Lokale Daten könnten ausgelesen werden
Entwickler veröffentlicht Safari-Schwachstelle weil Apple sich nicht kümmert
Der Sicherheitsforscher Pawel Wylecial hat im April eine Schwachstelle im Apple-Browser Safari ausgemacht und dies verantwortungsbewusst auch direkt an das Unternehmen gemeldet. Nachdem Apple allerdings kein Interesse gezeigt hat, den Fehler zeitnah zu beheben, hat sich Wylecial nun zur Veröffentlichung der Sicherheitslücke entschieden.
Die Schwachstelle nutzt einen Fehler in der Teilen-Erweiterung von Safari aus. Eine Webseite lässt sich auf dieser Basis so manipulieren, dass beim Teilen von Seiteninhalten auch private Dateien vom Computer des Betroffenen mit übertragen werden. Wylecial sagt selbst, dass die Gefahr aufgrund der Tatsache, dass man den Nutzer zu einer Interaktion auf der Webseite animieren muss überschaubar ist, eine Korrektur des Fehlers sollte Apple aber dennoch am Herzen liegen, da der Fehler insbesondere unerfahrene Nutzer in Bedrängnis bringen könnte.
Auf einer Beispielseite demonstriert der Sicherheitsforscher, wie man beim Teilen eines Katzenfotos die lokale Datei etc/passwd mit übermittelt, in der das Kennwort zwar verschlüsselt, aber gemeinsam damit auch unverschlüsselte Informationen wie Anmelde- und Benutzername gespeichert werden.
Apple will ein Jahr Zeit für Korrektur
Kritisiert werden darf in der Tat, wie oberflächlich Apple den Fehler behandelt hat. Im Anschluss an eine Eingangsbestätigung war mehrere Monate Funkstille. Nach mehrmaligen Nachfragen und der Ankündigung, den Fehler zu veröffentlichen, bat Apple schließlich darum, die Details noch bis ins Frühjahr 2021 unter Verschluss zu halten. Daraufhin hat sich der Sicherheitsforscher zur Veröffentlichung und Dokumentation entschlossen. Aufgrund der Tatsache, dass die Veröffentlichung nun potenziell kriminelle Nachahmer zur Folge hat, dürfte Apple sich der Sache nun zeitnah annehmen. Der Fehler betrifft Safari sowohl auf dem Mac als auch unter iOS.
Richtig gehandelt.
Andere Quellen behaupteten das in iOS14 und in iOS 13.7 der bug schob gefixed wurde.
Ja aber er ist auch am Mac
+1
Ein Jahr.. tss erzeugt nur Kopfschütteln.
Unabhängig davon wie relevant dieser Fehler ist. Eine absolut überhebliche Antwort.
Vielleicht packt Apple aber beim nächsten Update etwas von seinen Rauchwaren bei.
+1 unverständliches Verhalten von Apple. Not awesome!
Man muss ja nur einen Gutschein faken und schon geht’s schnell mit der Interaktion unbedarfter User. Das sollte Apple besser heute als morgen fixen! Danke, Pavel!
Aber der User entscheidet dann ja selbst noch an wen er diese Daten schickt. Denn nach dem erfassen dieser Daten kommt das Share-Menü. Und das ist von dem Fehler nicht betroffen.
Es darf keine andere Installationsmöglichkeit als den AppStore geben, weil Apple seine User davor schützen muss, dass die sich bewusst entscheiden, etwas aus nicht von Apple geprüften Quellen zu installieren.
Dieser User soll aber dann so clever sein, eine Funktion in Safari nicht zu nutzen?
Schwachstelle fixen, verteilen unf fertig.
Und was könnte dann schlimmstenfalls passieren?
Man teilt doch Bilder oder Gutscheine mit Freunden und nicht mit dem Hacker. Die würden sich aber nur wundern, wenn sie einen weiteren Anhang erhalten und den Betroffenen wohl fragen, was das ist.
Die wichtigsten Dateien sind sowieso verschlüsselt oder erfordern Admin-Rechte beim Hochladen, genau wie die Angaben in etc/passwd. Das einzige was da in Klartext steht ist der Nutzername des gerade angemeldeten Nutzers.
Weil es kein logisches Angriffsszenario gibt, das den Nutzer schadet oder von Hackern ausgenutzt werden kann, hat die Lücke eine niedrige Priorität. Wobei das von Apple genannte „Jahr“ auch nur der maximale Zeitraum ist, denn in iOS 14 und macOS 11 Beta ist die schon gefixt.
Ist Apple nicht die Firma, die uns mit Sicherheitsversprechen bei der Stange halten will. Wenn wir eingeschränkt werden, soll es der Sicherheit dienen. Wenn Apple aber auf Handlungsbedarf hingewiesen wird, eilt es auf einmal nicht mehr. Erst massiver Druck bewegt den Koloss zu Handeln.
Wer den Widerspruch findet, darf ihn im Hinterkopf behalten um die Versprechen etwas kritischer einzureihen.
