Categories: MobileMobile OS

Sicherheitsforscher hebelt erneut Passwortsperre von iOS 12 aus

Jose Rodriguez, der auch unter dem Youtube-Nutzernamen Videosdebarraqito bekannt ist, hat einen weiteren Bug in iOS 12 gefunden, der es erlaubt, die Passwortsperre von iPhones und iPads zu umgehen und ohne Eingabe eines Kennworts vertrauliche Informationen einzusehen. Betroffen sind diesmal alle Geräte mit iOS 12 und auch iOS 12.0.1, wie der Sicherheitsforscher berichtet und AppleInsider mit eigenen Tests bestätigt.

Allerdings benötigt ein Angreifer physischen Zugang zu einem iOS-Gerät – aus der Ferne lässt sich der Bug nicht ausnutzen. Zudem muss die Handynummer des Opfers bekannt sein, die sich der Angreifer aber auch von Siri vorlesen lassen kann. Danach muss er eine SMS an das Gerät des Opfers schicken.

In einem Video zeigt Rodriguez, dass ein Fehler in der Sprachausgabe, die ebenfalls über Siri aktiviert wird, beim Verfassen einer Antwort auf die SMS per Touch-Gesten den Zugriff auf eigentlich verborgene Bedienelemente erlaubt. Dadurch wiederum ist es möglich, beliebige Fotos aus der Galerie auszuwählen. Die Fotos sind während der Auswahl zwar nicht sichtbar, die Sprachausgabe versucht allerdings, den Inhalt zu beschreiben. Da sich mehrere Bilder zu einer Nachricht hinzufügen lassen, kann der Angreifer also auch nahezu beliebig viele Fotos anzeigen lassen.

Durch die Deaktivierung der Sprachausgabe ist es anschließend möglich, mit Wischgesten durch die ausgewählten Fotos zu blättern und auch einzelne Bilder wieder aus der Auswahl zu entfernen. Danach kann sich der Angreifer die Bilder an seine eigene Handynummer schicken.

AppleInsider weist jedoch auf eine Einschränkung hin. Zu Beginn des Angriffs müssen bestimmte Bedienelemente in einer genauen Abfolge betätigt werden: zuerst muss das Kamera-Symbol in der Nachrichten-App angetippt werden, dann muss Siri mit dem seitlichen Button gestartet und ein Doppelklick auf dem Bildschirm ausgeführt werden. Diese Abfolge kann aber beliebig wiederholt werden – bis der Fehler ausgelöst und der Bildschirm schwarz wird, um von dort die Foto-Bibliothek durch Wischen nach links aufzurufen.

Erst vor kurzem hatte Rodriguez zwei Bugs in iOS 12 an Apple gemeldet, die ebenfalls Siri und die Voice-Over-Funktion betrafen und die Bildschirmsperre unwirksam machten. Apple stopft beide Löcher mit dem Update auf iOS 12.0.1. Auch in früheren Versionen von Apples Mobilbetriebssystem war der Forscher bereits fündig geworden.

Nutzer können sich jedoch leicht vor derartigen Bugs schützen. In den Einstellungen des Sprachassistenten Siri lässt sich die Option „Siri im Sperrzustand erlauben“ deaktivieren. Allerdings muss dann für den Zugriff auf Siri das Gerät stets zuerst entsperrt werden.

Whitepaper

Studie zu Filesharing im Unternehmen: Kollaboration im sicheren und skalierbaren Umfeld

Im Rahmen der von techconsult im Auftrag von ownCloud und IBM durchgeführten Studie wurde das Filesharing in deutschen Unternehmen ab 500 Mitarbeitern im Kontext organisatorischer, technischer und sicherheitsrelevanter Aspekte untersucht, um gegenwärtige Zustände, Bedürfnisse und Optimierungspotentiale aufzuzeigen. Jetzt herunterladen!

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

11 Stunden ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

15 Stunden ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

16 Stunden ago

Lags beim Online-Gaming? DSL-Vergleich und andere Tipps schaffen Abhilfe

Beim Online-Gaming kommt es nicht nur auf das eigene Können an. Auch die technischen Voraussetzungen…

16 Stunden ago

GenKI-Fortbildung immer noch Mangelware

Fast jedes zweite Unternehmen bietet keinerlei Schulungen an. In den übrigen Betrieben profitieren oft nur…

16 Stunden ago

Netzwerk-Portfolio für das KI-Zeitalter

Huawei stellt auf der Connect Europe 2024 in Paris mit Xinghe Intelligent Network eine erweiterte…

18 Stunden ago