Forscher macht Zero-Day-Lücke in Safari öffentlich

Ein Forscher des Sicherheitsanbieters Theori hat eine Sicherheitslücke in WebKit, der Browser-Engine von Safari, öffentlich gemacht. Sie erlaubt ihm zufolge das Einschleusend und Ausführen von Schadcode, wie Ars Technica berichtet. Der Forscher wirft Apple vor, einen bereits seit fast drei Wochen verfügbaren Patch immer noch nicht an seine Nutzer ausgeliefert zu haben.

Entwickelt wurde der Fix von Open-Source-Programmierern und nicht von Apple selbst. In den Versionshinweisen des Patches heißt es demnach, dass der Bug einen Absturz von Safari und jeglichen anderen iOS-Browsern auslöst. Der Theori-Forscher Tim Becker ist jedoch davon überzeugt, dass sich die Schwachstelle auf für Angriffe ausnutzen lässt.

“Dieser Fehler zeigt einmal mehr, dass Patch-Gapping eine große Gefahr bei der Open-Source-Entwicklung darstellt”, schreibt Becker im Theori-Blog. “Idealerweise ist das Zeitfenster zwischen einem öffentlichen Patch und einer stabilen Veröffentlichung so klein wie möglich. In diesem Fall bleibt eine neu veröffentlichte Version von iOS noch Wochen nach der Veröffentlichung des Patches verwundbar.”

Becker bezieht damit auf die jüngsten Updates für macOS, iOS und iPadOS, die Apple Anfang der Woche veröffentlicht hat. Sie schließen zum Teil kritische Sicherheitslücken, darunter auch zahlreiche Anfälligkeiten in WebKit. Der Patch für die fragliche Schwachstelle ist jedoch nicht enthalten.

Sie beruht Theori zufolge auf einem sogenannten Type Confusion Bug in der WebKit-Implementierung von AudioWorklet. Über dieses Interface können Entwickler die Audiowiedergabe steuern und Latenzen reduzieren. Die Anfälligkeit könnte es einem Angreifer erlauben, aus der Ferne Schadcode auf einembetroffenen Gerät auszuführen.

Laut Ars Technica muss dafür jedoch die Sicherheitsfunktion Pointer Authentication Codes überwunden werden. Sie schreibt eine kryptografische Signatur für das Ausführen von Code im Speicher vor. Ohne eine solche Signatur würde Schadcode für die WebKit-Lücke nicht ausgeführt werden. Becker geht jedoch davon aus, dass sich die Schwachstelle in eine Exploit-Kette einbauen lässt, was sein Unternehmen mit einem Proof-of-Concept deminstriert.

Theori betont, dass es die Sicherheitslücke unabhängig von der Open-Source-Community entdeckt hat und dass ein Patch bereits vorhanden war, bevor das Unternehmen Apple informieren konnte. Man habe aber nicht damit gerechnet, dass Safari auch Wochen nach Bereitstellung des Patches durch Open-Source-Entwickler immer noch angreifbar sei.

Ars Technica verweist zudem auf eine von Forscher von Googles Project Zero zusammengestellte Tabelle. Sie listet insgesamt acht Zero-Day-Lücken in macOS und iOS auf, die bereits in diesem Jahr entdeckt wurden. Sechs davon betrafen die Browser-Engine WebKit.