Apple musste beim Fixen von Sicherheitslücken doch immer schon zum Jagen getragen werden…
+ 1
Das ist wohl wahr…auch echt traurig das sich da nichts ändert…die entsprechende Abteilung die sich darum kümmert müsste mal überarbeitet oder aufgestockt werden…ist ja wirklich jedes Mal so das nicht zeitnah oder erst auf öffentlichen Druck gehandelt wird…
Paul – sie haben völlig recht!
Apple schaut nur aufs Geld/Aktien … schaut man auf die Mac-Seite jam unter Tim Cook nichts nennenswerte!
Dann nenne doch mal ein Angriffsszenario, wo ein Nutzer zum teilen eines Bildes mit einer ihm unbekannten Emailadresse eines Hackers gebracht wird.
Die Lücke bringt einem Hacker nichts, weil er nicht wissen kann mit wem ein Bild geteilt wird. Normalerweise macht man das mit Freunden und die würden sich sofort bei mir melden, wenn da noch eine Datei im Anhang ist.
Dies ist also eine Lücke die praktisch nicht ausgenutzt werden kann, somit hat die auch keine Priorität.
Hinzu kommt, dass alle relevanten Daten entweder Admin Rechte erfordern und sich somit nicht mit hochladen lassen, oder wie etc/passwd nicht in Klartext sichtbar sind.
Weiß jemand, wieso Apple den Aufschub möchte?
Also was für einen unterschied macht es, ob der Fehler jetzt oder im 2021 behoben wird. Das Eine ist ja zu sagen: wir finden es nicht gefährlich, du und ein Bug interessieren uns nicht; was anderes zu sagen: wir sehen den Fehler und geben dir recht, bitte gib uns nur sehr lange Zeit.
Einfach nur das Aufschieben bringt ja keine Vorteile. Was steckt also dann dahinter?!?!
Weil andere Dinge in den Augen der verantwortlichen wichtiger sind und den Zeitplan durcheinander werfen. Wenn der Fehler erst nächstes Jahr behoben wird, kann man das bei langfristigen Planungen mit Berücksichtigen
Das denke ich auch.
Also ganz ehrlich.
So viele user wie da weltweit betroffen sind, was da für ein Rattenschwanz dranhängt!
Da soll Apple eher noch eine Person einstellen, die das fixt, bevor sie hier anfangen auf Zeit zu spielen. Ein Witz finde ich!
Wieviel Milliarde Gewinn hat Apple letztes Jahr gemacht?…
Stimmt, Umsatz zu machen ist deutlich wichtiger, einfacher und besser , als Geld in Fehlerbehebung zu investieren …
Spekulation: eventuell ist dieser Fehler in macOS Big Sur nicht mehr vorhanden und der Fehler wird bei den „älteren“ macOS Versionen erst in einem Jahr behoben um die Verteilung der aktuellen Betriebssystemen zu fördern und auch um die Ressourcen in aktuelle Systeme zu verteilen, als alte zu pflegen.
Ich meine, dass vor ein paar Tagen als die Sicherheitslücke die Runde machte davon die Rede war, dass diese Lücke in der iOS 14 Beta „schon“ geschlossen ist. Es dauert natürlich selbst dann noch bis genug Leute geupdatet haben. Daher vermutlich die Bitte Apples nach Verschwiegenheit bis zum Frühling 2021.
Man kann sicherlich nicht immer erwarten, dass alle Sicherheitslücken innerhalb weniger Tage geschlossen werden können. Zur WWDC sollte das für Apple aber selbst unter Corona-Bedingungen möglich gewesen sein.
Habe ich auch gelesen. War Anfang der Woche.
Wenige Tage…???
Wenige Tage? Es ist fast ein halbes Jahr her!!!
Lies mal nochmal in Ruhe meinen ganzen Kommentar bis zum Ende durch. Von der ersten Meldung an Apple Mitte April bis zur WWDC wären das zwei Monate gewesen.
So viel zum Thema Apple und Sicherheit der User sei das oberste Gebot :)
Wo sind denn die ganzen vollidioten jetzt die sonst immer hier groß reden das alles immer im Sinne des Users sei und deswegen all die Restriktionen im Betriebssystem! Ich sage euch lasst die Finger von Apple, die verarschen euch von vorne bis hinten und keiner merkt es richtig. Mit den neuen Rechnern ist dann eh komplett Apple der Herr im Haus und will allen anderen die Installation von Apps verbieten, weil ja nur Apple die Sicherheit gewährleistet (App Store Downloads). Das wird das Ende des einst so tollen OS, aber die Zeiten sind eh schon lange um, Ding eigentlich alles mit dem Umschwung auf Intel an und jetzt kommt’s noch böser mit dem Apple eigenen Prozessor. Das kann nur grottenschlecht werden wie jede Weiterentwicklung von Apple in den letzten 10 jahren!
*Kopf schüttelt und weiter geht*
Oh! Die „Apple geht pleite… diesmal aber wirklich“-Schiene hatten wir echt lange nicht mehr. :D
Setz dich doch erstmal mit dem Fehler auseinander.
