Abo
  • Services:
Anzeige
Hatte Apple seinen eigenen Stagefright-GAU?
Hatte Apple seinen eigenen Stagefright-GAU? (Bild: Apple/Bildmontage: Golem.de)

Gepatchte Lücken: Hatte Apple seinen eigenen Stagefright-GAU?

Hatte Apple seinen eigenen Stagefright-GAU?
Hatte Apple seinen eigenen Stagefright-GAU? (Bild: Apple/Bildmontage: Golem.de)

Gravierende Sicherheitslücken in seinen Betriebssystemen hat Apple mit ganz unauffälligen Updates am Montag beseitigt. Sie ermöglichten es, aus der Ferne Schadcode auszuführen, und werden sogar mit Androids Stagefright-Desaster verglichen. Aber es gibt Unterschiede.

Als Apple am 18. Juli Software-Updates seiner aktuellen Betriebssysteme veröffentlichte, lief dies vielfach unter "kleinere Korrekturen" und "relativ uninteressant". Auch Golem.de berichtete.

Anzeige

Dabei patchen die Aktualisierungen auf iOS 9.3.3, OS X v10.11.6, WatchOS 2.2.2 und TVOS 9.2.2 jeweils eine Lücke in Apples Grafikbibliothek Core Graphics, die Androids Stagefright-GAU manchen Berichten zufolge in nichts nachsteht. Wie das Stagefright-Pendant soll sich die Apple-Lücke über das Internet einfach durch den Empfang einer präparierten Bilddatei ausnutzen lassen. Dabei soll es unerheblich sein, ob die Bilddatei über MMS, Webseiten oder andere Sofortnachrichtendienste empfangen wird.

Genauso schlimm wie Stagefright?

Gefährdete Bildformate sind laut Security Advisory neben BMP-Bitmaps und TIFFs auch OpenEXR und Digital Asset Exchange. "Bilddateien sind ein perfekter Angriffsvektor, weil sie sehr einfach über das Web oder E-Mail-Verkehr verteilt werden können, ohne beim Empfänger Misstrauen zu wecken", schreibt der Entdecker der Lücken, Tyler Bohan von Cisco Talos.

Weil Apples Core Graphics empfangene Bilder automatisch bearbeite, um etwa Thumbnails zu erstellen, könne ein Angreifer Schadcode auf dem Zielgerät ausführen, ohne dass dabei notwendigerweise eine Interaktion des Nutzers Voraussetzung sei.

Update-Reichweite macht den Unterschied

Andere Stimmen warnen jedoch vor dem Vergleich mit Stagefright. Glenn Fleishman weist in Macworld darauf hin, dass einige der vermuteten Angriffswege noch gar nicht in der Praxis erwiesen seien. Zwar habe Bohan erfolgreich Attacken gegen Safari und OS X getestet, MMS oder iMessage seien aber bisher nur theoretisch verwundbar.

Und ein weiterer großer Unterschied besteht: Während durch Stagefright alle Android-Versionen von 2.3 (Gingerbread) bis 5.1 (Lollipop) betroffen sind, ist die Zahl der verwundbaren Apple-Geräte überschaubar. Darüber hinaus wird Stagefright aufgrund des typischerweise langsamen Rollouts von Android-Updates durch die Smartphone-Hersteller noch über Jahre hinaus Millionen Geräte betreffen. Auch im Juli 2016 laufen noch 86,7 Prozent aller Android-Geräte unter Version 5.1 oder älteren Versionen.

Apple-Updates verbreiten sich traditionell viel schneller. Beispiel: iOS 9 wurde am 15. September 2015 veröffentlicht. Zweieinhalb Monate später lief es bereits auf 70 Prozent aller iPhones.


eye home zur Startseite
subjord 24. Jul 2016

Es ist halt die frage. Wenn man ein gutes Hackerziel darstellt, da man beruflich etwas...

Cerb 23. Jul 2016

denn letztendlich weiß keiner wie lange die Lücke schon bestimmten Gruppierungen oder...

