• IT-Karriere:
  • Services:

Sicherheitslücken: Safari ermöglichte ungefragt Zugriff auf die Webcam

Gleich sieben Sicherheitslücken hat ein Forscher in Apples Browser Safari entdeckt.

Artikel veröffentlicht am ,
Sicherheitslücken in Apples Browser Safari
Sicherheitslücken in Apples Browser Safari (Bild: Karlis Dambrans/CC-BY 2.0)

Mehrere Sicherheitslücken in Apples Browser Safari ermöglichten Angreifern den ungefragten Zugriff auf die Kamera von Macs, iPhones und iPads. Voraussetzung war, dass der Nutzer bereits einer Webseite den Kamerazugriff erlaubt hat, beispielsweise Skype, Zoom oder Jitsi. Anschließend konnte über eine präparierte Webseite oder darin eingebundene Werbung auf die Kamera zugegriffen werden. Die insgesamt sieben Lücken wurden von dem Sicherheitsforscher Ryan Pickren entdeckt und von Apple behoben.

Stellenmarkt
  1. MediaNet GmbH Netzwerk- und Applikations-Service, Freiburg im Breisgau
  2. Stadt Frankfurt am Main, Frankfurt am Main

Damit der Nutzer den Kamerazugriff nicht jedes Mal erneut erlauben muss, legt Safari eine Liste mit autorisierten Domains an. Allerdings hat Safari die Domains nur unzureichend überprüft: Für den Browser waren www.example.com, http://example.com und https://example.com und fake://example.com die gleichen Domains - denen ungefragt der Zugriff auf das Mikrofon und die Kameras unter iOS und MacOS erlaubt wurde. Diesen Umstand nutzte Pickren aus.

Dem Sicherheitsforscher gelang es auf verschiedene Arten, die ursprüngliche Domain umzuschreiben und das Protokoll zu wechseln. Durch eine Kombination der Sicherheitslücken konnte Pickren die gefakte URL blob://skype.com öffnen, die von Safari als Skype.com anerkannt wurde. Damit erhielt der Sicherheitsforscher Zugriff auf das Mikrofon und die Kameras. Unter MacOS sei zudem eine Aktivierung des Screensharings möglich gewesen, erklärt Pickren.

Pickren meldete die Sicherheitslücken an Apple und erhielt ein Bug Bounty über 75.000 US-Dollar. Apple schloss die sieben Sicherheitslücken (CVE-2020-3852, CVE-2020-3864, CVE-2020-3865, CVE-2020-3885, CVE-2020-3887, CVE-2020-9784, CVE-2020-9787) mit Safari 13.0.5 beziehungsweise 13.1 sowie den iOS-Updates 13.3.1 und 12.4.5. In seinem ausführlichen Blogeintrag hat Pickren zudem ein Proof-of-Concept (PoC) veröffentlicht, mit dem sich der Angriff ausprobieren lässt. Dafür ist jedoch Safari in der Version 13.0.4 notwendig, wie der Sicherheitsforscher betont.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. (u. a. Sony DualSense Wireless-Controller für 67,89€)
  2. (u. a. Gainward Geforce RTX 3070 Phantom GS 8G für 739€)

elgooG 07. Apr 2020

Ich glaube du hast gar nicht verstanden worum es mir geht. Natürlich hat man keine...

chefin 07. Apr 2020

Leider vergisst du einen Kleinigkeit Wer den Fehler finden und ausnutzt, wird ihn nicht...


Folgen Sie uns
       


Linux-Smartphone Pinephone im Test

Das Pinephone ist das erste echte Linux-Smartphone seit rund 5 Jahren und dazu noch von einer Community erstellt. Das ambitionierte Projekt scheitert letztlich aber an der Realität.

Linux-Smartphone Pinephone im Test Video aufrufen
    •  /