Sicherheitsforscher demonstriert Gefährlichkeit von Apples „Goto fail“-Lücke

Apple hat die schwerwiegende SSL-Lücke zwar in iOS, aber noch immer nicht im Mac OS X geschlossen. Ein Proof-of-Concept zeigt, dass die Schwachstelle mit weitreichenden Folgen ausnutzbar ist. Fast jeder verschlüsselte Traffic einschließlich Benutzernamen, Passwörtern und selbst Apples App-Updates lassen sich abfangen.

Apple hat eine kritische SSL-Lücke zwar in iOS 6 und 7 geschlossen, aber noch nicht in seinem Desktop-Betriebssystem Mac OS X. Ein Sicherheitsforscher aus Neuseeland hat jetzt bewiesen, dass die Schwachstelle erfolgreiche Man-in-the-middle-Angriffe (MITM) mit weitreichenden Folgen ermöglicht. In weniger als einem Tag modifizierte er vorhandenen Mitmproxy-Code, um die Schwachstelle in OS X Mavericks zu nutzen.

Die jüngsten MacBook Pro mit Retina-Display kämpfen mit Eingabeproblemen (Bild: Josh Miller/CNET).(Bild: Josh Miller/CNET).

„Ich habe damit das vollständig transparente Mitschneiden von HTTPS-Traffic sowohl bei iOS (vor 7.0.6) sowie OS X Mavericks bestätigen können“, schreibt Aldo Cortesi, CEO und Gründer der Sicherheitsberatungsfirma Nullcube, in einem Blogeintrag. „Fast jeder verschlüsselte Traffic ließ sich abfangen – einschließlich Benutzernamen, Passwörtern und selbst Apples App-Updates.“

Auslesbar sind demnach iCloud-Daten einschließlich Schlüsselbund, Kalenderdaten und Erinnerungen, sich auf Zertifikate verlassende Anwendungen wie Twitter sowie nicht zuletzt Traffic zum App Store und selbst Software-Updates. Laut Cortesi ist es kaum möglich, die möglichen Folgen zu übertreiben. „Mit einem Tool wie Mitmproxy in der richtigen Position kann ein Angreifer fast allen sensiblen Traffic abfangen, betrachten und verändern. Das geht bis hin zum Software-Update-Mechanismus selbst, der sich auf HTTPS verlässt.“

Die Schwachstelle geht auf einen relativ simplen, aber schwerwiegenden Fehler in Apples Programmcode zurück. Sie wurde als „Goto fail“-Lücke bekannt, da diese Sprunganweisung versehentlich doppelt eingefügt wurde – was die vorgesehene Überprüfung der digitalen Signatur komplett aushebelte. Zu den davon betroffenen OS X-Anwendungen sollen unter anderem iMessage, Facetime, Mail und iBooks gehören.

Cortesi belegte seine Angaben mit Screenshots von mitgeschnittenem Software-Update-Traffic sowie Schlüsselbund-Übertragung. Seine modifizierte Version von Mitmproxy will er erst veröffentlichen, wenn eine Sicherheitsaktualisierung von Apple bereitsteht. Ein Update auch für OS X hält er für absolut überfällig. „Die Aktualisierungen für iOS und OS X hätten zumindest gleichzeitig veröffentlicht werden müssen“, sagte Cortesi gegenüber ZDNet.com.

Nicht in Erfahrung zu bringen sei, wie lange Apple dieses Problem schon bekannt ist. Klar sei jedoch, dass inzwischen auch andere an Exploits arbeiten. „Ich halte es für gut möglich, dass ich nicht der Erste war, daher sollten wir sicherheitshalber annehmen, dass die Lücke bereits aktiv ausgenützt wird. Außerdem ist natürlich auch wahrscheinlich, dass die Nachrichtendienste schon länger an der Sache dran sind.“

[mit Material von Chris Duckett, ZDNet.com]

Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Themenseiten: Apple, Desktop, Mac OS X, Secure-IT, iOS

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

4 Kommentare zu Sicherheitsforscher demonstriert Gefährlichkeit von Apples „Goto fail“-Lücke

Kommentar hinzufügen
  • Am 26. Februar 2014 um 4:38 von punisher

    Wo bleiben die Leute, die das als „lächerlichen bug“ des sichersten Betriebssystems bezeichnet haben?
    Wo bist du Harry?

  • Am 26. Februar 2014 um 7:11 von Kilofox

    Als standhafter Nutzer von IOS 6 kann ich kein Update für mein iPhone 5 und iPad finden. Es wird Softwareseitig nur das aktuelle 7.0.6 angeboten.
    Hat jemand ne Idee???

    • Am 26. Februar 2014 um 9:49 von M@tze

      Ich kann es Dir nicht genau sagen (kein Apple hier), habe aber gelesen das es das Update gibt, sich iOS6 User aber vorsehen muessten da (wie schon bemerkt) nur ein komplettes iOS7 Update angeboten wird, was viele anscheinend nicht wollen.

      Schau mal hier:

      http://support.apple.com/kb/HT6146

      PS: Gerade gesehen, dass das Update fuer Mac OS seit gestern Abend bereit steht.

    • Am 26. Februar 2014 um 10:08 von Florian Kalenda

      Auch das Update für iOS 6 sollte gestern Abend eingetroffen sein.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *