Apple-Betriebssystem 23.01.2019, 07:00 Uhr

iOS-Sicherheitslücke ermöglicht Zugriff auf iPhone, iPad und iPod

Entwickler warnen vor einer Sicherheitslücke im mobilen Betriebssystem iOS von iPhone, iPad und iPod touch. Manipulierte Shortcuts für die Kurzbefehle-App von Apple könnten nach dem Herunterladen auf Systemdateien zugreifen, die eigentlich durch die iOS-Sandbox geschützt sein sollten.

Man sieht ein schwarzes iPhone von der Seite

Eine Sicherheitslücke in der Zugriffskontrolle der Apple-Sandbox erlaubt den Zugang zu geschützten Dateien auf iPhone, iPad und iPod touch.

Foto: Panthermedia.net/blackzheep

Die manipulierten Shortcuts können demnach aus der Sandbox von Apple ausbrechen und so auf Systemdateien mit persönlichen Nutzerdaten zugreifen, warnen Sicherheitsforscher. Die Sandbox beschränkt den Zugriff auf vertrauliche Ressourcen auf App-Ebene. Sie ist sozusagen eine letzte Verteidigungslinie gegen Diebstahl, Beschädigung und Löschung von Benutzerdaten. Außerdem soll die Sandbox verhindern, dass Angreifer Systemhardware entwenden, indem sie Sicherheitslücken in Apps erfolgreich ausnutzen.

So darf eine Sandbox-Anwendung bestimmte Funktionen nur dann nutzen, wenn Nutzer dem explizit zugestimmt haben. Beispiele hierfür sind der Zugriff auf die Hardware wie Kamera und Mikrofon, sowie auf Netzwerkverbindungen oder App-Daten wie Kalender, Ort und Kontakte. Auch dem Zugriff auf Benutzerdateien wie Downloads, Bilder, Musik oder Filme muss der Nutzer vorher zustimmen.

Top Stellenangebote

Zur Jobbörse
Die Autobahn GmbH des Bundes-Firmenlogo
Fachexperte Hochbau (w/m/d) Die Autobahn GmbH des Bundes
Montabaur Zum Job 
GOLDBECK West GmbH-Firmenlogo
Projektleiter Planung (m/w/d) Hochbau Neubau- und Bestandsprojekte GOLDBECK West GmbH
Bochum, Monheim am Rhein Zum Job 
Netzgesellschaft Potsdam GmbH-Firmenlogo
Ingenieur (m/w/d) Strategische Netzplanung Strom, Datennetze, Infokabel, 450 MHz Netzgesellschaft Potsdam GmbH
Potsdam Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Bauingenieur / Experte Vergabe und Vertragsabwicklung (w/m/d) Die Autobahn GmbH des Bundes
Montabaur Zum Job 
Evonik Operations GmbH-Firmenlogo
Ingenieur / Meister / Techniker (m/w/d) mit dem Schwerpunkt: Betriebstechnik und Betriebscontrolling Evonik Operations GmbH
Wittenburg Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Vergabemanager (w/m/d) Die Autobahn GmbH des Bundes
Montabaur Zum Job 
Evonik Operations GmbH-Firmenlogo
Ingenieur / Meister / Techniker (m/w/d) mit dem Schwerpunkt: Betriebstechnik und Betriebscontrolling Evonik Operations GmbH
Wittenburg Zum Job 
KYB Europe GmbH-Firmenlogo
Versuchsingenieur - Fahrzeugabstimmung (m/w/d) KYB Europe GmbH
Aschheim Zum Job 
Stadtwerke Verkehrsgesellschaft Frankfurt am Main mbH-Firmenlogo
Teamleitung Planung Verkehrsinfrastruktur (d/m/w) Stadtwerke Verkehrsgesellschaft Frankfurt am Main mbH
Frankfurt am Main Zum Job 
Heraeus Quarzglas GmbH & Co. KG-Firmenlogo
Process Engineer (m/w/d) Heraeus Quarzglas GmbH & Co. KG
Kleinostheim Zum Job 
KLEBL GmbH-Firmenlogo
Arbeitsvorbereiter / Stationärer Projektleiter (m/w/d) für Auftragsbegleitung und Produktionssteuerung im Bereich Fertigteilbau KLEBL GmbH
Angelburg-Gönnern (Mittelhessen) Zum Job 
Cummins Deutschland GmbH-Firmenlogo
Base Software Engineer (m/f/d) Cummins Deutschland GmbH
Nürnberg Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Bauingenieur als Abteilungsleiter (w/m/d) Bauwerks- und Erhaltungsmanagement Die Autobahn GmbH des Bundes
Nürnberg Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Bauingenieur (w/m/d) Straßenbau Die Autobahn GmbH des Bundes
Die Autobahn GmbH des Bundes-Firmenlogo
Bauingenieur (w/m/d) Bauwerksmanagement Die Autobahn GmbH des Bundes
Hamm, Münster Zum Job 
Cummins Deutschland GmbH-Firmenlogo
Functional Safety Engineer (m/f/d) Cummins Deutschland GmbH
Nürnberg Zum Job 
SCHLENK Gruppe-Firmenlogo
Ingenieur (m/w/d) Prozessentwicklung SCHLENK Gruppe
Roth-Bernlohe Zum Job 
Die Autobahn GmbH des Bundes, Niederlassung Südbayern-Firmenlogo
Bauingenieur für Straßenplanung und Straßenentwurf (m/w/d) Die Autobahn GmbH des Bundes, Niederlassung Südbayern
Regensburg Zum Job 
ZVEI e.V.-Firmenlogo
(Senior) Manager/in technische Regulierung und Normung (w/m/d) ZVEI e.V.
Berlin, Frankfurt am Main Zum Job 
G. Staehle GmbH u. Co. KG-Firmenlogo
Konstrukteur (m/w/d) G. Staehle GmbH u. Co. KG
Stuttgart Zum Job 

