kunnen de laatste beveiligingsupdates voor macOS hebben geïnstalleerd maar belangrijke firmware-updates missen, waardoor ze kwetsbaar voor aanvallen zijn, zo hebben onderzoekers ontdekt. De EFI-firmware van de Mac is een verzameling basisinstructies voor de communicatie tussen het besturingssysteem en de hardware. Het is essentieel voor de werking van de computer en tevens de eerste belangrijke software die wordt geladen.

Vanuit een beveiligingsstandpunt neemt de EFI-firmware een belangrijke rol in. Een aanvaller die de firmware weet te compromitteren kan zo de beveiliging van het besturingssysteem omzeilen en ongedetecteerd blijven, omdat de firmware op een lager niveau draait. Ook het vervangen van de harde schijf of het opnieuw installeren van het besturingssysteem is niet voldoende om besmette firmware te verhelpen. De kwaadaardige code blijft in deze gevallen nog steeds actief. Twee jaar geleden demonstreerden onderzoekers een worm die de firmware van Mac-computers kon infecteren, om daar vandaan weer andere Macs te besmetten.

In het geval van Mac-computers bundelt Apple de firmware-updates met de updates voor macOS. Een Mac-gebruiker die een beveiligingsupdate voor macOS of een nieuwe macOS-versie installeert ontvangt zo ook de firmware-update. In de praktijk blijkt dat niet altijd het geval te zijn. Onderzoekers van Duo Security onderzochten de firmware van ruim 73.000 Mac-computers die binnen organisaties worden gebruikt (pdf). Gemiddeld bleek dat 4,2 procent van de Macs niet de firmware heeft geïnstalleerd die naar aanleiding van de geïnstalleerde OS X- of macOS-versie wordt verwacht. De discrepantie is bij sommige modellen veel groter. Zo blijkt dat bij de iMac 21.5 inch (eind 2015 model) 43 procent niet over de juiste firmware beschikt. Van de 2190 iMacs in deze serie draaien er 941 niet de verwachte firmware.

"Dit zorgt voor een situatie waar beheerders en gebruikers de laatste versie van het OS of beveiligingsupdate hebben geïnstalleerd, maar voor de één of andere reden werd de EFI-firmware niet bijgewerkt", zegt onderzoeker Rich Smith. Volgens Smith wordt het probleem vergroot doordat gebruikers geen melding ontvangen dat ze een onverwachte versie van de EFI-firmware draaien of dit op eenvoudige wijze kunnen controleren. Verder blijkt dat de security-support van Apple voor EFI-firmware afhankelijk is van het hardware-model van de Mac. Sommige Macs ontvangen geregeld firmware-updates, sommige alleen nadat bepaalde kwetsbaarheden zijn ontdekt en sommige zien nooit een firmware-update voorbijkomen.

De security-support is ook afhankelijk van de OS-versie die op de Mac draait. Een Mac-model met OS X 10.11 kan andere firmware-updates ontvangen dan hetzelfde Mac-model met macOS 10.12. Dit kan voor een verwarrende situatie zorgen waarbij het besturingssysteem volledig gepatcht en up-to-date is, maar dit niet geldt voor de EFI-firmware. Sommige Macs ontvangen daarnaast wel beveiligingsupdates voor de OS-versie, maar niet voor de EFI-firmware. De onderzoekers hebben een overzicht gemaakt van Mac-modellen die geen firmware-updates ontvangen. Verder adviseren ze gebruikers om naar de laatste versie van macOS te upgraden. Daarnaast zal er een gratis tool beschikbaar worden gemaakt die verouderde EFI-firmware kan identificeren. Hoewel het onderzoek zich op Apple richtte spelen de gevonden problemen volgens de onderzoekers bij alle leveranciers die verantwoordelijk zijn voor het beveiligen van EFI-firmware. Apple is door de onderzoekers over het onderzoek ingelicht.