Abo
  • IT-Karriere:

Gepatchte Lücken: Hatte Apple seinen eigenen Stagefright-GAU?

Gravierende Sicherheitslücken in seinen Betriebssystemen hat Apple mit ganz unauffälligen Updates am Montag beseitigt. Sie ermöglichten es, aus der Ferne Schadcode auszuführen, und werden sogar mit Androids Stagefright-Desaster verglichen. Aber es gibt Unterschiede.

Artikel veröffentlicht am ,
Hatte Apple seinen eigenen Stagefright-GAU?
Hatte Apple seinen eigenen Stagefright-GAU? (Bild: Apple/Bildmontage: Golem.de)

Als Apple am 18. Juli Software-Updates seiner aktuellen Betriebssysteme veröffentlichte, lief dies vielfach unter "kleinere Korrekturen" und "relativ uninteressant". Auch Golem.de berichtete.

Stellenmarkt
  1. Fresenius Medical Care Deutschland GmbH, Bad Homburg vor der Höhe
  2. Universität Passau, Passau

Dabei patchen die Aktualisierungen auf iOS 9.3.3, OS X v10.11.6, WatchOS 2.2.2 und TVOS 9.2.2 jeweils eine Lücke in Apples Grafikbibliothek Core Graphics, die Androids Stagefright-GAU manchen Berichten zufolge in nichts nachsteht. Wie das Stagefright-Pendant soll sich die Apple-Lücke über das Internet einfach durch den Empfang einer präparierten Bilddatei ausnutzen lassen. Dabei soll es unerheblich sein, ob die Bilddatei über MMS, Webseiten oder andere Sofortnachrichtendienste empfangen wird.

Genauso schlimm wie Stagefright?

Gefährdete Bildformate sind laut Security Advisory neben BMP-Bitmaps und TIFFs auch OpenEXR und Digital Asset Exchange. "Bilddateien sind ein perfekter Angriffsvektor, weil sie sehr einfach über das Web oder E-Mail-Verkehr verteilt werden können, ohne beim Empfänger Misstrauen zu wecken", schreibt der Entdecker der Lücken, Tyler Bohan von Cisco Talos.

Weil Apples Core Graphics empfangene Bilder automatisch bearbeite, um etwa Thumbnails zu erstellen, könne ein Angreifer Schadcode auf dem Zielgerät ausführen, ohne dass dabei notwendigerweise eine Interaktion des Nutzers Voraussetzung sei.

Update-Reichweite macht den Unterschied

Andere Stimmen warnen jedoch vor dem Vergleich mit Stagefright. Glenn Fleishman weist in Macworld darauf hin, dass einige der vermuteten Angriffswege noch gar nicht in der Praxis erwiesen seien. Zwar habe Bohan erfolgreich Attacken gegen Safari und OS X getestet, MMS oder iMessage seien aber bisher nur theoretisch verwundbar.

Und ein weiterer großer Unterschied besteht: Während durch Stagefright alle Android-Versionen von 2.3 (Gingerbread) bis 5.1 (Lollipop) betroffen sind, ist die Zahl der verwundbaren Apple-Geräte überschaubar. Darüber hinaus wird Stagefright aufgrund des typischerweise langsamen Rollouts von Android-Updates durch die Smartphone-Hersteller noch über Jahre hinaus Millionen Geräte betreffen. Auch im Juli 2016 laufen noch 86,7 Prozent aller Android-Geräte unter Version 5.1 oder älteren Versionen.

Apple-Updates verbreiten sich traditionell viel schneller. Beispiel: iOS 9 wurde am 15. September 2015 veröffentlicht. Zweieinhalb Monate später lief es bereits auf 70 Prozent aller iPhones.



Anzeige
Spiele-Angebote
  1. 42,99€
  2. 47,95€
  3. 4,99€
  4. 13,95€

subjord 24. Jul 2016

Es ist halt die frage. Wenn man ein gutes Hackerziel darstellt, da man beruflich etwas...

Cerb 23. Jul 2016

denn letztendlich weiß keiner wie lange die Lücke schon bestimmten Gruppierungen oder...

MarioWario 22. Jul 2016

und auch der US-Support von Apple konnte das Problem mit meinem MBP aus 2011...

ap (Golem.de) 22. Jul 2016

Und auch ab hier gehts auf die Wiese.

Dummer Mensch 22. Jul 2016

Haben die schon lange, Stichwort Android one. Bloß nutzt kaum irgendein Smartphone...


Folgen Sie uns
       


Samsung Galaxy S10e - Test

Das Galaxy S10e ist das kleinste Modell von Samsungs neuer Galaxy-S10-Reihe - und für uns der Geheimtipp der Serie.

Samsung Galaxy S10e - Test Video aufrufen
Adblock Plus: Adblock-Filterregeln können Code ausführen
Adblock Plus
Adblock-Filterregeln können Code ausführen

Unter bestimmten Voraussetzungen können Filterregeln für Adblocker mit einer neuen Funktion Javascript-Code in Webseiten einfügen. Adblock Plus will reagieren und die entsprechende Funktion wieder entfernen. Ublock Origin ist nicht betroffen.
Von Hanno Böck


    Falcon Heavy: Beim zweiten Mal wird alles besser
    Falcon Heavy
    Beim zweiten Mal wird alles besser

    Die größte Rakete der Welt fliegt wieder. Diesmal mit voller Leistung, einem Satelliten und einer gelungenen Landung im Meer. Die Marktbedingungen sind für die Schwerlastrakete Falcon Heavy in nächster Zeit allerdings eher schlecht.
    Von Frank Wunderlich-Pfeiffer und dpa

    1. SpaceX Dragon-Raumschiff bei Test explodiert
    2. SpaceX Raketenstufe nach erfolgreicher Landung umgekippt
    3. Raumfahrt SpaceX zündet erstmals das Triebwerk des Starhoppers

    Passwort-Richtlinien: Schlechte Passwörter vermeiden
    Passwort-Richtlinien
    Schlechte Passwörter vermeiden

    Groß- und Kleinbuchstaben, mindestens ein Sonderzeichen, aber nicht irgendeins? Viele Passwort-Richtlinien führen dazu, dass Nutzer genervt oder verwirrt sind, aber nicht unbedingt zu sichereren Passwörtern. Wir geben Tipps, wie Entwickler es besser machen können.
    Von Hanno Böck

    1. Acutherm Mit Wärmebildkamera und Mikrofon das Passwort erraten
    2. Datenschutz Facebook speicherte Millionen Passwörter im Klartext
    3. Fido-Sticks im Test Endlich schlechte Passwörter

      •  /