Sicherheitslücke in Shortcut-App von Apple

Eine Schwachstelle im iOS-Betriebssystem von iPhone, iPad und iPod touch erlaubt nun unter bestimmten Voraussetzungen den Zugriff auf Systemdateien, die eigentlich durch die iOS-Sandbox geschützt sein sollten. Das ist dann der Fall, wenn manipulierte Shortcuts für die Kurzbefehle-App von Apple runtergeladen werden. Mit der App können Nutzer App-Aufgaben schneller erledigen. Auf dem jeweiligen iOS-Gerät können sie verfügbare Kurzbefehle ausführen. Sie können mit der App aber auch eigene Kurzbefehle erstellen. Die App soll alltägliche Aufgaben vereinfachen, indem sie die Schritte aus mehreren Apps miteinander kombiniert und im Sinne eines Workflows nacheinander ausführt.

Beispielsweise können sich Nutzer den Kurzbefehl „Surfen gehen“ erstellen, bei dem der Surfbericht angezeigt, die voraussichtliche Ankunftszeit am Strand geschätzt und die Playlist mit Surfmusik abgespielt wird. Die Bausteine des Kurzbefehls sind die Aktionen. Jede Aktion bezeichnet dabei einen einzigen Schritt in einer Aufgabe. Nutzer können Aktionen mischen und anpassen. So können sie Kurzbefehle erstellen, die mit den Apps und Inhalten des iOS-Gerätes (iPhone, iPad oder iPod touch) sowie mit Inhalten und Diensten aus dem Internet interagieren.

Zugriff auf iOS-Betriebssystem mit manipulierten Kurzbefehlen

Eine simple Directory-Traversal-Lücke in der Kurzbefehle-App von Apple öffnet nun die Tür in sonst geschützte Verzeichnisse, die detaillierte Daten zur Nutzung des Gerätes umfassen. Als Directory-Traversal-Lücke bezeichnen Entwickler eine Sicherheitslücke in einem Webserver oder einer Webanwendung. Angreifer können hier durch die simple Eingabe von URLs oder durch manipulierte Shortcuts von außen auf Dateien und Verzeichnisse zugreifen, die eigentlich geschützt sind. Mögliche Angriffsziele sind zum Beispiel Dateien mit sensiblen Daten wie etwa Adressdaten, Kreditkartennummern oder Passwörtern.

Apple-Sicherheitslücke: Sandbox versagt

Bei der aktuellen Sicherheitslücke ist es durch die Aktion „Ordner erstellen“ in Apples Kurzbefehle-App möglich, die Sandbox zu überwinden. Dafür reiche es aus, sich durch eine Reihe von „../“-Befehlen in der Verzeichnisstruktur weiter nach oben zu bewegen, um ein gewünschtes Verzeichnis zu öffnen. Die Schutz- und Kontrollfunktion der Sandbox versagt hier anscheinend. Entwickler konnten in Tests zeigen, dass sich so Systemdateien auslesen und als Zip-Datei per iMessage verschicken lassen. Auf dem beschriebenen Weg sei es möglich, Zugriff auf SMS-Datenbanken, Notizen, Nutzungsinformationen und andere Analytics-Daten zu erhalten. Das Heimvernetzungsprotokoll „HomeKit“ von Apple lasse sich so ebenfalls klauen. Und auch auf zwischengespeicherte Bilder könne zugegriffen werden, merkt der Entwickler Khaos Tian an, der eine gravierende HomeKit-Lücke entdeckt hatte.

Shortcuts für Apple vor dem Download genau prüfen

Zwar scheint es für Hacker aktuell noch keine Möglichkeit zu geben, die Schwachstelle aus der Ferne und ohne Nutzerinteraktion zu verwenden. Allerdings können Angreifer manipulierte Shortcuts zum Download bereitstellen. Bis Apple die Sicherheitslücke in den Shortcuts beseitigt hat, sollten Kurzbefehle-Anwender heruntergeladene Shortcuts erst genau prüfen, bevor sie diese ausführen.

 

Mehr zu Apple:

Ein Beitrag von:

  • Thomas Kresser

    Thomas Kresser macht Wissenschafts- und Medizinjournalismus für Publikumsmedien, Fachverlage, Forschungszentren, Universitäten und Kliniken. Er ist geschäftsführender Gesellschafter von ContentQualitäten und Geschäftsführer von DasKrebsportal.de. Seine Themen: Wissenschaft, Technik, Medizin/Medizintechnik und Gesundheit.

Themen im Artikel

Zu unseren Newslettern anmelden

Das Wichtigste immer im Blick: Mit unseren beiden Newslettern verpassen Sie keine News mehr aus der schönen neuen Technikwelt und erhalten Karrieretipps rund um Jobsuche & Bewerbung. Sie begeistert ein Thema mehr als das andere? Dann wählen Sie einfach Ihren kostenfreien Favoriten.