Abo
  • Services:
Anzeige
Über eine Schwachstelle kann beliebiger Code in die Beleg-E-Mail von Apples App Store eingebettet werden.
Über eine Schwachstelle kann beliebiger Code in die Beleg-E-Mail von Apples App Store eingebettet werden. (Bild: Benjamin Kunz Mejri)

Security: Apples App Store als Einfallstor für Schadcode

Über eine Schwachstelle kann beliebiger Code in die Beleg-E-Mail von Apples App Store eingebettet werden.
Über eine Schwachstelle kann beliebiger Code in die Beleg-E-Mail von Apples App Store eingebettet werden. (Bild: Benjamin Kunz Mejri)

Über eine Schwachstelle in der Verarbeitung von Belegen für Einkäufe in Apples App Store lässt sich Code auf fremden Rechnern einschleusen.

Anzeige

Ein etwas ungewöhnliches Einfallstor: Über den Beleg, den Apple nach einem Einkauf im App Store verschickt, lässt sich beliebiger Code einschleusen. Dazu muss der Code nur in das Namensfeld eingetragen werden. Der Beleg wird nicht nur an die eigene Adresse verschickt, sondern auch an den Verkäufer und durchläuft dabei die Server-Infrastruktur von Apple.

Entdeckt hat die Schwachstelle der IT-Sicherheitsexperte Benjamin Kunz Mejri, der Apple bereits Anfang Juni 2015 davon in Kenntnis gesetzt hat. Apple hat die Schwachstelle zwar bereits bestätigt und ihr eine entsprechende ID zugewiesen, allerdings gab es bis gestern noch keinen Patch, wie uns Mejri bestätigt. Apple müsste dafür eine Verifizierungsmethode einführen.

Schadcode für den App-Verkäufer

Je nachdem mit welcher Applikation und Sicherheitsstufe die Beleg-E-Mail geöffnet wird, kann der eingeschleuste Code automatisch ausgeführt werden. Möglich wäre auch, dass der Schadcode durch den Verkäufer fälschlicherweise an andere Nutzer weitergegeben werden könnte. Aber auch Phishing-Angriffe oder Weiterleitungen auf manipulierte Webseiten sind möglich. Da die Beleg-E-Mail stets den offiziellen Domainnamen @email.apple.com trägt, dürfte sie von den meisten Nutzern als vertrauenswürdig eingestuft werden.

In einem Machbarkeitsnachweis ersetzte Mejri auf einem iPod seinen Namen mit einer Befehlszeile. Das Problem: Dort können auch beliebige Sonderzeichen eingegeben werden. Eine Zeichenbegrenzung gebe es vermutlich, er kenne sie aber nicht genau, sagte Meijri zu Golem.de. Apples Beleg-E-Mails werden im HTML-Format versendet, der Code wird dort in einem Iframe eingebettet. In Kombination mit anderen Exploits könnte diese Lücke für einen App-Verkäufer gefährlich werden. Da der Code auf einfacher Benutzerebene eingegeben und aus der Ferne ausgenutzt werden kann, erhielt die Lücke eine CVSS-Einstufung von 5,8.


eye home zur Startseite



Anzeige

Stellenmarkt
  1. FILIADATA GmbH, Karlsruhe
  2. über Ratbacher GmbH, Raum Dresden
  3. GOM GmbH, Braunschweig
  4. State Street Global Exchange, Frankfurt


Anzeige
Spiele-Angebote
  1. 29,99€
  2. 6,99€
  3. 2,99€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing
  2. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes


  1. Nintendo

    Interner Speicher von Switch offenbar schon jetzt zu klein

  2. Noch 100 Tage

    Unitymedia schaltet Analogfernsehen schrittweise ab

  3. Routerfreiheit

    Tagelange Störung bei Aktivierungsportal von Vodafone

  4. Denverton

    Intel plant Atom C3000 mit bis zu 16 Goldmont-CPU-Kernen

  5. Trotz Weiterbildung

    Arbeitslos als Fachinformatiker

  6. Klage gegen Steuernachzahlung

    Apple beruft sich auf europäische Grundrechte

  7. 3D Studio

    Nvidia spendiert Qt Hunderttausende Zeilen Code

  8. Horizon Zero Dawn im Test

    Abenteuer im Land der Maschinenmonster

  9. Qualcomm

    Snapdragon 210 bekommt Android-Things-Unterstützung

  10. New Radio

    Qualcomm lässt neues 5G-Air-Interface testen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
EU-Funkanlagenrichtlinie: Mit dem Router-Lockdown kommt das absolute Chaos
EU-Funkanlagenrichtlinie
Mit dem Router-Lockdown kommt das absolute Chaos
  1. Freie Software Gemeinnützigkeit-as-a-Service gibt es auch in Europa
  2. CPU-Architektur RISC-V soll dominierende Architektur werden
  3. IETF-Standard Erste Quic-Tests kommen noch diesen Sommer

Autonomes Fahren: Die Ära der Kooperitis
Autonomes Fahren
Die Ära der Kooperitis
  1. Neue Bedienungssysteme im Auto Es kribbelt in den Fingern
  2. Amazon Alexa im Auto, im Kinderzimmer und im Kühlschrank
  3. Focalcrest Mixtile Hub soll inkompatible Produkte in Homekit einbinden

Thimbleweed Park angespielt: Die Rückkehr der unsterblichen Pixel
Thimbleweed Park angespielt
Die Rückkehr der unsterblichen Pixel

  1. Re: Henne-Ei Problem

    Blackacid | 17:53

  2. Re: bewerbungsfragen... mal zum self assessment. :-)

    bjs | 17:52

  3. Immerhin eine MicroSD

    Mixermachine | 17:51

  4. Re: Die meisten Admins sind Nichtskönner

    carnival | 17:51

  5. Re: Grungesetzwidrig

    Reddead | 17:50


  1. 16:18

  2. 15:53

  3. 15:29

  4. 15:00

  5. 14:45

  6. 14:13

  7. 14:12

  8. 14:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel