Ein Sicherheitsforscher kritisiert Apple. Er habe laut eigener Aussagen in diesem Jahr zwischen dem 10. März und dem 4. Mai vier 0-Day-Schwachstellen (Zero-Day-Exploit nennt man einen Exploit, der eingesetzt wird, bevor es einen Patch als Gegenmaßnahme gibt) gemeldet, von denen drei immer noch in der neuesten iOS-Version (15.0) vorhanden sind und eine in 14.7 behoben wurde. Er störte sich daran, dass sein Fund nicht auf Apples Informationsseite zu Sicherheitsupdates gelistet wurde. Apple soll laut Bericht des Sicherheitsforschers mitgeteilt haben, dass man dies nachholen werde, was nicht passierte.
Auch wies er noch einmal auf offene Schwachstellen hin – und nachdem niemand reagiert hatte, machte er diese öffentlich. Sein Vorgehen stehe im Einklang mit den Richtlinien für eine verantwortungsvolle Offenlegung (Googles Project Zero veröffentlicht Sicherheitslücken innerhalb von 90 Tagen nach ihrer Meldung an den Anbieter, ZDI innerhalb von 120 Tagen).
Laut Bericht sind die Lücken schwerwiegend, ein Proof of Concept (PoC – die prinzipielle Durchführbarkeit eines Vorhabens ist belegt) steht bereit. Was sich so findet? Sollte es eine entsprechend manipulierte App in den App Store schaffen, dann hätte sie weitreichende Möglichkeiten, Informationen abzuziehen, ohne dass der Benutzer dieses mitbekommt. Dazu gehören unter anderem Name und E-Mail-Adresse, Zugriff auf Core-Duet-Datenbank, die wiederum eine Liste von Kontakten aus Mail, SMS, iMessage und Messaging-Apps von Drittanbietern sowie Metadaten über alle Interaktionen des Nutzers mit diesen Kontakten (einschließlich Zeitstempel und Statistiken), außerdem einige Anhänge (wie URLs und Texte) enthalten soll.
Ebenso sei der Lesezugriff auf das Dateisystem der Kurzwahldatenbank und der Adressbuchdatenbank, einschließlich Kontaktbildern und anderen Metadaten wie Erstellungs- und Änderungsdaten möglich. Letzteres funktioniere aber nicht unter iOS 15, weshalb der Sicherheitsforscher davon ausgehe, dass Apple dies bereits gefixt habe. Ein Entwickler – der derzeit wegen seiner App FlickType im Rechtsstreit mit Apple ist – konnte eine Lücke unter iOS 14.8 bestätigen:
Can confirm the exploit runs successfully on iOS 14.8: pic.twitter.com/6k3RCumwys
— Kosta Eleftheriou (@keleftheriou) September 24, 2021
Vermutlich wird gerade rotiert – und ein Update dürfte folgen.
In diesem Artikel sind Partner-Links enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Danke für eure Unterstützung!