Sicherheitslücken: Safari ermöglichte ungefragt Zugriff auf die Webcam

Gleich sieben Sicherheitslücken hat ein Forscher in Apples Browser Safari entdeckt.

Artikel veröffentlicht am 6. April 2020, 11:14 Uhr, Moritz Tremmel

Sicherheitslücken in Apples Browser Safari (Bild: Karlis Dambrans/CC-BY 2.0)

Mehrere Sicherheitslücken in Apples Browser Safari ermöglichten Angreifern den ungefragten Zugriff auf die Kamera von Macs, iPhones und iPads. Voraussetzung war, dass der Nutzer bereits einer Webseite den Kamerazugriff erlaubt hat, beispielsweise Skype, Zoom oder Jitsi. Anschließend konnte über eine präparierte Webseite oder darin eingebundene Werbung auf die Kamera zugegriffen werden. Die insgesamt sieben Lücken wurden von dem Sicherheitsforscher Ryan Pickren entdeckt und von Apple behoben.

Damit der Nutzer den Kamerazugriff nicht jedes Mal erneut erlauben muss, legt Safari eine Liste mit autorisierten Domains an. Allerdings hat Safari die Domains nur unzureichend überprüft: Für den Browser waren www.example.com, http://example.com und https://example.com und fake://example.com die gleichen Domains - denen ungefragt der Zugriff auf das Mikrofon und die Kameras unter iOS und MacOS erlaubt wurde. Diesen Umstand nutzte Pickren aus.

Dem Sicherheitsforscher gelang es auf verschiedene Arten, die ursprüngliche Domain umzuschreiben und das Protokoll zu wechseln. Durch eine Kombination der Sicherheitslücken konnte Pickren die gefakte URL blob://skype.com öffnen, die von Safari als Skype.com anerkannt wurde. Damit erhielt der Sicherheitsforscher Zugriff auf das Mikrofon und die Kameras. Unter MacOS sei zudem eine Aktivierung des Screensharings möglich gewesen, erklärt Pickren.

Pickren meldete die Sicherheitslücken an Apple und erhielt ein Bug Bounty über 75.000 US-Dollar. Apple schloss die sieben Sicherheitslücken (CVE-2020-3852, CVE-2020-3864, CVE-2020-3865, CVE-2020-3885, CVE-2020-3887, CVE-2020-9784, CVE-2020-9787) mit Safari 13.0.5 beziehungsweise 13.1 sowie den iOS-Updates 13.3.1 und 12.4.5. In seinem ausführlichen Blogeintrag hat Pickren zudem ein Proof-of-Concept (PoC) veröffentlicht, mit dem sich der Angriff ausprobieren lässt. Dafür ist jedoch Safari in der Version 13.0.4 notwendig, wie der Sicherheitsforscher betont.