Eine kritische Sicherheitslücke in der HTTPS-Implementierung betrifft rund 1500 iOS-Apps. Das hat die Analytics-Firma SourceDNA entdeckt. Ars Technica zufolge ermöglicht sie Angreifern die HTTP-Verschlüsselung einer fraglichen App auszuhebeln. Somit können sie Passwörter und persönliche Daten entwenden.
Die Schwachstelle befindet sich in der Open-Source-Bibliothek AFNetworking. Diese kommt in zahlreichen iOS-Anwendungen für Netzwerkfunktionen zum Einsatz. Die seit Januar 2015 verfügbare Version 2.5.1 überspringe die Überprüfung von SSL-Zertifikaten. Somit lassen sich gefälschte Zertifikate einschleusen und der Datenverkehr entschlüsseln. Die Lücke könne beispielsweise von Personen im selben WLAN-Netz ausgenutzt werden.
Seit drei Wochen steht dem Bericht zufolge die fehlerbereinigte Version 2.5.2 der AFNetworking-Bibliothek zur Verfügung. Dennoch verwenden viele iOS-Apps die unsichere Version. Dazu zählen unter anderem Anwendungen wie Alibaba, Movies by Flixster und Citrix OpenVoice Audio Conferencing.
Die fraglichen Apps unterstützen außerdem kein Certificate Pinning, wodurch Anwendungen Vorgeschrieben wird, nur ein bestimmtes Zertifikat zu verwenden. Die entsprechende Funktion ist in AFNetworking zwar enthalten, jedoch standardmäßig deaktiviert.
Vor der Veröffentlichung des Berichts habe SourceDNA die Entwickler der betroffenen Apps kontaktiert, um ihnen die Möglichkeit zu geben, des Lecks zu stopfen. Apps von Firmen wie Microsoft, Uber und Yahoo, die den Fehler behoben haben, seien in der genannten Zahl von 1500 fehlerhaften Anwendungen nicht enthalten. Das gelte auch für Apps, die zwar AFNetworking nutzen, aber auf HTTPS verzichten.
iOS-Nutzer können mithilfe eines von SourceDNA entwickelten Suchwerkzeugs prüfen, ob die von ihnen verwendeten Apps anfällig sind.
[mit Material von Stefan Beiersmann, ZDNet.de]
Tipp: Wie gut kennen Sie das iPhone? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Data Awakening: Huawei präsentierte beim Innovative Data Infrastructure Forum 2024 in Berlin neue, auf KI…
Um ihre Verteidigung zu stärken, müssen Staaten und Unternehmen sicherstellen, dass KRITIS-Betreiber nicht nur die…
Reichen die Sicherheitsvorkehrungen der KRITIS-Betreiber bereits aus? Das BSI liefert dazu Kennzahlen auf einer neuen…
Laut Kaspersky ist Schadsoftware die zweithäufigste Bedrohung. Angriffe auf vernetzte Fahrzeuge folgen erst mit Abstand.
Der deutsche Chipproduzent beliefert Xiaomi mit Siliziumkarbid-Leistungsmodulen (SiC), Mikrocontrollern und Gate-Treibern.
Fraunhofer-Forschende arbeiten an einer Webplattform, die die Lebensqualität von Menschen mit Parkinson verbessern soll.