MarioWario 22. Jul 2016

und auch der US-Support von Apple konnte das Problem mit meinem MBP aus 2011...

ap (Golem.de) 22. Jul 2016

Und auch ab hier gehts auf die Wiese.

Dummer Mensch 22. Jul 2016

Haben die schon lange, Stichwort Android one. Bloß nutzt kaum irgendein Smartphone...



Anzeige

Stellenmarkt
  1. L-Bank Staatsbank für Baden-Württemberg, Karlsruhe
  2. VBL. Versorgungsanstalt des Bundes und der Länder, Karlsruhe
  3. AMC Datensysteme GmbH, Karlsruhe
  4. Bernecker + Rainer Industrie-­Elektronik Ges.m.b.H., Essen


Anzeige
Spiele-Angebote
  1. 29,99€
  2. (-50%) 14,99€
  3. (u. a. Uncharted 4 34,99€, Ratchet & Clank 29,00€, The Last of Us Remastered 28,98€, The...

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Potenzialanalyse für eine effiziente DMS- und ECM-Strategie
  2. Kritische Bereiche der IT-Sicherheit in Unternehmen
  3. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes


  1. Google, Apple und Mailaccounts

    Zwei-Faktor-Authentifizierung richtig nutzen

  2. Piranha Games

    Mechwarrior 5 als Einzelspielertitel angekündigt

  3. BMW Connected Drive

    Dieb wird mit vernetztem Auto gefangen

  4. Helio X23 und Helio X27

    Mediatek taktet seine 10-Kern-SoCs für Smartphones höher

  5. Betrug

    Dating-Plattformen sollen eigene Fake-Profile anlegen

  6. Onlineshopping

    Amazon startet Zwei-Faktor-Authentifizierung in Deutschland

  7. Moto Z

    Lenovo plant mindestens zwölf neue Module pro Jahr

  8. Travelers Box

    Münzgeld am Flughafen tauschen

  9. Apple

    Produktionsfehler macht Akkutausch im iPhone 6S notwendig

  10. Apple

    Aktivierungssperre des iPads lässt sich umgehen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
HPE: Was The Machine ist und was nicht
HPE
Was The Machine ist und was nicht
  1. IaaS und PaaS Suse bekommt Cloudtechnik von HPE und wird Lieblings-Linux
  2. Memory-Driven Computing HPE zeigt Prototyp von The Machine
  3. Micro Focus HP Enterprise verkauft Software für 2,5 Milliarden Dollar

Nach Angriff auf Telekom: Mit dem Strafrecht Router ins Terrorcamp schicken oder so
Nach Angriff auf Telekom
Mit dem Strafrecht Router ins Terrorcamp schicken oder so
  1. 0-Day Tor und Firefox patchen ausgenutzten Javascript-Exploit
  2. Pornoseite Xhamster spricht von Fake-Leak
  3. Mitfahrgelegenheit.de 640.000 Ibans von Mitfahrzentrale-Nutzern kopiert

Digitalcharta: Operation am offenen Herzen der europäischen Demokratie
Digitalcharta
Operation am offenen Herzen der europäischen Demokratie
  1. EU-Kommission Mehrwertsteuer für digitale Medien soll sinken
  2. Vernetzte Geräte Verbraucherminister fordern Datenschutz im Haushalt
  3. Neue Richtlinie EU plant Netzsperren und Staatstrojaner

  1. Re: An alle Selbsfahrenden-Auto-Fans

    Sharra | 13:32

  2. Gehackte Amazon Accounts ein Problem?

    AlexanderSchäfer | 13:32

  3. Re: Aufgepasst, jetzt machen sich wieder Leute...

    Sharra | 13:30

  4. Re: DAU-Gesetzgebung für DAUs

    sneaker | 13:30

  5. Re: 280 Staub sind leicht zu schaffen, selbst mit...

    mnementh | 13:29


  1. 12:01

  2. 11:41

  3. 10:49

  4. 10:33

  5. 10:28

  6. 10:20

  7. 10:05

  8. 09:26


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel