Categories: MobileMobile OS

Forscher veröffentlicht drei Zero-Day-Lücken in iOS

Der Sicherheitsforscher Denis Tokarev hat Details sowie Beispielcode zu insgesamt vier schwerwiegenden Schwachstellen in Apples Mobilbetriebssystem iOS veröffentlicht. Während eine Anfälligkeit von Apple im Juli mit iOS 14.7 gepatcht wurde, sind die drei übrigen Lücken noch vorhanden – auch in iOS 15, wie BleepingComputer berichtet.

Apple erhielt die Details zu den vier Sicherheitslöchern dem Forscher zufolge zwischen 10. März und 4. Mai. Das Unternehmen habe ihn im Security Advisory zu iOS 14.7 zudem nicht als Entdecker der gepatchten Schwachstelle genannt. “Als ich sie damit konfrontierte, entschuldigten sie sich, versicherten mir, dass es sich um ein Verarbeitungsproblem handelte, und versprachen, es auf der Seite mit den Sicherheitsinhalten des nächsten Updates aufzulisten”, wird Tokarev in dem Bericht zitiert. Seitdem habe Apple drei weitere Sicherheitsupdates veröffentlicht (iOS 14.7.1, 14.8 und 15) ohne seine Zusage einzuhalten.

Auch habe sich Apple seitdem nicht zu den anderen drei Sicherheitsproblemen geäußert, weswegen sich Tokarev Ende vergangener Woche entschloss, seine Proof-of-Concept auf GitHub zu veröffentlichen. Demnach lässt sich eine der Zero-Day-Lücken theoretisch mit über den App Store installierten Apps ausnutzen. Ein Angreifer soll so in der Lage sein, auf vertrauliche Informationen wie Apple ID und Authentifizierungs-Tokens sowie zwei Systemdatenbanken zuzugreifen.

Ein weiterer Bug soll es indes ermöglichen, anhand der Bundle-ID einer App herauszufinden, welche Apps auf einem iOS-Gerät installiert sind. Die dritte Zero-Day-Lücke wiederum gibt bestimmten Apps die Möglichkeit, auch ohne ausdrückliche Berechtigung WLAN-Informationen abzurufen.

Tokarev verteidigte seine Entscheidung, die Schwachstellen öffentlich zu machen, unter anderem mit allgemein bekannten Regeln für den vertrauensvollen Umgang mit Sicherheitslücken, die von Googles Project Zero oder der Zero Day Initiative aufgestellt wurden. Sie halten von Herstellern nicht gepatchte Fehler in der Regel für mindestens 90 beziehungsweise 120 Tage unter Verschluss. “Mein Vorgehen entspricht diesen Regeln. Ich habe sogar viel länger gewartet, in einem Fall fast ein halbes Jahr”, ergänzte Tokarev.

Rund einen Tag nach Offenlegung der Sicherheitslücken gab Apple eine Stellungnahme ab. “Wir haben Ihren Blogbeitrag zu diesem Problem und Ihre anderen Berichte gesehen. Wir entschuldigen uns für die Verzögerung bei der Beantwortung Ihrer Anfrage. Wir möchten Ihnen mitteilen, dass wir diese Probleme noch untersuchen und prüfen, wie wir sie zum Schutz unserer Kunden beheben können. Nochmals vielen Dank, dass Sie sich die Zeit genommen haben, uns diese Probleme zu melden, wir wissen Ihre Unterstützung zu schätzen. Bitte lassen Sie uns wissen, wenn Sie weitere Fragen haben.” Nicht bekannt ist, wann Apple die Fehler in iOS beseitigen wird.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die Redaktionen von Silicon.de und ZDNet.de. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

US-Finanzministerium: Ransomware für Bitcoin-Transaktion in Milliardenhöhe verantwortlich

Es geht um Transaktionen im Wert von bis zu 5,2 Milliarden Dollar. Allein im ersten…

2 Stunden ago

Apple sackt 75 Prozent der weltweiten Smartphone-Gewinne ein

Samsung kommt lediglich auf einen Anteil von 13 Prozent. Auch gemessen am Umsatz ist Apple…

4 Stunden ago

Microsoft behebt AMD-CPU-Leistungsproblem

Microsoft hat einen Teil eines Problems behoben, das die Leistung von Anwendungen unter Windows 11…

4 Stunden ago

Virtuelle Maschine mit Windows 11 erstellen

Wenn Sie Windows 11 auf risikofreie Weise ausprobieren wollen, verwenden Sie Hyper-V. Damit können Sie…

4 Stunden ago

Vernachlässigte Passwörter

Unsichere Passwortnutzung bleibt trotz besserem Sicherheitsbewusstsein und erhöhter Internetnutzung ein schweres Problem, berichtet Katie Petrillo,…

4 Tagen ago

Deutsche wollen Jobwechsel

Nahezu die Hälfte aller deutschen Vollzeitbeschäftigten plant einen Jobwechsel in den nächsten zwölf Monaten. Als…

4 Tagen ago