Trellix deckt Schwachstellen in iPhones und Macs auf

Am 23. Januar 2023 hat Apple diverse Betriebssysteme aktualisiert: Das Unternehmen veröffentlichte unter anderem Version 16.3 von iOS und iPadOS sowie Version 13.2 von MacOS. Besitzerinnen und Besitzer von iPhones, iPads und Macs sollten diese Updates bald einspielen, denn Apple führte damit nicht nur neue Features ein, sondern schloss auch diverse Sicherheitslücken. Und die hatten es offenbar in sich, wie eine Analyse von Trellix zeigt. Darin spricht das Unternehmen, das aus der Fusion von McAfee und Fireeye hervorging, von einer ganz neu entdeckten Fehlerklasse zur Privilegienerweiterung.

Pegasus-Einfallstor nicht ganz geschlossen

Die entdeckten Schwachstellen basieren demnach auf dem sogenannten Forcedentry-Angriff. Dabei handelt es sich um eine schon länger bekannte und vom Citizen Lab der Universität Toronto dokumentierte Sicherheitslücke. Die Schwachstelle erlangte einige Berühmtheit, weil sie die israelische NSO-Gruppe zum Verteilen der Spähsoftware Pegasus nutzte.

Nach Bekanntwerden der Schwachstelle leitete Apple zwar Massnahmen ein, um sie zu beheben und unschädlich zu machen. Doch wie Trellix nun ausführt, reichten diese Massnahmen nicht aus, um ähnliche Angriffe zu verhindern.

Tatsächlich habe man zahlreiche Zero-Day-Schwachstellen entdeckt, die Forcedentry-ähnliche Angriffe ermöglichten. Laut Trellix reichen diese "vom Zugriff auf SMS und iMessages bis hin zu Standortdaten, persönlichen Fotos und Videos." Bösartige Hacker hätten durch diese Sicherheitslücken etwa bestimmte Nachrichten, Anruflisten und Sprachnachrichten oder auch ganze Smartphones löschen können. Ausserdem konnten sie Nutzer anhand der GPS-Daten verfolgen."

Etwas technischer erklärt Trellix, dass Anwendungen die Möglichkeit hatten, die Prozessisolierung, die Teil des Sicherheitskonzepts von MacOS und iOS ist, auszuhebeln und so auf weit mehr Daten zugreifen konnten, als vorgesehen. Eine noch genauere Dokumentation stellt Trellix auf seiner Website zur Verfügung.

À propos Apple-Geräte: Die neuesten iPhones verfügen über eine Funktion, die Unfälle erkennen und automatisch die Rettungsdienste benachrichtigen soll. Doch mitunter schlagen die Apple-Smartphones auch während Skiabfahrten oder Achterbahnfahrten Alarm – zum Ärger von Notfallzentralen, wie Sie hier lesen können.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.