Sicherheitsforscher: Fehler in iOS ermöglicht Start beliebiger Apps

Manipulierte Websites können ohne Rückfrage eine Anwendung wie Skype starten (Bild: Nitesh Dhanjani).

Der Sicherheitsforscher Nitesh Dhanjani hat vor einer Lücke in Apples Mobilbetriebssystem iOS gewarnt. Demnach handhabt Safari URLs fehlerhaft. Ein Angreifer könnte die Anfälligkeit missbrauchen, um beliebige Anwendungen zu starten.

In einem Blogeintrag schreibt Dhanjani, dass die von der Schwachstelle ausgehende Gefahr bei Applikationen von Drittanbietern größer sei als bei Apps von Apple. Als Beispiel nennt er die Telefonanwendung. Beim Besuch einer manipulierten Website würden vor dem Start ein Warnhinweis und die anzurufende Telefonnummer eingeblendet. Bei Applikationen externer Anbieter sei dies nicht der Fall.

„Nehmen wir an, ein Anwender hat Skype installiert. Nehmen wir auch an, er hat die App schon einmal benutzt, seine Anmeldedaten wurden gespeichert“, schreibt Dhanjani. „In diesem Fall blendet Safari keine Warnung ein.“ Stattdessen werde Skype sofort gestartet und eine Nummer angewählt. Eine schädliche Website könne so auch die Skype-ID und damit die Identität eines Nutzers ermitteln.

Der Unterschied zwischen Apps von Apple und Drittanbieteranwendungen sei, dass Erstere immer nach einer Erlaubnis fragten, bevor Safari geschlossen werde, so Dhanjani. Bei Apps von externen Anbietern sei das Einblenden einer Warnung erst möglich, nachdem Safari beendet worden sei. Das Problem ließe sich dadurch lösen, dass Safari generell nach einer Genehmigung fragt, bevor es einen Nutzer zu einer anderen Anwendung weiterleitet.

Dhanjani hat nach eigenen Angaben Apple darauf hingewiesen, dass dieser Fehler in iOS und auch Mac OS X steckt. Apple habe geantwortet, die Verantwortung für das Einblenden einer Rückfrage liege bei den Entwicklern, berichtet er. „Ich glaube, dass das vom URL-Handling in iOS ausgehende Risiko erheblich ist, da es Dritte in die Lage versetzt, ohne Rückfrage bei Nutzern Anwendungen zu starten und Befehle auszuführen.“ Anwendungsentwickler müssten über das Problem informiert werden.

Schon 2008 hatte Dhanjani eine Anfälligkeit in Safari entdeckt. Er beschrieb einen Angriff über eine manipulierte Website, bei dem Schadcode in beliebigem Umfang auf dem Rechner eines Safari-Nutzers gespeichert wurde. Der Sicherheitsforscher nutzte dabei den Umstand aus, dass Safari vor einem Download Nutzer nicht um Erlaubnis fragt.

In Safari für Mac hat Apple die Anfälligkeit bisher nicht behoben. Das Problem wurde aber in der Windows-Version des Browsers beseitigt, nachdem Microsoft vor dem Einsatz von Safari gewarnt hatte.