In iOS 8 stecken drei Schwachstellen. Das hat die Sicherheitsfirma FireEye bekanntgegeben. Angreifer können sie verwenden, um iOS-Apps wie Health und Pay zu manipulieren, auf Daten anderer Apps zuzugreifen und den VPN-Datenverkehr abzufangen. Mit iOS 8.1.3 hat Apple die VPN-Lücke bereits beseitigt. Zum Teil hat der iPhone-Hersteller die beiden anderen Sicherheitslücken mit iOS 8.4 geschlossen.
Mit der VPN-Lücke namens Plug-in Masque können Unbefugte ein bestehendes VPN-Plug-in ersetzen. Auf diese Weise sind sie in der Lage, jeglichen VPN-Datenverkehr mitzuhören, den Neustart eines Gerätes zu unterbinden und Sicherheitsabfragen zu umgehen. Plug-in Masque ermöglicht es aber auch, weitere Kernel-Lücken auszunutzen.
Bei den anderen Sicherheitslücken handelt es sich FireEye zufolge um Abwandlungen des Masque-Attack-Bugs. Bei Manifest Masque handle es sich um eine Methode, die erlaubt, andere Apps während der Installation Over-the-Air zu verändern. Dieser Angriff ist aber nur mit von Unternehmen bereitgestellten Apps möglich, nicht über den App Store. Davon betroffen sind Nutzer von iOS 7.x und 8.x bis einschließlich iOS 8.3.
Extension Masque erlaubt den unerlaubten Zugriff auf Daten anderer Anwendungen. Der Fehler befindet sich im App-Container. Angreifer können die Sicherheitslücke auch nutzen, um einer legitimen App den Zugang zu ihren eigenen Daten zu verweigern. Laut FireEye entspricht sie einer vor zwei Wochen bekannt gewordenen Xara-Lücken in OS X. Entgegen der Aussage der Forscher stecke der Fehler auch in iOS 8.0 bis 8.3.
Der Sicherheitsexperte Graham Cluley weist in seinem Blog darauf hin, dass sich alle drei Fehler auch ohne Jailbreak ausnutzen lassen. Zudem seien alle Nutzer angreifbar, deren iPhones und iPads das Enterprise-Provisioning-Feature für die Verteilung von Unternehmens-Apps nutzen. FireEye und Cluley raten allen Betroffenen, schnellstmöglich auf iOS 8.4 umzusteigen. FireEye schätzt, dass noch rund ein Drittel der iPhone- und iPad-Nutzer eine OS-Version vor iOS 8.1.2 einsetzen.
[mit Material von Stefan Beiersmann, ZDNet.de]
Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
"Uns geht es vielmehr darum aufzuzeigen, wie Open-Source-KI realisierbar ist", sagt Jan Wildeboer von Red…
"Wir haben in unserem SOC den Level 1-Support vollständig automatisiert", sagt Thomas Maxeiner von Palo…
Das Bewusstsein für die Bedeutung von Diversität wächst, doch der Fortschritt bleibt zäh, obwohl gemischte…
Der Kommunale IT-Service (KitS) des thüringischen Landkreises Schmalkalden-Meiningen nutzt hyperkonvergente VxRail-Systeme von Dell Technologies.
Hersteller von digitalen Produkte können auch nach dem Kauf dauerhaft Zugriff auf Systeme und Informationen…
Meist steht die Sicherheit von Infrastruktur und Cloud im Fokus. Auch Anwendungen sollten höchsten Sicherheitsanforderungen…