Apple hat am Freitag iOS 7.0.6 freigegeben, das eine kritische SSL-Lücke (CVE-2014-1266) in seinem Mobilbetriebssystem schließt. Der Update-Beschreibung zufolge konnte zuvor die Echtheit einer verschlüsselten Verbindung nicht überprüft werden und der Fix ergänzt die für eine Validierung nötigen Schritte. Die Schwachstelle erlaubte es Angreifern mit erweiterten Rechten, Daten zu komprommitieren oder zu verändern, die eigentlich durch SSL/TLS geschützt sein sollten.
Wie üblich schweigt sich Apple zu Einzelheiten der Sicherheitslücke aus. Daher ist es schwierig, das von ihr ausgehende Risiko einzuschätzen. „Sie hat das Potenzial, ein sehr ernsthaftes Problem zu sein“, sagt der iOS-Sicherheitsexperte Jonathan Zdziarski. Möglich seien beispielsweise Man-in-the-Middle-Angriffe, bei denen ein Angreifer an ein Telefon übermittelte Daten abgreift.
Zdziarski betont auch, dass Apple keinerlei Einschränkungen in seiner Beschreibung der Schwachstelle nennt – etwa, dass der Fehler nur Auftritt, wenn eine bestimmte App läuft. Das deute darauf hin, dass das Problem das gesamte Telefon betrifft, ein Angreifer also die volle Kontrolle über das Gerät und die darauf gespeicherten Daten übernehmen kann.
Der Patch steht in Form von iOS 6.1.6 auch für Apples vorherige Mobilbetriebssystemversion bereit. Einen entsprechenden Fix für sein Desktop-OS Mac OS X will das Unternehmen aus Cupertino „sehr bald“ nachliefern. In einer E-Mail an Reuters erklärte es, dass man von der Schwachstelle wisse und bereits einen Patch entwickelt habe, der in den nächsten Tagen erscheinen werde.
Das nächste größere Update für iOS 7 wird für März erwartet. iOS 7.1 soll unter anderem kleinere Änderungen an der Oberfläche, ein modifiziertes Tastaturlayout und Fahrzeugfunktionen mitbringen.
[mit Material von Richard Nieva, News.com, und Zack Whittaker, ZDNet.com]
Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
