Categories: MobileMobile OS

Forscher veröffentlicht drei Zero-Day-Lücken in iOS

Der Sicherheitsforscher Denis Tokarev hat Details sowie Beispielcode zu insgesamt vier schwerwiegenden Schwachstellen in Apples Mobilbetriebssystem iOS veröffentlicht. Während eine Anfälligkeit von Apple im Juli mit iOS 14.7 gepatcht wurde, sind die drei übrigen Lücken noch vorhanden – auch in iOS 15, wie BleepingComputer berichtet.

Apple erhielt die Details zu den vier Sicherheitslöchern dem Forscher zufolge zwischen 10. März und 4. Mai. Das Unternehmen habe ihn im Security Advisory zu iOS 14.7 zudem nicht als Entdecker der gepatchten Schwachstelle genannt. “Als ich sie damit konfrontierte, entschuldigten sie sich, versicherten mir, dass es sich um ein Verarbeitungsproblem handelte, und versprachen, es auf der Seite mit den Sicherheitsinhalten des nächsten Updates aufzulisten”, wird Tokarev in dem Bericht zitiert. Seitdem habe Apple drei weitere Sicherheitsupdates veröffentlicht (iOS 14.7.1, 14.8 und 15) ohne seine Zusage einzuhalten.

Auch habe sich Apple seitdem nicht zu den anderen drei Sicherheitsproblemen geäußert, weswegen sich Tokarev Ende vergangener Woche entschloss, seine Proof-of-Concept auf GitHub zu veröffentlichen. Demnach lässt sich eine der Zero-Day-Lücken theoretisch mit über den App Store installierten Apps ausnutzen. Ein Angreifer soll so in der Lage sein, auf vertrauliche Informationen wie Apple ID und Authentifizierungs-Tokens sowie zwei Systemdatenbanken zuzugreifen.

Ein weiterer Bug soll es indes ermöglichen, anhand der Bundle-ID einer App herauszufinden, welche Apps auf einem iOS-Gerät installiert sind. Die dritte Zero-Day-Lücke wiederum gibt bestimmten Apps die Möglichkeit, auch ohne ausdrückliche Berechtigung WLAN-Informationen abzurufen.

Tokarev verteidigte seine Entscheidung, die Schwachstellen öffentlich zu machen, unter anderem mit allgemein bekannten Regeln für den vertrauensvollen Umgang mit Sicherheitslücken, die von Googles Project Zero oder der Zero Day Initiative aufgestellt wurden. Sie halten von Herstellern nicht gepatchte Fehler in der Regel für mindestens 90 beziehungsweise 120 Tage unter Verschluss. “Mein Vorgehen entspricht diesen Regeln. Ich habe sogar viel länger gewartet, in einem Fall fast ein halbes Jahr”, ergänzte Tokarev.

Rund einen Tag nach Offenlegung der Sicherheitslücken gab Apple eine Stellungnahme ab. “Wir haben Ihren Blogbeitrag zu diesem Problem und Ihre anderen Berichte gesehen. Wir entschuldigen uns für die Verzögerung bei der Beantwortung Ihrer Anfrage. Wir möchten Ihnen mitteilen, dass wir diese Probleme noch untersuchen und prüfen, wie wir sie zum Schutz unserer Kunden beheben können. Nochmals vielen Dank, dass Sie sich die Zeit genommen haben, uns diese Probleme zu melden, wir wissen Ihre Unterstützung zu schätzen. Bitte lassen Sie uns wissen, wenn Sie weitere Fragen haben.” Nicht bekannt ist, wann Apple die Fehler in iOS beseitigen wird.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die Redaktionen von Silicon.de und ZDNet.de. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

KI auf dem Prüfstand

LLMs besitzen einerseits innovative neue Fähigkeiten, stellen Unternehmen allerdings auch vor diverse Herausforderungen: ob EU…

12 Stunden ago

Rechenzentren: Deutschland verliert Anschluss

Server-Ausbau in den USA und China macht große Fortschritte, deutscher Weltmarktanteil sinkt. Lichtblicke in Frankfurt…

17 Stunden ago

KI steigert Nachfrage nach hybriden Workplace-Umgebungen

Der Markt für Workplace Services gerät in Bewegung. Das bestmögliche digitale Nutzererlebnis gilt als Schlüssel…

18 Stunden ago

Hagebau erreicht E-Mail-Sicherheit mit der NoSpamProxy Cloud

Schutz für 10.000 Postfächer über rund 200 Domains: Private-Stack-Variante kombiniert Vorteile einer Cloud-Lösung mit Sicherheit…

2 Tagen ago

Rechenzentrumsnetzwerke als Schlüssel für Desaster Recovery

Huawei Connect Paris: Innovationen rund um Data Center, Storage und IT-Sicherheit.

2 Tagen ago

Cybersecurity mit KI: Strategischer Vorteil oder Sicherheitsrisiko?

Mit KI optimieren Hacker ihre Angriffsversuche. Ist CIAM eine Lösung, mit der sich Unternehmen vor…

2 Tagen ago