Abo
  • Services:

Security: Apples App Store als Einfallstor für Schadcode

Über eine Schwachstelle in der Verarbeitung von Belegen für Einkäufe in Apples App Store lässt sich Code auf fremden Rechnern einschleusen.

Artikel veröffentlicht am ,
Über eine Schwachstelle kann beliebiger Code in die Beleg-E-Mail von Apples App Store eingebettet werden.
Über eine Schwachstelle kann beliebiger Code in die Beleg-E-Mail von Apples App Store eingebettet werden. (Bild: Benjamin Kunz Mejri)

Ein etwas ungewöhnliches Einfallstor: Über den Beleg, den Apple nach einem Einkauf im App Store verschickt, lässt sich beliebiger Code einschleusen. Dazu muss der Code nur in das Namensfeld eingetragen werden. Der Beleg wird nicht nur an die eigene Adresse verschickt, sondern auch an den Verkäufer und durchläuft dabei die Server-Infrastruktur von Apple.

Stellenmarkt
  1. Stadtwerke München GmbH, München
  2. Bosch Gruppe, Leonberg

Entdeckt hat die Schwachstelle der IT-Sicherheitsexperte Benjamin Kunz Mejri, der Apple bereits Anfang Juni 2015 davon in Kenntnis gesetzt hat. Apple hat die Schwachstelle zwar bereits bestätigt und ihr eine entsprechende ID zugewiesen, allerdings gab es bis gestern noch keinen Patch, wie uns Mejri bestätigt. Apple müsste dafür eine Verifizierungsmethode einführen.

Schadcode für den App-Verkäufer

Je nachdem mit welcher Applikation und Sicherheitsstufe die Beleg-E-Mail geöffnet wird, kann der eingeschleuste Code automatisch ausgeführt werden. Möglich wäre auch, dass der Schadcode durch den Verkäufer fälschlicherweise an andere Nutzer weitergegeben werden könnte. Aber auch Phishing-Angriffe oder Weiterleitungen auf manipulierte Webseiten sind möglich. Da die Beleg-E-Mail stets den offiziellen Domainnamen @email.apple.com trägt, dürfte sie von den meisten Nutzern als vertrauenswürdig eingestuft werden.

In einem Machbarkeitsnachweis ersetzte Mejri auf einem iPod seinen Namen mit einer Befehlszeile. Das Problem: Dort können auch beliebige Sonderzeichen eingegeben werden. Eine Zeichenbegrenzung gebe es vermutlich, er kenne sie aber nicht genau, sagte Meijri zu Golem.de. Apples Beleg-E-Mails werden im HTML-Format versendet, der Code wird dort in einem Iframe eingebettet. In Kombination mit anderen Exploits könnte diese Lücke für einen App-Verkäufer gefährlich werden. Da der Code auf einfacher Benutzerebene eingegeben und aus der Ferne ausgenutzt werden kann, erhielt die Lücke eine CVSS-Einstufung von 5,8.



Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)
  2. ab 99,98€
  3. täglich neue Deals bei Alternate.de

Folgen Sie uns
       


Two Point Hospital - Golem.de live

Dr. Dr. Golem meldet sich zum Dienst und muss im Livestream unfassbar viele depressive Clowns heilen, nein - nicht die im Chat.

Two Point Hospital - Golem.de live Video aufrufen
Augmented Reality: Das AR-Fabrikgelände aus dem Smartphone
Augmented Reality
Das AR-Fabrikgelände aus dem Smartphone

Derzeit ist viel von einer Augmented Reality Cloud die Rede. Golem.de hat mit dem Berliner Startup Visualix über den Stand der Technik und künftige Projekte für Unternehmenskunden gesprochen - und darüber, was die Neuerungen für Pokémon Go bedeuten könnten.
Ein Interview von Achim Fehrenbach

  1. Jarvish Motorradhelm bringt Alexa in den Kopf
  2. Patentantrag Apple plant Augmented-Reality in der Windschutzscheibe
  3. Magic Leap Lumin OS Erste Bilder des Betriebssystems für Augmented Reality

Campusnetze: Das teure Versäumnis der Telekom
Campusnetze
Das teure Versäumnis der Telekom

Die Deutsche Telekom muss anderen Konzernen bei 5G-Campusnetzen entgegenkommen. Jahrzehntelang von Funklöchern auf dem Lande geplagt, wollen Siemens und die Automobilindustrie nun selbst Mobilfunknetze aufspannen. Auch der öffentliche Rundfunk will selbst 5G machen.
Eine Analyse von Achim Sawall

  1. Funklöcher Telekom bietet freiwillig hohe 5G-Netzabdeckung an
  2. 5G Telekom hat ihr Mobilfunknetz mit Glasfaser versorgt
  3. Stadtnetzbetreiber 5G-Netz kann auch aus der Box kommen

Galaxy A9 im Hands on: Samsung bietet vier
Galaxy A9 im Hands on
Samsung bietet vier

Samsung erhöht die Anzahl der Kameras bei seinen Smartphones weiter: Das Galaxy A9 hat derer vier, zudem ist auch die restliche Ausstattung nicht schlecht. Aus verkaufspsychologischer Sicht könnte die Einstufung in die A-Mittelklasse bei einem Preis von 600 Euro ein Problem sein.
Ein Hands on von Tobias Költzsch

  1. Auftragsfertiger Samsung startet 7LPP-Herstellung mit EUV
  2. Galaxy A9 Samsung stellt Smartphone mit vier Hauptkameras vor
  3. Galaxy J4+ und J6+ Samsung stellt neue Smartphones im Einsteigerbereich vor

    •  /