iOS 9.2.1: Apple behebt über 2 Jahre alte Sicherheitslücke

Apple hat am Dienstag iOS 9.2.1 veröffentlicht und dabei nicht allzu viele Worte darüber verloren, was sich seit 9.2 geändert hat. Wie sich nun herausstellte, wurde immerhin eine Sicherheitslücke gestopft, die schon seit zweieinhalb Jahren gemeldet wurde.

Wie ArsTechnica unter Berufung auf einen Bericht von Skycure meldet, wurde in iOS 9.2.1 eine Sicherheitslücke gestopft, die, geschickt ausgenutzt, das Auslesen und Manipulieren von Cookies ermöglichte. Besagte Lücke wurde vor zweieinhalb Jahren erstmals bei Apple gemeldet und war seither ausnutzbar.

Das Problem liegt in Safari, bzw. in eingebetteten Browsern, die beispielsweise für den Login in einem öffentlichen Hotspot geöffnet werden. Sinn dieser Webseiten ist es, sich mit Anmeldedaten auszuweisen. Dies ist etwa von Hotspots in Bahnhöfen oder Cafés bekannt. Ein Angreifer könnte ein öffentliches Netzwerk etablieren und eine manipulierte Webseite zum „Einloggen“ ausspielen. Mit einer manipulierten Webseite ist es dann möglich, vorhandene Cookies auszulesen oder zu manipulieren, womit sich etwa Sessions klauen lassen.

Das Problem war ein gemeinsam genutzter Cookie-Speicher, der zwischen Safari und dem eingebetteten Browser existiert. Skycure hat die Lücke erstmals im Juni 2013 an Apple gemeldet und zeigt sich heute ganz erstaunt, dass sie offenbar doch komplizierter zu beheben war, als zunächst gedacht. Die gute Nachricht ist aber, dass es bislang keine Hinweise darauf gibt, dass die Lücke außerhalb von Laborbedingungen tatsächlich ausgenutzt wurde.