Lücke in iPhone-Mail: Sicherheitsforscher glauben an aktive Ausnutzung
Während Apple keinen Nachweis sieht, dass über schwere Sicherheitslücken in iOS Daten abgegriffen wurden, bewerten IT-Security-Spezialisten die Lage anders.
Sie haben Exploit-Post?
Wurden über eine weiterhin bestehende, schwere Lücke in Apple Mail für iOS und iPadOS 13.4.1 von Angreifern Daten abgegriffen oder Geräte übernommen?
Sicherheitsexperten, die die Bugs entdeckt haben, behaupten dies: Man habe bereits mehrere Angriffe auf Firmen und Einzelpersonen – darunter Manager, Journalisten und VIPs – protokolliert. Apple selbst sieht hingegen keine "direkte Gefahr" und will "keine Beweise" gefunden haben, dass die insgesamt drei Lücken in Apple Mail bereits "gegen Kunden verwendet" worden seien.
Schwer zu verifizieren
Zwei bekannte IT-Security-Forscher halten dies jedoch für eine kaum tragfähige Aussage. So meint Patrick Wardle, Sicherheitschef beim MDM-Spezialisten Jamf, ein früherer NSA-Mitarbeiter und in der Security-Szene weitläufig respektiert, es sei "nicht überraschend", dass es Apple nicht gelungen sei, unabhängig zu verifizieren, dass die Bugs "in der Wildnis" ausgenutzt worden seien. "Es ist unwahrscheinlich, dass Apple Beweise finden würde, wenn diese Lücken in hochgradig gezielten Angriffen verwendet wurden." Er forderte Apple auf, Details zu nennen, wie der Konzern zu dieser Einschätzung gekommen sei, so Wardle gegenüber dem Magazin Wired.
Wardles Kollege Will Strafach, bekannt unter anderem als Ersteller der Guardian Firewall für iOS-Geräte, sieht außerdem ein Problem in der Darstellung, es existiere keine "direkte Gefahr". Auch wenn ZecOps, das die Mail-Bugs entdeckt hatte, angab, es sei über sie nicht möglich, aus dem Mail-Programm auszubrechen, um das ganze iPhone zu übernehmen, müssten solche Fehler ernst genommen werden.
Mailbox-Daten absaugen
Ein Angriff, bei dem kein Klick notwendig ist – in diesem Fall reicht es, eine Mail im Hintergrund nur zu empfangen – könne verwendet werden, um die kompletten Mailbox-Daten abzuziehen. "Selbst die Aussicht, dass nur Nachrichten kopiert werden und sich die Angriffsmail dann selbst zerstört, macht wirklich Angst."
ZecOps hatte in Absturz-Logs und an anderen Stellen Hinweise auf die Angriffe gefunden. Weiterhin ist es Experten zufolge denkbar, dass sich die Mail-Bugs mit (bislang unbekannten) Kernel-Exploits kombinieren lassen, um das komplette Gerät zu übernehmen. Apple will die Fehler in iOS beziehungsweise iPadOS 13.4.5 beheben, das aktuell in einer Betaphase ist.
t
(bsc)
