In Apples mobilem Safari-Browser steckt eine offenbar bislang noch ungepatchte Lücke, die Denial-of-Service-Angriffe aus der Ferne ermöglicht. Das berichtet der Sicherheitsforscher und Hacker @userlandkernel, der in dieser Woche schon einen Fehler in Apples Kurzbefehle-App öffentlich gemacht hatte, über den sich eigentlich geschützte iOS-Daten abgreifen lassen.
Persistent auch über Neustarts hinweg
Detaillierte Angaben zu dem Safari-Problem wurden bislang noch nicht bekannt. Laut @userlandkernel steckt der Bug im URL-Parser samt dem von Safari unterstützten FTP-Protokoll. Vermutlich wird der Angriff über einen Link verteilt. Nutzer seien nach Ausführung nicht mehr in der Lage, Safari zu verwenden, zudem stürze der Browser bei jedem Versuch, ihn erneut zu öffnen, wieder ab, schreibt der Sicherheitsforscher auf Twitter, der auch eine lange Liste von Absturzberichten präsentierte. Selbst über Resprings der Home-Bildschirme beziehungsweise Neustarts des iOS-Geräts erhalte sich das Problem, da die State-Datenbank missbraucht werde.
Apple wurde über den Bug bereits informiert, der Entdecker will vor einem Fix keinen Exploit publizieren ("Diesen DoS zu missbrauchen, wäre Malware"). Entsprechend ist damit zu rechnen, dass das Problem bald behoben wird. In iOS 12.1 ist der Bug noch enthalten.
FTP-Handling-Problem verrät System-Partition
@userlandkernel hat auch noch einen zweiten Programmierfehler im FTP-Handling in Safari gefunden, der schon "seit Ewigkeiten" bestehe. Dabei nutzt der Browser einen lokalen Pfad statt den entfernten und verrät dadurch die System-Partition beziehungsweise den aktuellen APFS-Snapshot.
Der in dieser Woche von @userlandkernel publizierte Bug in der Kurzbefehle-App muss von Apple ebenfalls schnell behoben werden. Solange sollten sich Nutzer nicht auf aus dem Internet heruntergeladene Shortcuts verlassen. Der Sicherheitsforscher konnte eine einfache Directory-Traversal-Lücke präsentieren, mit der es Shortcuts möglich wird, im System herumzuspazieren und auch Apples eigentlich sichere Sandbox zu durchbrechen. Gefundene, sensible Daten lassen sich dann mittels Shortcut auch gleich an einen Angreifer senden.
Quelle: Remote-DoS-Angriff auf mobilen Safari-Browser |
Mac & i