Apple schließt Zero-Day-Lücken in iOS und macOS

Apple hat Sicherheitsupdates für iOS, iPadOS, macOS und watchOS veröffentlicht. Sie schließen bis zu zwei Zero-Day-Lücken. Dem iPhone-Hersteller liegen zudem Berichte vor, wonach die Anfälligkeiten bereits aktiv von Cyberkriminellen für Angriffe eingesetzt werden.

Die erste Schwachstelle steckt in der Komponenten ImageIO, die für die Verarbeitung von Grafikdateien zuständig ist. Eine speziell gestaltete Bilddatei kann laut Apple zum Einschleusen und Ausführen von Schadcode benutzt werden. Auslöser ist ein Pufferüberlauf.

Zero-Day schleust Pegasus-Spyware ein

Entdeckt wurde die Zero-Day-Lücke vom Citizen Lab der Munk School an der University of Toronto. Demnach war sie Bestandteil einer Zero-Click-Exploit-Kette, die wiederum benutzt wurde, um ein iPhone eines Mitarbeiters einer Bürgerrechtsorganisation in der US-Hauptstadt Washington zu kompromittieren. Unbekannte schleusten über die Exploit-Kette namens Blastpass die Spionagesoftware Pegasus der NSO Group in ein vollständig gepatchtes iPhone mit iOS 16 ein.

Eine zweite Schwachstelle, die offenbar ebenfalls an der Infektionskette beteiligt war, wurde von Apple mithilfe von Citizen Lab in der Wallet-App entdeckt. Hier kann ein speziell gestalteter Dateianhang eine Remotecodeausführung auslösen.

iOS 16.6.1 sowie iPadOS 16.6.1 sollen nun beide Löcher in iPhone 8 und später, iPad Pro, iPad Air dritte Generation und neuer, iPad fünfte Generation und neuer sowie iPad Mini fünfte Generation und neuer stopfen. Die Wallet-Lücke beseitigt Apple zudem mit watchOS 9.6.2. Nutzer von macOS Ventura erhalten indes das Update auf die Version 13.5.2, dass den Bug in ImageIO korrigiert.

Citizen Lab rät allen Nutzern, die verfügbaren Updates unverzüglich zu installieren. Anwender, die sich selbst als mögliches Ziel derartiger Cyberangriffe ansehen, sollten laut Citizen Lab den Blockierungsmodus von iOS 16, iPadOS 16 beziehungsweise macOS Ventura aktivieren.