Schon wieder Zero-Day-Leck in iOS
Quelle: Apple

Schon wieder Zero-Day-Leck in iOS

Nach der kürzlich entdeckten Mail-Lücke wartet bereits die nächste Zero-Day-Schwachstelle auf iPhone- und iPad-Nutzer. Sie soll sich besonders einfach ausnutzen lassen.
5. Mai 2020

     

Die Serie frisch veröffentlichter Zero-Day-Lücken in iOS und iPadOS reisst nicht ab – über das zuletzt bekanntgewordene Problem hat "Swiss IT Magazine" berichtet. In den beiden Mobil-OS-Varianten klafft bis hin zur aktuellen Version 13.4.1 ein Leck, für das bereits ein Exploit existiert. Ob es im App Store trotz Apples strenger Überprüfung Apps gibt, die diese Schwachstelle ausnutzen, ist nicht bekannt.

Apps können sich mit Hilfe von manipulierten XML-Kommentaren unkompliziert nach Lust und Laune Berechtigungen verschaffen. So können entsprechend programmierte Apps zum Beispiel aus ihrer vom OS eigentlich vorgegebenen Sandbox ausbrechen und mit den Rechten des Gerätebesitzers auf das gesamte Filesystem zugreifen.


Dies legt ein Sicherheitsforscher mit Nickname Siguza in seiner Github-Präsenz unter dem Namen "Psychic Paper" ausführlich dar. Mit der neuesten Betaversion 3 von iOS 13.5 (das ursprünglich 13.4.5 heissen sollte) sei das Problem ausgeräumt, meldet Siguza weiter. Bei früheren Versionen dagegen sei es geradezu lächerlich einfach, die Schwachstelle auszunutzen, was er selbst seit drei Jahren in eigenen Forschungsprojekten auch schon getan habe.

"Es existiert dann für die Nutzerdaten keine Sicherheit mehr", fährt der Beitrag fort. Konkret braucht es für den Exploit einen gezielt falsch formulierten XML-Kommentar in einem Plist-File. Siguza hat sich, nachdem das Leck seit Jahren existiert hat, gerade jetzt zur Veröffentlichung der Schwachstelle samt Exploit entschieden, weil sie mit der nächsten iOS-Version behoben wird. (ubi)


Weitere Artikel zum Thema

iOS 13.5 erleichtert iPhone-Entsperrung beim Tragen von Schutzmasken

4. Mai 2020 - Mit dem Update auf iOS 13.5 soll das Entsperren eines iPhone beim Tragen einer Schutzmaske vereinfacht werden. Face ID kommt nämlich mit den zurzeit weit verbreiteten Masken, welche die Hälfte des Gesichts verdecken, nicht klar.

Zero-Day-Lücke in iOS entdeckt

23. April 2020 - Sicherheitsforscher haben eine Zero-Day Lücke in Apples Betriebssystem iOS gefunden. Diese betrifft die Mail App und soll schon seit 2018 aktiv ausgenutzt worden sein, um iPhones zu infizieren. Apple wird die Lücke in einer kommenden Version von iOS 13 schliessen.

iOS 14 Avocado: Widgets fürs iPhone

7. April 2020 - Apple arbeitet an einem Feature, welches erstmals Widgets aufs iPhone bringen würde. Ob das Feature tatsächlich erscheint, ist aber noch unklar.


Artikel kommentieren
Kommentare werden vor der Freischaltung durch die Redaktion geprüft.

Anti-Spam-Frage: Vor wem mussten die sieben Geisslein aufpassen?
GOLD SPONSOREN
SPONSOREN & PARTNER