Forscher veröffentlicht drei Zero-Day-Lücken in iOS
Sie sind Apple bereits seit Monaten bekannt. Das Unternehmen stopft aber nur eines von vier Löchern. Den Entdecker der Schwachstelle erwähnt das Unternehmen in seiner Sicherheitswarnung jedoch nicht.
Der Sicherheitsforscher Denis Tokarev hat Details sowie Beispielcode zu insgesamt vier schwerwiegenden Schwachstellen in Apples Mobilbetriebssystem iOS veröffentlicht. Während eine Anfälligkeit von Apple im Juli mit iOS 14.7 gepatcht wurde, sind die drei übrigen Lücken noch vorhanden – auch in iOS 15, wie BleepingComputer berichtet.
Apple erhielt die Details zu den vier Sicherheitslöchern dem Forscher zufolge zwischen 10. März und 4. Mai. Das Unternehmen habe ihn im Security Advisory zu iOS 14.7 zudem nicht als Entdecker der gepatchten Schwachstelle genannt. “Als ich sie damit konfrontierte, entschuldigten sie sich, versicherten mir, dass es sich um ein Verarbeitungsproblem handelte, und versprachen, es auf der Seite mit den Sicherheitsinhalten des nächsten Updates aufzulisten”, wird Tokarev in dem Bericht zitiert. Seitdem habe Apple drei weitere Sicherheitsupdates veröffentlicht (iOS 14.7.1, 14.8 und 15) ohne seine Zusage einzuhalten.
Auch habe sich Apple seitdem nicht zu den anderen drei Sicherheitsproblemen geäußert, weswegen sich Tokarev Ende vergangener Woche entschloss, seine Proof-of-Concept auf GitHub zu veröffentlichen. Demnach lässt sich eine der Zero-Day-Lücken theoretisch mit über den App Store installierten Apps ausnutzen. Ein Angreifer soll so in der Lage sein, auf vertrauliche Informationen wie Apple ID und Authentifizierungs-Tokens sowie zwei Systemdatenbanken zuzugreifen.
Ein weiterer Bug soll es indes ermöglichen, anhand der Bundle-ID einer App herauszufinden, welche Apps auf einem iOS-Gerät installiert sind. Die dritte Zero-Day-Lücke wiederum gibt bestimmten Apps die Möglichkeit, auch ohne ausdrückliche Berechtigung WLAN-Informationen abzurufen.
Tokarev verteidigte seine Entscheidung, die Schwachstellen öffentlich zu machen, unter anderem mit allgemein bekannten Regeln für den vertrauensvollen Umgang mit Sicherheitslücken, die von Googles Project Zero oder der Zero Day Initiative aufgestellt wurden. Sie halten von Herstellern nicht gepatchte Fehler in der Regel für mindestens 90 beziehungsweise 120 Tage unter Verschluss. “Mein Vorgehen entspricht diesen Regeln. Ich habe sogar viel länger gewartet, in einem Fall fast ein halbes Jahr”, ergänzte Tokarev.
Rund einen Tag nach Offenlegung der Sicherheitslücken gab Apple eine Stellungnahme ab. “Wir haben Ihren Blogbeitrag zu diesem Problem und Ihre anderen Berichte gesehen. Wir entschuldigen uns für die Verzögerung bei der Beantwortung Ihrer Anfrage. Wir möchten Ihnen mitteilen, dass wir diese Probleme noch untersuchen und prüfen, wie wir sie zum Schutz unserer Kunden beheben können. Nochmals vielen Dank, dass Sie sich die Zeit genommen haben, uns diese Probleme zu melden, wir wissen Ihre Unterstützung zu schätzen. Bitte lassen Sie uns wissen, wenn Sie weitere Fragen haben.” Nicht bekannt ist, wann Apple die Fehler in iOS beseitigen wird.
