Categories: MobileMobile OS

Sicherheitsforscher hebelt erneut Passwortsperre von iOS 12 aus

Jose Rodriguez, der auch unter dem Youtube-Nutzernamen Videosdebarraqito bekannt ist, hat einen weiteren Bug in iOS 12 gefunden, der es erlaubt, die Passwortsperre von iPhones und iPads zu umgehen und ohne Eingabe eines Kennworts vertrauliche Informationen einzusehen. Betroffen sind diesmal alle Geräte mit iOS 12 und auch iOS 12.0.1, wie der Sicherheitsforscher berichtet und AppleInsider mit eigenen Tests bestätigt.

Allerdings benötigt ein Angreifer physischen Zugang zu einem iOS-Gerät – aus der Ferne lässt sich der Bug nicht ausnutzen. Zudem muss die Handynummer des Opfers bekannt sein, die sich der Angreifer aber auch von Siri vorlesen lassen kann. Danach muss er eine SMS an das Gerät des Opfers schicken.

In einem Video zeigt Rodriguez, dass ein Fehler in der Sprachausgabe, die ebenfalls über Siri aktiviert wird, beim Verfassen einer Antwort auf die SMS per Touch-Gesten den Zugriff auf eigentlich verborgene Bedienelemente erlaubt. Dadurch wiederum ist es möglich, beliebige Fotos aus der Galerie auszuwählen. Die Fotos sind während der Auswahl zwar nicht sichtbar, die Sprachausgabe versucht allerdings, den Inhalt zu beschreiben. Da sich mehrere Bilder zu einer Nachricht hinzufügen lassen, kann der Angreifer also auch nahezu beliebig viele Fotos anzeigen lassen.

Durch die Deaktivierung der Sprachausgabe ist es anschließend möglich, mit Wischgesten durch die ausgewählten Fotos zu blättern und auch einzelne Bilder wieder aus der Auswahl zu entfernen. Danach kann sich der Angreifer die Bilder an seine eigene Handynummer schicken.

AppleInsider weist jedoch auf eine Einschränkung hin. Zu Beginn des Angriffs müssen bestimmte Bedienelemente in einer genauen Abfolge betätigt werden: zuerst muss das Kamera-Symbol in der Nachrichten-App angetippt werden, dann muss Siri mit dem seitlichen Button gestartet und ein Doppelklick auf dem Bildschirm ausgeführt werden. Diese Abfolge kann aber beliebig wiederholt werden – bis der Fehler ausgelöst und der Bildschirm schwarz wird, um von dort die Foto-Bibliothek durch Wischen nach links aufzurufen.

Erst vor kurzem hatte Rodriguez zwei Bugs in iOS 12 an Apple gemeldet, die ebenfalls Siri und die Voice-Over-Funktion betrafen und die Bildschirmsperre unwirksam machten. Apple stopft beide Löcher mit dem Update auf iOS 12.0.1. Auch in früheren Versionen von Apples Mobilbetriebssystem war der Forscher bereits fündig geworden.

Nutzer können sich jedoch leicht vor derartigen Bugs schützen. In den Einstellungen des Sprachassistenten Siri lässt sich die Option „Siri im Sperrzustand erlauben“ deaktivieren. Allerdings muss dann für den Zugriff auf Siri das Gerät stets zuerst entsperrt werden.

Whitepaper

Studie zu Filesharing im Unternehmen: Kollaboration im sicheren und skalierbaren Umfeld

Im Rahmen der von techconsult im Auftrag von ownCloud und IBM durchgeführten Studie wurde das Filesharing in deutschen Unternehmen ab 500 Mitarbeitern im Kontext organisatorischer, technischer und sicherheitsrelevanter Aspekte untersucht, um gegenwärtige Zustände, Bedürfnisse und Optimierungspotentiale aufzuzeigen. Jetzt herunterladen!

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Microsoft verschiebt erneut Copilot Recall

Die Entwickler arbeiten noch an weiteren „Verfeinerungen“. Windows Insider erhalten nun wohl eine erste Vorschau…

13 Stunden ago

GenKI im Job: Mitarbeitende schaffen Tatsachen

Laut Bitkom-Umfrage werden in jedem dritten Unternehmen in Deutschland private KI-Zugänge genutzt. Tendenz steigend.

15 Stunden ago

97 Prozent der Großunternehmen melden Cyber-Vorfälle

2023 erlitten neun von zehn Unternehmen in der DACH-Region Umsatzverluste und Kurseinbrüche in Folge von…

15 Stunden ago

„Pacific Rim“-Report: riesiges, gegnerisches Angriffs-Ökosystem

Der Report „Pacific Rim“ von Sophos beschreibt Katz-und-Maus-Spiel aus Angriffs- und Verteidigungsoperationen mit staatlich unterstützten…

19 Stunden ago

DeepL setzt erstmals auf NVIDIA DGX SuperPOD mit DGX GB200-Systemen

NVIDIA DGX SuperPOD soll voraussichtlich Mitte 2025 in Betrieb genommen und für Forschungsberechnungen genutzt werden.

19 Stunden ago

Latrodectus: Gefährlicher Nachfolger von IcedID

Latrodectus, auch bekannt als BlackWidow, ist auch unter dem Namen LUNAR SPIDER bekannt.

19 Stunden ago