iOS
Gerade erst haben wir über Schwachstellen in den Betriebssystemen von Apple und Microsoft sowie in den Exynos-Chips von Samsung berichtet, die es ermöglichen, Smartphones ohne jegliche Handlung des Besitzers zu hacken, da tauchen auch schon einige sehr schwerwiegende Sicherheitslücken in iOS und macOS auf – zusätzlich zu denen, die Angreifer bereits ausnutzen. Die Sicherheitslücken sind so kritisch, dass Apple zu deren Beseitigung in kürzester Zeit Updates nicht nur für die neuesten Betriebssysteme, sondern auch für mehrere Vorgängerversionen veröffentlicht hat. Aber der Reihe nach…
Schwachstellen in WebKit und IOSurfaceAccelerator
Insgesamt wurden zwei Sicherheitslücken entdeckt. Die erste – CVE-2023-28205 (Bedrohungsgrad: „hoch“ [8.8/10]) – betrifft die WebKit-Engine, die die Basis des Safari-Browsers bildet (und nicht nur das; mehr Details unten). Die Schwachstelle besteht im Wesentlichen darin, dass die Angreifer mit Hilfe einer speziell erstellten schädlichen Seite beliebigen Code auf einem Gerät ausführen können.
Die zweite Schwachstelle – CVE-2023-28206 (Bedrohungsgrad: „hoch“ [8.6/10]) – wurde im IOSurfaceAccelerator entdeckt. Angreifern ist es damit möglich, Code mit zentralen Berechtigungen des Betriebssystems auszuführen. Die beiden Schwachstellen können also in Kombination genutzt werden: Die erste dient dazu, in das Gerät einzudringen, um die zweite Sicherheitslücke ausnutzen zu können. Letztere wiederum macht es möglich, aus der Sandbox zu entkommen und mit dem infizierten Gerät nahezu alle Aktionen auszuführen.
Die Schwachstellen befinden sich sowohl in den Desktop-Betriebssystemen von macOS als auch in den mobilen Betriebssystemen: iOS, iPadOS und tvOS. Betroffen sind nicht nur die neuesten Generationen dieser Betriebssysteme, sondern auch ihre Vorgänger. Daher hat Apple (nacheinander) Updates für eine ganze Reihe von Systemen veröffentlicht: macOS 11, 12 und 13, iOS/iPadOS 15 und 16 sowie tvOS 16.
Aufgrund von schwerwiegenden Sicherheitslücken sollten Sie Ihr #iPhone auf iOS 16.4.1 und Ihren Mac auf macOS 13.3.1 aktualisieren. Updates sind auch für iOS 15 sowie für #macOS 11 und 12 verfügbar.
Tweet
Warum sind diese Schwachstellen so gefährlich?
Die WebKit-Engine ist die einzige Browser-Engine, die auf den mobilen Betriebssystemen von Apple zulässig ist. Egal, welchen Browser Sie auf Ihrem iPhone verwenden, WebKit wird immer zum Anzeigen von Webseiten verwendet (jeder Browser auf iOS ist also im Wesentlichen Safari).
Außerdem wird dieselbe Engine auch verwendet, wenn Webseiten aus einer anderen Anwendung heraus geöffnet werden. Oft sehen diese nicht einmal wie eine Webseite aus, trotzdem ist WebKit an ihrer Darstellung beteiligt. Deshalb ist es so wichtig, alle neuen Updates für Safari umgehend zu installieren, auch wenn Sie überwiegend mit einem anderen Browser wie Google Chrome oder Mozilla Firefox arbeiten.
Schwachstellen in WebKit, wie die oben beschriebene, ermöglichen die so genannte „Zero-Click“-Infektion eines iPhone, iPad oder Mac. Das heißt, das Gerät wird ohne aktives Eingreifen des Benutzers infiziert – es reicht aus, ihn auf eine eigens eingerichtete schädliche Website zu locken.
Häufig werden solche Schwachstellen bei zielgerichteten Angriffen auf hochrangige Persönlichkeiten oder Großunternehmen ausgenutzt (obwohl auch normale Benutzer betroffen sein können, wenn sie das Pech haben, auf einer infizierten Seite zu landen). In diesem Fall scheint etwas Ähnliches zu passieren. Wie üblich gibt Apple keine weiteren Details bekannt, aber scheinbar wird die oben beschriebene Kette von Sicherheitslücken bereits aktiv von unbekannten Angreifern genutzt, um Spyware zu installieren.
Da CVE-2023-28205 und CVE-2023-28206 bereits öffentlich bekannt gemacht wurden und für die zweite Schwachstelle bereits ein Proof of Concept veröffentlicht worden ist, ist es wahrscheinlich, dass andere Cyberkriminelle diese Schwachstellen ebenfalls ausnutzen werden.
So schützen Sie sich vor den beschriebenen Schwachstellen
Der beste Schutz gegen CVE-2023-28205 und CVE-2023-28206 ist selbstverständlich die unverzügliche Installation der neuen Apple-Updates. Je nach Gerät müssen Sie wie folgt vorgehen:
- Wenn Sie eines der neuesten iOS-, iPadOS- oder tvOS-Geräte besitzen, sollten Sie das Betriebssystem auf Version 4.1 aktualisieren.
- Wenn Sie ein älteres iPhone oder iPad besitzen, das das aktuelle Betriebssystem nicht mehr unterstützt, müssen Sie auf Version 7.5 aktualisieren.
- Wenn auf Ihrem Mac das neueste Ventura OS läuft, dann aktualisieren Sie einfach auf macOS 3.1.
- Wenn auf deinem Mac macOS Big Sur oder Monterey läuft, ist eine Aktualisierung auf macOS 7.6 bzw. 12.6.5 erforderlich, wobei auch ein separates Update für Safari installiert werden muss.
Vergessen Sie natürlich nicht, Ihre Macs mit einer zuverlässigen Antiviren-Software zu schützen, die Sie vor neuen, noch nicht gefixten Sicherheitslücken bewahren kann.
Tipps