Mitte August hat Apple eine in iOS befindliche Sicherheitslücke namens Quicksand (CVE-2015-5749) geschlossen, die Zugang zu Firmendaten wie Serverzugänge offenlegen konnte. Darauf verweist als Entdecker der Schwachstelle nun Appthority. Demzufolge waren Clients für Mobile Device Management (MDM) ebenso betroffen wie per Managed App Configuration ausgelieferte Apps.
IT-Abteilungen verteilen von MDM-Clients benötigte Zugangs- und Authentifizierungsinformationen oftmals per Push, da dieses Verfahren Aktualität garantiert und komfortabel ist. Das Sicherheitsleck in der Isolierung des Systems – seiner Sandbox – erlaubte fremden Apps oder auch dem MDM-Anbieter jedoch den Zugang zu solchen Daten.
Appthority beschreibt ein Szenario, bei dem Angreifer eine manipulierte App auf einem ungepatchten Firmengerät platzieren und damit MDM-Daten abgreifen könnten. Auf das fragliche Verzeichnis hätten demnach alle Apps Zugriff. Zu den betroffenen Daten zählen seiner Darstellung nach oftmals Server-URL und Zugangsdaten inklusive im Klartext gespeicherter Passwörter.
Wie schwer die Sandbox-Schwachstelle in der Praxis wiegt, hängt von dem konkreten Unternehmen und seiner Arbeitsweise ebenso ab wie von seinen Sicherheitskonfigurationen. Statistiken von Appthority zufolge bekommen jedoch 67 Prozent aller von der Konfiguration abhängigen Firmen-Apps ihre Authentifizierungsdaten per MDM. Appthority hatte das Sicherheitsleck Apple gemeldet, das sie schließlich mit iOS 8.4.1 stopfte. Wie lange Apple dafür brauchte, teilte das Sicherheitsunternehmen nicht mit.
iOS 8.4.1 von Mitte August verbesserte Apple Music und schloss insgesamt 71 Sicherheitslücken. 25 Schwachstellen behob der Konzern aus Cupertino alleine in der Browserengine WebKit. Acht als kritisch zu bewertende Schwachstellen hatte das TaiG Jailbreak Team entdeckt.
[mit Material von Florian Kalenda, ZDNet.de]
Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
IT-Systeme werden vor Ort in einem hochsicheren IT-Safe betrieben, ohne auf bauliche Maßnahmen wie die…
Cloud-Trends 2025: Zahlreiche neue Technologien erweitern die Grenzen von Cloud Computing.
Noah Labs wollen Kardiologie-Praxen und Krankenhäuser in Deutschland durch KI-gestütztes Telemonitoring von Patienten entlasten.
Neun von zehn deutschen Managern erwarten, dass der Einsatz von KI auf ihre Nachhaltigkeitsziele einzahlen…
Intergermania Transport automatisiert die Belegerfassung mit KI und profitiert von 95 Prozent Zeitersparnis.
Cyberattacken finden in allen Branchen statt, und Geschwindigkeit und Häufigkeit der Angriffe werden weiter zunehmen,…