Dann überleg nochmal.
Macht nicht besser, dass Apple so langsam handelt.
Der Fehler ist aber absolut ungefährlich.
Völlig richtig nur leider fehlen die Alternativen.
Es ist immer wieder bemerkenswert, wie wenig Diskussions- und Streitkultur in unserem Land übriggeblieben ist. Da werden Menschen, die man nicht kennt einfach zu Vollidioten erklärt, nur weil man anderer Meinung ist.
Da darf man sich vielleicht schon mal fragen, wer selbige tatsächlich sind.
Inhaltlich hat Tommy doch absolut recht.
Was hat dich denn gebissen? Wenn dir die Apple Geschäftspolitik nicht passt, dann nutze halt Android und Windows – so schlecht ist das nun auch wieder nicht.
Aber Leute, die anderer Meinung sind als Du als Vollidioten zu bezeichnen geht gar nicht.
Es gibt Leute, die sich im goldenen Käfig besser fühlen als mit der großen Freiheit, weil die große Freiheit immer Risiken birgt – siehe 95Mio Android Apps mit Malware – da ist Tracking noch nicht mitgerechnet, denn dann wären es praktisch alle. Ich sage nicht, dass deshalb Apple für alle die bessere Lösung ist, das muss jeder für sich entscheiden, aber es kann die bessere Lösung sein. Für Firmen sowieso.
Und zum Thema: Der Sicherheitsforscher selbst hat diese Lücke mit „niedrig“ eingestuft. Es gibt kein Angriffszenario, die ein Hacker ausnutzen könnte. Man könnte worst case ein Datei mit einem Freund teilen. Also kann man auch nicht erwarten, dass Apple jetzt alles stehen und liegen lässt um die Lücke zu fixen. Zumal sie wohl in iOS 14 und macOS 11 sowieso nicht mehr funktioniert.
Natürlich ist dieser Fehler erstmal für sich genommen relativ harmlos. Interessant wird er erst in Kombination mit anderen Fehlern oder Social Engineering. Denkbar wäre zum Beispiel, die Zielperson zum Teilen eines Bildes zu bewegen („bei mir geht es leider nicht, kannst du mal schauen und das mit mir teilen“), und dabei Zugangsdaten oder andere Dinge abzugreifen.
Wie willst Du denn jemanden dazu bringen ein Bild mit einer HMS unbekannten Emailadresse zu teilen? Normalerweise teilt man Bilder mit Freunden und die wundern sich vermutlich nur über den seltsamen Anhang.
Vor Allem klingt der Fehler ja so, als wäre er mit nicht wirklich großem Aufwand zu fixen. Versteht man nicht wirklich :/
Die Programmierer sind doch beschäftigt mit dem Gestalten neuer Emojis … Und die neue Ladung wird halt erst Ende des Jahres fertig. Dann ist wieder Zeit sich den unwichtigen des OS zu widmen …
„Programmierer….gestalten“.
Merkst selber, ne?
Ja. Aber du vermutlich nicht die Ironie …
Richtig so, sollten alle so machen. Erst dem Entwickler eine Chance geben und bei nicht einhält, veröffentlichen.
Apple hat hier genauso wie im AppStore Hausrecht und sollte selbst entscheiden, was gefixt wird und nicht. Es steht jedem frei, bei Nichtgefallen das Betriebssystem zu wechseln.
„Genau. Niemand ist verpflichtet, Produktfehler zu beseitigen. Es gibt nur ein Recht: das Lex Apple!“
So einen Unfug habe ich selten gelesen! Natürlich ist Apple rechtlich und moralisch verpflichtet, Sicherheitslücken zu stopfen. Wie Fanblind kann man sein?
Nicht nur ist der Fehler relativ harmlos auch das einfache Entfernen des file Schema aus Schnittstelle würde vielen sauer aufstoßen da es eine sinnvolle Funktion beschneidet und es würde genauso gemeckert. Man kann es halt nicht allen recht machen.
Wenn man sowas liest, dann frage ich mich, was Apple sich dabei denkt. Ich kenne die Liste der offenen Sicherheitslücken bei Apple nicht. Sicherlich wird es auch gravierendere Sicherheitslücken geben.
Aber es ist doch zu erwarten, dass solche Leute irgendwann an die Öffentlichkeit gehen.
Eins zeigt dieses Beispiel mal wieder ganz deutlich: Apple ist längst nicht mehr das, was sie mal waren.
Stimm – leider. Und wie es scheint, reagiert Apple fast nur mehr dann, wenn es schon zu spät ist (Imageschaden) aber selbst das kann sich Apple leisten. Seriös ist Apple schon lange nicht mehr.
Vergesst nicht das allerwichtigste: das Kätzchen ist echt süß :)
Apple fehlt mittlerweile der Sinn für Dringlichkeit. Nein falsch, nicht Apple, sondern den entsprechenden Führungsebenen und deren zugeordneten Mitarbeitern. Sagt viel aus über deren mittlerweile vorherrschende Unternehmenskultur.
Drum
Nutze
Ich
Firefox