iPhone und iPad: Einen Klick vom Absturz entfernt
Ein Klick in Safari unter iOS auf einen präparierten Link, der eine Webseite mit ein paar Zeilen CSS-Code lädt, bringt iPhones und iPads zum Abstürzen. Der bei Wire angestellte Sicherheitsforscher Sabri Haddouche hat den Fehler gefunden und auf Twitter veröffentlicht. Kurze Zeit später entdeckten die ersten Twitter-Nutzer ähnliche Fehler in anderen Browsern unter anderen Betriebssystemen, darunter Internet Explorer unter Windows, Chrome unter MacOS und Firefox unter Linux.
In Apples iOS liegt die Sicherheitslücke in der Webkit-Rendering-Engine, die für die Darstellung von Webseiten zuständig ist. Apple zwingt alle Browserhersteller, das hauseigene Webkit zur Darstellung von Webseiten zu verwenden und nicht auf eigene Entwicklungen zu setzen. Daher sind alle Browser unter iOS von der Lücke betroffen. Auch andere Apps greifen zur Darstellung von Webinhalten auf das integrierte Webkit zurück und sind daher ebenfalls angreifbar.
Sabri Haddouche hat Apple vor der Veröffentlichung der CSS-Zeilen auf Github(öffnet im neuen Fenster) informiert. Apple prüft die Informationen laut Haddouche derzeit. Der Angriff funktioniert ab iOS 9, das bereits 2015 erschien.
Eine abgewandelte Version des Angriffs nutzt Javascript und greift Safari unter MacOS an. Haddouche sagt, er habe den Quellcode hierzu allerdings nicht veröffentlicht,(öffnet im neuen Fenster) da der Browser nach einem erzwungenen Neustart des Rechners automatisch gestartet werde. Dieser führe die Webseite erneut aus und bringe den Rechner zum Absturz. Die Nutzersession würde hierdurch blockiert.
Für die Sicherheitslücken gibt es im Moment keine Patches oder Workarounds. Haddouche rät, nicht willkürlich auf jeden Link zu klicken. Apple müsse die Lücke schnell beheben. Gleiches gilt für die anderen Browser- und Betriebssystemhersteller.
Der Sicherheitsforscher fand die Lücken, während er Browser auf Denial-of-Service-Schwachstellen (DoS) untersuchte. Anfang des Monats veröffentlichte er einen ähnlichen Angriff(öffnet im neuen Fenster) , der mit einer Zeile Javascript-Code Chrome und Chrome OS zum Absturz brachte.
- Anzeige Hier geht es zum iPad Pro (M5) bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.