Sicherheitslücken: Safari ermöglichte ungefragt Zugriff auf die Webcam

Gleich sieben Sicherheitslücken hat ein Forscher in Apples Browser Safari entdeckt.

Artikel veröffentlicht am ,
Sicherheitslücken in Apples Browser Safari
Sicherheitslücken in Apples Browser Safari (Bild: Karlis Dambrans/CC-BY 2.0)

Mehrere Sicherheitslücken in Apples Browser Safari ermöglichten Angreifern den ungefragten Zugriff auf die Kamera von Macs, iPhones und iPads. Voraussetzung war, dass der Nutzer bereits einer Webseite den Kamerazugriff erlaubt hat, beispielsweise Skype, Zoom oder Jitsi. Anschließend konnte über eine präparierte Webseite oder darin eingebundene Werbung auf die Kamera zugegriffen werden. Die insgesamt sieben Lücken wurden von dem Sicherheitsforscher Ryan Pickren entdeckt und von Apple behoben.

Stellenmarkt
  1. SAP SuccessFactors Berater (m/w/x)
    über duerenhoff GmbH, Raum Freiburg
  2. Softwareentwickler Android, Navigation und Map (m/w/d)
    e.solutions GmbH, Erlangen
Detailsuche

Damit der Nutzer den Kamerazugriff nicht jedes Mal erneut erlauben muss, legt Safari eine Liste mit autorisierten Domains an. Allerdings hat Safari die Domains nur unzureichend überprüft: Für den Browser waren www.example.com, http://example.com und https://example.com und fake://example.com die gleichen Domains - denen ungefragt der Zugriff auf das Mikrofon und die Kameras unter iOS und MacOS erlaubt wurde. Diesen Umstand nutzte Pickren aus.

Dem Sicherheitsforscher gelang es auf verschiedene Arten, die ursprüngliche Domain umzuschreiben und das Protokoll zu wechseln. Durch eine Kombination der Sicherheitslücken konnte Pickren die gefakte URL blob://skype.com öffnen, die von Safari als Skype.com anerkannt wurde. Damit erhielt der Sicherheitsforscher Zugriff auf das Mikrofon und die Kameras. Unter MacOS sei zudem eine Aktivierung des Screensharings möglich gewesen, erklärt Pickren.

Pickren meldete die Sicherheitslücken an Apple und erhielt ein Bug Bounty über 75.000 US-Dollar. Apple schloss die sieben Sicherheitslücken (CVE-2020-3852, CVE-2020-3864, CVE-2020-3865, CVE-2020-3885, CVE-2020-3887, CVE-2020-9784, CVE-2020-9787) mit Safari 13.0.5 beziehungsweise 13.1 sowie den iOS-Updates 13.3.1 und 12.4.5. In seinem ausführlichen Blogeintrag hat Pickren zudem ein Proof-of-Concept (PoC) veröffentlicht, mit dem sich der Angriff ausprobieren lässt. Dafür ist jedoch Safari in der Version 13.0.4 notwendig, wie der Sicherheitsforscher betont.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Oberleitungs-Lkw
Herr Gramkow will möglichst weit elektrisch fahren

Seit anderthalb Jahren fährt ein Lkw auf der A1 elektrisch an einer Oberleitung. Wir haben die Spedition besucht, die ihn einsetzt.
Ein Bericht von Werner Pluta

Oberleitungs-Lkw: Herr Gramkow will möglichst weit elektrisch fahren
Artikel
  1. Star Trek: Playmobil bringt 1 Meter langes Enterprise-Spielset
    Star Trek
    Playmobil bringt 1 Meter langes Enterprise-Spielset

    Star Treks klassische Enterprise NCC-1701 kommt mit den Hauptcharakteren, Phasern und Tribbles sowie einem Standfuß und einer Deckenhalterung.

  2. Wettbewerb: EU soll Untersuchung von Googles Werbegeschäft planen
    Wettbewerb
    EU soll Untersuchung von Googles Werbegeschäft planen

    Die EU-Kommission lässt Google keine Pause: Als Nächstes soll das Werbegeschäft genau auf Wettbewerbseinschränkungen untersucht werden.

  3. Akkutechnik und E-Mobilität: Natrium-Ionen-Akkus werden echte Lithium-Alternative
    Akkutechnik und E-Mobilität
    Natrium-Ionen-Akkus werden echte Lithium-Alternative

    Faradion und der Tesla-Zulieferer CATL produzieren erste Natrium-Ionen-Akkus mit der Energiedichte von LFP. Sie sind kälteresistenter, sicherer und lithiumfrei.
    Von Frank Wunderlich-Pfeiffer

elgooG 07. Apr 2020

Ich glaube du hast gar nicht verstanden worum es mir geht. Natürlich hat man keine...

chefin 07. Apr 2020

Leider vergisst du einen Kleinigkeit Wer den Fehler finden und ausnutzt, wird ihn nicht...


Folgen Sie uns
       


  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Orange Week bei Cyberport mit bis zu -70% • MSI Optix G32CQ4DE 335,99€ • XXL-Sale bei Alternate • Enermax ETS-F40-FS ARGB 32,99€ • Prime-Filme leihen für je 0,99€ • GP Anniversary Sale - Teil 4: Indie & Arcade • Saturn Weekend Deals • Ebay: 10% auf Gaming-Produkte [Werbung]
    •  /