"goto fail": Demo-Exploit für SSL-Schwachstelle in iOS und OS X

Es habe ihn keinen ganzen Tag gekostet, mit seinem Tool mitmproxy Apples fehlerhafte SSL-Implementierung auszunutzen, berichtet der Sicherheitsforscher Aldo Cortesi in einem Blogeintrag am Dienstag. Auf diese Weise konnte er HTTPS-Verbindungen von iOS-Geräten (außer mit iOS 7.0.6) und Macs mit OS X 10.9 Mavericks abhören – und "fast allen" verschlüsselten Traffic vollständig mitschneiden, inklusive der Benutzernamen und Passwörter, betont Cortesi.

Darunter fallen Verbindungen zum App Store sowie der Softwareaktualisierung, iCloud-Daten (inklusive Registrierung für den Schlüsselbund-Sync), Kalendereinträge und Erinnerungen, Find-My-Mac-Updates und der Datenverkehr von bestimmten Programmen wie dem Twitter-Client, erklärt der Sicherheitsforscher.

Es sei schwierig, den Ernst des Problems übertrieben darzustellen, so Cortesi, der die Anpassung für mitmproxy vorerst nicht veröffentlichen will. Es seien einige "spezielle Dinge" erforderlich, um die Schwachstelle auszunutzen, schreibt der Sicherheitsforscher auf Twitter. Details will er nennen, wenn Apple das Problem beseitigt hat.

Apple hat die gravierende SSL-Schwachstelle mit iOS 7.0.6, iOS 6.1.6 und Apple TV 6.0.2 am vergangenen Freitag behoben – für Macs mit OS X 10.9 Mavericks steht bis jetzt allerdings kein Update bereit, die nun weithin bekannte Lücke lässt sich nach wie vor ausnutzen. Dazu muss der Angreifer im selben Netzwerk sein.

[Update 26.02.2014 13:05 Uhr] Apple hat die SSL-Schwachstelle am Dienstagabend mit OS X 10.9.2 beseitigt. (lbe)