In iOS 8 stecken drei Schwachstellen. Das hat die Sicherheitsfirma FireEye bekanntgegeben. Angreifer können sie verwenden, um iOS-Apps wie Health und Pay zu manipulieren, auf Daten anderer Apps zuzugreifen und den VPN-Datenverkehr abzufangen. Mit iOS 8.1.3 hat Apple die VPN-Lücke bereits beseitigt. Zum Teil hat der iPhone-Hersteller die beiden anderen Sicherheitslücken mit iOS 8.4 geschlossen.
Mit der VPN-Lücke namens Plug-in Masque können Unbefugte ein bestehendes VPN-Plug-in ersetzen. Auf diese Weise sind sie in der Lage, jeglichen VPN-Datenverkehr mitzuhören, den Neustart eines Gerätes zu unterbinden und Sicherheitsabfragen zu umgehen. Plug-in Masque ermöglicht es aber auch, weitere Kernel-Lücken auszunutzen.
Bei den anderen Sicherheitslücken handelt es sich FireEye zufolge um Abwandlungen des Masque-Attack-Bugs. Bei Manifest Masque handle es sich um eine Methode, die erlaubt, andere Apps während der Installation Over-the-Air zu verändern. Dieser Angriff ist aber nur mit von Unternehmen bereitgestellten Apps möglich, nicht über den App Store. Davon betroffen sind Nutzer von iOS 7.x und 8.x bis einschließlich iOS 8.3.
Extension Masque erlaubt den unerlaubten Zugriff auf Daten anderer Anwendungen. Der Fehler befindet sich im App-Container. Angreifer können die Sicherheitslücke auch nutzen, um einer legitimen App den Zugang zu ihren eigenen Daten zu verweigern. Laut FireEye entspricht sie einer vor zwei Wochen bekannt gewordenen Xara-Lücken in OS X. Entgegen der Aussage der Forscher stecke der Fehler auch in iOS 8.0 bis 8.3.
Der Sicherheitsexperte Graham Cluley weist in seinem Blog darauf hin, dass sich alle drei Fehler auch ohne Jailbreak ausnutzen lassen. Zudem seien alle Nutzer angreifbar, deren iPhones und iPads das Enterprise-Provisioning-Feature für die Verteilung von Unternehmens-Apps nutzen. FireEye und Cluley raten allen Betroffenen, schnellstmöglich auf iOS 8.4 umzusteigen. FireEye schätzt, dass noch rund ein Drittel der iPhone- und iPad-Nutzer eine OS-Version vor iOS 8.1.2 einsetzen.
[mit Material von Stefan Beiersmann, ZDNet.de]
Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Angriffe auf APIs und Webanwendungen sind zwischen Januar 2023 und Juni 2024 von knapp 14…
Mit täglich über 45.000 eingehenden E-Mails ist die IT-Abteilung des Klinikums durch Anhänge und raffinierte…
Bau- und Fertigungsspezialist investiert in die S/4HANA-Migration und geht mit RISE WITH SAP in die…
Trends 2025: Rasante Entwicklungen bei Automatisierung, KI und in vielen anderen Bereichen lassen Unternehmen nicht…
DHL Supply Chain nutzt generative KI-Anwendungen für Datenbereinigung und präzisere Beantwortung von Angebotsanforderungen (RFQ).
Marke mtu will globale Serviceabläufe optimieren und strategische Ziele hinsichtlich Effizienz, Nachhaltigkeit und Wachstum unterstützen.