Webkit-Fehler erlaubt Datenklau
Quelle: SITM

Webkit-Fehler erlaubt Datenklau

Ein polnischer Sicherheitsforscher hat eine Schwachstelle in Safari für MacOS sowie sämtlichen Browsern für Apple-Mobilgeräte publiziert, die böswilligen Webseiten Zugriff auf lokale Dateien verschafft.
26. August 2020

     

Eine Schwachstelle in der Webkit-Engine, die als Basis für Apples Safari-Browser auf Mac, iPhone und iPad sowie für alle andern Browser für iOS und iPadOS dient, ist ein potenzielles Einfallstor für Angreifer, die auf lokale Dateien abzielen. Konkret geht es um die Implementation der Web Share API, die bei Webkit zusätzlich zum Teilen von Webinhalten via Apps auch den Zugriff auf lokale Dateien gemäss dem URL-Schema file:// ermöglicht. Manipulierte Webseiten können auf diese Weise beim Teilen von Inhalten wie Bildern weitere Dateien anhängen, die auf dem Zielgerät gespeichert sind.

Der Sicherheitsforscher Pawel Wylecial vom Tech-Blog Redteam.pl hat dazu zwei Proofs-of-Concept erstellt und publiziert. Zwar benötigt die Ausführung eines Angriffs eine Interaktion des Nutzers – er muss ja explizit etwas teilen. Aber die heimlich angehängte zusätzliche Datei ist einfach zu verstecken, sodass der Nutzer oft nichts davon merkt. So wird der Anhang zum Beispiel in der Mail-App für iOS erst sichtbar, wenn man ganz bis zum Ende scrollt, und in der Messages-App für MacOS erscheint zwar neben dem Link zum geteilten Bild ein Dateisymbol, jedoch ohne Dateiname.


Wylecial hat das Leck im April 2020 an Apple gemeldet. Erst im August hat Apple dann nach mehrfachem Nachfassen reagiert und gebeten, er solle die Details doch bitte noch nicht veröffentlichen. Ein Fix sei erst auf den Frühling 2021 vorgesehen. (ubi)


Artikel kommentieren
Kommentare werden vor der Freischaltung durch die Redaktion geprüft.

Anti-Spam-Frage: Aus welcher Stadt stammten die Bremer Stadtmusikanten?
GOLD SPONSOREN
SPONSOREN & PARTNER