Project Zero: Sicherheitslücke ohne Nuzterinteraktion im iPhone

Das iPhone gilt als vergleichsweise sichere Plattform. Mitglieder von Googles Project Zero haben mehrere Sicherheitslücken entdeckt, mit denen sich Code auf einem iPhone ohne Nutzerinteraktion ausführen lässt.

Artikel veröffentlicht am 30. Juli 2019, 12:21 Uhr, Hanno Böck

Forscher von Google haben mehrere kritische Sicherheitslücken entdeckt - iPhone-Nutzer sollten dringend ihr Betriebssystem aktualisieren. (Bild: Maurizio Pesce/Wikimedia Commons/CC-BY 2.0)

Nutzer von Apples iPhone sollten schnellstmöglich das jüngste Sicherheitsupdate installieren. Es schließt mehrere Sicherheitslücken, mit denen sich über die iMessage-App ein System ohne Interaktion des Nutzers angreifen lässt. Entdeckt haben die Sicherheitslücken Natalie Silvanovich und Samuel Groß von Googles Project Zero.

Insgesamt handelt es sich um sechs Lücken in iMessage. Gegenüber der Webseite ZDnet erklärten die Sicherheitsforscher, dass vier der Lücken zur Ausführung von Code geeignet seien. Laut den Fehlerbeschreibungen handelt es sich um verschiedene Arten von Memory-Corruption-Lücken.

Details nächste Woche auf der Black Hat

Auf der Anfang August stattfindenden Black-Hat-Konferenz in Las Vegas wird Natalie Silvanovich einen Vortrag halten und weitere Details zu den Funden erläutern. "Es gab Gerüchte, dass Remote-Sicherheitslücken, die keine Nutzerinteraktion benötigen, ausgenutzt wurden, um das iPhone anzugreifen, aber es gibt wenige Informationen über die technischen Aspekte dieser Angriffe auf moderne Geräte", heißt es hierzu in der Ankündigung. Diese Informationen will Silvanovich nun wohl liefern.

Es ist vergleichsweise selten, dass derartige Sicherheitslücken gefunden werden. Die meisten Sicherheitslücken erfordern irgendeine Art von Nutzerinteraktion, um ausgenutzt zu werden. Im Fall der jetzt gefundenen Lücken reicht es aber, eine manipulierte Nachricht über iMessage zu verschicken. Alleine der Empfang der Nachricht löst den Angriff aus, der Nutzer muss hierfür nichts weiter tun.

ZDnet erläutert, dass derartige Sicherheitslücken oft für Millionenbeträge verkauft werden. Die umstrittene Firma Zerodium zahlt nach eigenen Angaben bis zu zwei Millionen Dollar für iPhone-Angriffe ohne Nutzerinteraktion. ZDnet schätzt daher, dass die Google-Forscher leicht 5 bis 10 Millionen Dollar hätten erhalten können, wenn sie ihre Sicherheitslücken nicht an Apple gemeldet und stattdessen die Informationen verkauft hätten.