Apple iOS 11: Automatische QR-Code-Erkennung lässt sich täuschen

Apple hat ab iOS 11 für die Kamera-App die automatische Erkennung von QR-Codes eingeführt. Das ist ein feine Sache, erleichtert dies doch das Scannen der entsprechenden Codes. Schließlich findet man immer häufiger im Alltag die QR-Codes auf Plakaten, in Zeitschriften, auf Verpackungen von Produkten, etc. Allerdings hat man bei Infosec festgestellt, dass es dabei einen Bug gibt, der womöglich einige Nutzer in die Irre führen könnte. So lässt sich der QR-Code so erstellen, dass er vor dem Abruf der Website in der aufploppenden Benachrichtigung einen anderen Hostnamen anzeigt als denjenigen, der eigentlich zur jeweiligen Website passt.

Scannt ihr etwa obigen Code an einem Smartphone mit Apple iOS 11.2.1 sollte euch angezeigt werden, dass ihr zu facebook.com weitergeleitet werdet. Klingt vertrauenswürdig, kann man wohl machen. Allerdings landet ihr nach der Bestätigung gar nicht dort, sondern auf Infosec. Das liegt daran, dass als URL folgende eingebettet ist: „https://xxx\@facebook.com:443@infosec.rm-it.de/„.

Der URL-Parser der Kamera-App erkennt hier den falschen Hostname und schwupps, glaubt derjenige, welcher den QR-Code gescannt hat, dass er zu Facebook weitergeleitet wird – landet aber eben ganz woanders. Hier ist also durchaus Missbrauchspotential vorhanden. Apples Security Team wurde bereits über den Bug informiert. Behoben wurde er bisher allerdings noch nicht.