Weitere Zero-Day-Schwachstelle in iOS: Apps können aus Sandbox ausbrechen
Mit manipulierten XML-Kommentaren ist es Apps auf iPhone und iPad offenbar möglich, sich ungehindert beliebige Berechtigungen einzuräumen.
(Bild: dpa, Joel Carrett)
In iOS und iPadOS klafft bis hin zur aktuellen Version 13.4.1 eine weitere Schwachstelle, zu der inzwischen umfangreiche Details und ein Exploit öffentlich vorliegen. Apps sind mit einer simplen Methode in der Lage, sich beliebige Berechtigungen einzuräumen, wie der Sicherheitsforscher Siguza darlegt. Das erlaubt es iOS-Programmen beispielsweise, aus der Sandbox auszubrechen und mit Lese- und Schreibrechten des Nutzers auf das komplette Dateisystem zuzugreifen.
Manipulierte Apps können Nutzerdaten abgreifen
Sicherheit für Nutzerdaten "existiert dadurch nicht länger", betont Siguza. Apps könnten auf diesem Wege außerdem eine Shell öffnen und sich Berechtigungen für JIT-Kompilierung erteilen, wie als weitere Beispiele aufgeführt wird. Zudem wachse die Angriffsfläche insgesamt erheblich, sodass manipulierte Apps nach dem Ausbruch aus der Sandbox versuchen können, Root- oder gleich Kernel-Rechte zu erlangen – dafür braucht es aber noch zusätzliche Schwachstellen.
Das Ausnutzen der Schwachstelle erfordert nicht mehr als einen XML-Kommentar mit gezielt fehlerhafter Syntax in einer Plist-Datei. Beim Starten der App werde der manipulierte Kommentar vom ersten Parser einfach ignoriert. Ein weiterer Parser, der die Berechtigungen der laufenden App dann prüft, akzeptiere dafür die willkürlich gesetzten Berechtigungen (Entitlements) einfach. iOS verwende gleich vier XML-Parser, führt der Sicherheitsforscher aus, die wohl jeweils etwas anderes übersehen – es handele sich nicht einfach um einen Logikfehler, sondern einen Design-Fehler auf Systemebene.
Er habe diesen Bug bereits seit rund drei Jahren für verschiedene eigene Projekte eingesetzt, schreibt Siguza. Nun habe er sich zur Veröffentlichung entschieden, weil Apple die Schwachstelle gepatcht hat – allerdings erst in iOS 13.5, das bislang nur als Beta vorliegt.
Vorsicht bei Sideloading – besonders bei Firmen-iPhones
Derzeit bleibt unklar, ob derart manipulierte Apps es bereits durch Apples Zulassungsprüfung in den App Store geschafft haben.
Besonders problematisch ist der nun bekannte Bug im Kontext von App-Sideloading sowie bei der Verwendung von iPhones und iPads in Unternehmensumgebungen. Administratoren können in der Geräteverwaltung das Sideloading von Apps, die mit einer kostenlosen Apple-ID signiert wurden, unterbinden, wie der Sicherheitsforscher Andreas Kurtz auf Twitter anmerkt. Apps, die mit Enterprise-Zertifikaten signiert wurden, lassen sich aber weiterhin installieren, entsprechend sollten nur noch Programme und Updates aus vertrauenswürdigen Quellen über MDM-Tools bereitgestellt werden.
Das Sideloading-Tool AltStore hat inzwischen eine Warnmeldung integriert, die Nutzer darauf hinweisen soll, wenn eine App erweiterte Berechtigungen ergreift.
Es ist bereits die zweite Zero-Day-Lücke in iOS 13: Schwachstellen in Mail können es einem Angreifer erlauben, E-Mails zu manipulieren – und in Kombination mit weiteren Schwachstellen möglicherweise auch eine Übernahme des Gerätes erlauben. Auch dafür liegt bereits ein Patch in iOS 13.5 (zuvor 13.4.5) vor. Zudem lassen sich iPhones und iPads weiterhin mit einer Textbombe zum Absturz bringen. Wann Apple die Patches für die Allgemeinheit bereitstellen will, bleibt vorerst offen. (lbe)
