Sicherheitsforscher kritisiert Apple
von caschy | 11 Kommentare
Ein Sicherheitsforscher kritisiert Apple. Er habe laut eigener Aussagen in diesem Jahr zwischen dem 10. März und dem 4. Mai vier 0-Day-Schwachstellen (Zero-Day-Exploit nennt man einen Exploit, der eingesetzt wird, bevor es einen Patch als Gegenmaßnahme gibt) gemeldet, von denen drei immer noch in der neuesten iOS-Version (15.0) vorhanden sind und eine in 14.7 behoben wurde. Er störte sich daran, dass sein Fund nicht auf Apples Informationsseite zu Sicherheitsupdates gelistet wurde. Apple soll laut Bericht des Sicherheitsforschers mitgeteilt haben, dass man dies nachholen werde, was nicht passierte.
Auch wies er noch einmal auf offene Schwachstellen hin – und nachdem niemand reagiert hatte, machte er diese öffentlich. Sein Vorgehen stehe im Einklang mit den Richtlinien für eine verantwortungsvolle Offenlegung (Googles Project Zero veröffentlicht Sicherheitslücken innerhalb von 90 Tagen nach ihrer Meldung an den Anbieter, ZDI innerhalb von 120 Tagen).
Laut Bericht sind die Lücken schwerwiegend, ein Proof of Concept (PoC – die prinzipielle Durchführbarkeit eines Vorhabens ist belegt) steht bereit. Was sich so findet? Sollte es eine entsprechend manipulierte App in den App Store schaffen, dann hätte sie weitreichende Möglichkeiten, Informationen abzuziehen, ohne dass der Benutzer dieses mitbekommt. Dazu gehören unter anderem Name und E-Mail-Adresse, Zugriff auf Core-Duet-Datenbank, die wiederum eine Liste von Kontakten aus Mail, SMS, iMessage und Messaging-Apps von Drittanbietern sowie Metadaten über alle Interaktionen des Nutzers mit diesen Kontakten (einschließlich Zeitstempel und Statistiken), außerdem einige Anhänge (wie URLs und Texte) enthalten soll.
Ebenso sei der Lesezugriff auf das Dateisystem der Kurzwahldatenbank und der Adressbuchdatenbank, einschließlich Kontaktbildern und anderen Metadaten wie Erstellungs- und Änderungsdaten möglich. Letzteres funktioniere aber nicht unter iOS 15, weshalb der Sicherheitsforscher davon ausgehe, dass Apple dies bereits gefixt habe. Ein Entwickler – der derzeit wegen seiner App FlickType im Rechtsstreit mit Apple ist – konnte eine Lücke unter iOS 14.8 bestätigen:
Can confirm the exploit runs successfully on iOS 14.8: pic.twitter.com/6k3RCumwys
— Kosta Eleftheriou (@keleftheriou) September 24, 2021
Vermutlich wird gerade rotiert – und ein Update dürfte folgen.
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Wird geladen ...
Da hilft nur eins: Lücken veröffentlichen und für Apple den Druck erhöhen.
Anders verstehen die Unternehmen das nicht. Wenn die Lücken dann öffentlich sind, heulen die Unternehmen wieder rum: wie man sowas machen konnte. Typisch.
Wenn Gender-Gaga wichtiger ist als das Beseitigen von Sicherheitslücken. :/
Äpfel, Birnen.
Haha, das Bild über dem Artikel ist großartig!
Was? Ich dachte Apple ist so eingeschränkt um ihre User in der sicheren, heilen Bubble-Welt von allem bösen da draussent zu schützen?! Oder war das alles doch nur Marketing-Blabla? Natürlich ist es Blabla, leider glauben es viele noch und sehen es als Vorteil…
Bin ich der einzige der die Meldung richtig versteht?
Es muss eine kompromittierte App in den App Store gelangen: ist doch ein leichtes bei der Einreichung der App auf genau diese Ausnutzung der Schwachstelle zu prüfen und dann eben nicht zuzulassen – ist wohl aus Apples Sicht einfacher als einen Fix bereitzustellen^^
Sehe ich auch so. Und passt auch zum vorherigen Kommentar – einfach mal draufhauen, egal was Sache ist.
Allerdings muss man dann hoffen, dass Apple Apps tatsächlich auf diese Sache hin kontrolliert. Dann ist es mit dem Patch nicht so eilig und man kann ihn normal einbauen in ein kommendes Update, zB 15.1.
Hallo natürlich prüft Apple jeden einzelnen App. Genauso wie bei der Entwicklung bei Apple immer Sicherheit zu erst kommt. Deswegen würde Apple auch niemals feature vor Behebung von Sicherheitslücken stellen.
Leider ist das Blödsinn, weil Apple so nicht sicherstellen kann, dass nicht bereits im Appstore befindliche Apps diese Lücken ausnutzen. Millionen von Apps erneut zu prüfen dürfte weitaus aufwändiger und langsamer sein, als die Lücken zu beseitigen.
Ich gehe davon aus, dass die weder alte noch neue Apps darauf bisher geprüft haben. Sie haben das Thema einfach ausgesessen, weil sie ihre Kapazitäten auf die Fertigstellung von iOS 15 gerichtet haben. Denn diese Firma ist heutzutage nur noch vom Marketing bestimmt.
Ist es wirklich so leicht? Ich frage mich schon, was man von einer AppStore Kontrolle erwarten darf, die bereits in der Vergangenheit dadurch aufgefallen ist, betrügerische Apps durchzulassen, wenn diese nur einen großen weißen Bildschirm mit 300 Dollar InGame Kauf angezeigt haben oder die Betrügereien erst nach einigen Klicks/Sekunden angefangen haben.
Um ehrlich zu sein wäre es mir lieber, wenn mein iPhone gar nicht erst anfällig ist, als auf eine nebulöses AppStore-Überprüfung zu vertrauen.
Die Entitlements von Bundles sind einfach zu überprüfen. Hier hat sich jemand ein kleines Tool dafür gebaut: https://github.com/matrejek/SwiftEntitlements
Die internen Tools testen sicher seit bekanntwerden auf die Schwachstellen, nur der Fix dafür wurde wegen der Arbeit an iOS 15 auf den Back Burner verschoben. Die Kommunikation läßt halt stark zu wünschen übrig. Andererseits, was will man ihm halt auch erzählen…