iOS-Sandbox-Lücke steckte in MDM-Verwaltung

Apple hat Mitte August eine Schwachstelle in iOS namens Quicksand (CVE-2015-5749) behoben, die Zugriff auf Firmendaten wie Serverzugänge exponieren konnte. Darauf weist ihr Entdecker Appthority hin. Demnach waren Clients für Mobile Device Management (MDM) ebenso wie per Managed App Configuration verteilte Apps betroffen.

IT-Abteilungen verteilen von MDM-Clients benötigte Zugangs- und Authentifizierungsdaten oft per Push, weil dieses Verfahren Aktualität garantiert und bequem ist. Die Schwachstelle in der Isolierung des Systems – seiner Sandbox – ermöglichte jedoch fremden Apps oder auch dem MDM-Anbieter Zugriff auf solche Daten.

Appthority schildert ein Szenario, bei dem Angreifer eine manipulierte App auf einem ungepatchten Firmengerät platzieren und damit MDM-Daten abfangen könnten. Auf das fragliche Verzeichnis hätten alle Apps Zugriff. Zu den betroffenen Daten zählen nach seiner Darstellung häufig Server-URL und Zugangsdaten einschließlich im Klartext gespeicherter Passwörter.

Wie schwer die Sandbox-Schwachstelle in der Praxis wiegt, hängt von der konkreten Firma und ihrer Arbeitsweise wie auch ihren Sicherheitskonfigurationen ab. Statistiken von Appthority zufolge erhalten aber 67 Prozent aller von der Konfiguration abhängigen Firmen-Apps ihre Authentifizierungsdaten per MDM.

Appthority hatte die Schwachstelle Apple gemeldet, das sie mit iOS 8.4.1 behob. Wie lange Apple dafür benötigte, teilte die Sicherheitsfirma nicht mit.

iOS 8.4.1 von Mitte August verbesserte Apple Music und schloss insgesamt 71 Sicherheitslücken. 25 Anfälligkeiten beseitigte es alleine in der Browserengine WebKit. Acht als kritisch einzustufende Schwachstellen hatte das TaiG Jailbreak Team entdeckt.

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.