Abo
  • Services:
Anzeige
Über eine Schwachstelle kann beliebiger Code in die Beleg-E-Mail von Apples App Store eingebettet werden.
Über eine Schwachstelle kann beliebiger Code in die Beleg-E-Mail von Apples App Store eingebettet werden. (Bild: Benjamin Kunz Mejri)

Security: Apples App Store als Einfallstor für Schadcode

Über eine Schwachstelle kann beliebiger Code in die Beleg-E-Mail von Apples App Store eingebettet werden.
Über eine Schwachstelle kann beliebiger Code in die Beleg-E-Mail von Apples App Store eingebettet werden. (Bild: Benjamin Kunz Mejri)

Über eine Schwachstelle in der Verarbeitung von Belegen für Einkäufe in Apples App Store lässt sich Code auf fremden Rechnern einschleusen.

Anzeige

Ein etwas ungewöhnliches Einfallstor: Über den Beleg, den Apple nach einem Einkauf im App Store verschickt, lässt sich beliebiger Code einschleusen. Dazu muss der Code nur in das Namensfeld eingetragen werden. Der Beleg wird nicht nur an die eigene Adresse verschickt, sondern auch an den Verkäufer und durchläuft dabei die Server-Infrastruktur von Apple.

Entdeckt hat die Schwachstelle der IT-Sicherheitsexperte Benjamin Kunz Mejri, der Apple bereits Anfang Juni 2015 davon in Kenntnis gesetzt hat. Apple hat die Schwachstelle zwar bereits bestätigt und ihr eine entsprechende ID zugewiesen, allerdings gab es bis gestern noch keinen Patch, wie uns Mejri bestätigt. Apple müsste dafür eine Verifizierungsmethode einführen.

Schadcode für den App-Verkäufer

Je nachdem mit welcher Applikation und Sicherheitsstufe die Beleg-E-Mail geöffnet wird, kann der eingeschleuste Code automatisch ausgeführt werden. Möglich wäre auch, dass der Schadcode durch den Verkäufer fälschlicherweise an andere Nutzer weitergegeben werden könnte. Aber auch Phishing-Angriffe oder Weiterleitungen auf manipulierte Webseiten sind möglich. Da die Beleg-E-Mail stets den offiziellen Domainnamen @email.apple.com trägt, dürfte sie von den meisten Nutzern als vertrauenswürdig eingestuft werden.

In einem Machbarkeitsnachweis ersetzte Mejri auf einem iPod seinen Namen mit einer Befehlszeile. Das Problem: Dort können auch beliebige Sonderzeichen eingegeben werden. Eine Zeichenbegrenzung gebe es vermutlich, er kenne sie aber nicht genau, sagte Meijri zu Golem.de. Apples Beleg-E-Mails werden im HTML-Format versendet, der Code wird dort in einem Iframe eingebettet. In Kombination mit anderen Exploits könnte diese Lücke für einen App-Verkäufer gefährlich werden. Da der Code auf einfacher Benutzerebene eingegeben und aus der Ferne ausgenutzt werden kann, erhielt die Lücke eine CVSS-Einstufung von 5,8.


eye home zur Startseite



Anzeige

Stellenmarkt
  1. Robert Bosch GmbH, Hildesheim
  2. WEGMANN automotive GmbH & Co. KG, Veitshöchheim
  3. Daimler AG, Böblingen
  4. Technische Universität Darmstadt, Darmstadt


Anzeige
Spiele-Angebote
  1. 17,99€
  2. 315,00€
  3. 22,99€

Folgen Sie uns
       


  1. WLAN

    Zahl der Vodafone-Hotspots steigt auf zwei Millionen

  2. Linux-Grafiktreiber

    Mesa 17.3 verbessert Vulkan- und Embedded-Treiber

  3. Gemini Lake

    Intel bringt Pentium Silver mit Gigabit-WLAN

  4. MG07ACA

    Toshiba packt neun Platter in seine erste 14-TByte-HDD

  5. Sysinternals-Werkzeug

    Microsoft stellt Procdump für Linux vor

  6. Forschungsförderung

    Medizin-Nobelpreisträger Rosbash kritisiert Trump

  7. Sicherheit

    Keylogger in HP-Notebooks gefunden

  8. IBM AC922

    In Deep Learning schlägt der Power9 die X86-Konkurrenz

  9. FTTH

    Telekom kündigt weitere Glasfaser-Stadt an

  10. 2-Minuten-Counter gegen Schwarzfahrer

    Das sekundengenaue Handyticket ist möglich



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Thinkpad X1 Yoga v2 im Test: LCD gegen OLED
Thinkpad X1 Yoga v2 im Test
LCD gegen OLED

Samsung Gear Sport im Test: Die schlaue Sportuhr
Samsung Gear Sport im Test
Die schlaue Sportuhr
  1. Wearable Fitbit macht die Ionic etwas smarter
  2. Verbraucherschutz Sportuhr-Hersteller gehen unsportlich mit Daten um
  3. Fitbit Ionic im Test Die (noch) nicht ganz so smarte Sportuhr

Minecraft Education Edition: Wenn Schüler richtig ranklotzen
Minecraft Education Edition
Wenn Schüler richtig ranklotzen

  1. Re: Über die Kosten erfährt man nichts

    march | 16:14

  2. Re: Zielgerichtete Forschung benötigt keine...

    EdwardBlake | 16:09

  3. Widerspruch ?!

    blaub4r | 16:06

  4. Re: Etwas irrefuehrend

    Dwalinn | 16:05

  5. "Die niedrigere Datendichte kommt der...

    HerrMannelig | 16:05


  1. 15:57

  2. 15:20

  3. 15:00

  4. 14:46

  5. 13:30

  6. 13:10

  7. 13:03

  8. 12:50


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel