Fehler in Mail für iOS erlaubt Diebstahl von iCloud-Passwörtern

Apple ist die Sicherheitslücke angeblich seit Januar bekannt. Bisher steht kein Patch zur Verfügung. Deswegen hat der Entdecker des Bugs nun Proof-of-Concept-Code auf Github veröffentlicht.

Der Sicherheitsexperte Jan Soucek hat eine Schwachstelle in der iOS-Mail-App entdeckt. Wie The Register berichtet, erlaubt der Fehler das Laden von HTML-Inhalten aus der Ferne, wenn eine E-Mail an das Opfer ausgeliefert wird. Dabei kann es sich beispielsweise um eine falsche Anmeldeseite für Apples Clouddienst iCloud handeln, worüber ein Angreifer dann Apple-ID und Passwort ausspähen kann.

Der HTML-Inhalt ersetze die eigentliche E-Mail-Nachricht, heißt es weiter in dem Bericht. Obwohl JavaScript in der Web-View-Komponente der Mail-App deaktiviert sei, sei es möglich, funktionierende Anmeldeseiten mit HTML und CSS zu erstellen. Nutzer der Mail-App von iOS sähen nur ein Pop-up, das sich nicht von einer regulären Abfrage der iCloud-Anmeldedaten unterscheide.

Apple-iCloud (Screenshot: ZDNet.de)

Dem Forscher zufolge ist Apple die Anfälligkeit seit Januar bekannt. Das Unternehmen habe seitdem aber nicht reagiert. Keines der nach iOS 8.1.2 ausgelieferten Updates enthalte einen Fix. „Deswegen habe ich mich entschlossen, den Proof-of-Concept-Code hier zu veröffentlichten“, schreibt Soucek in einem Eintrag auf Github.

Da die Sicherheitslücke das Einschleusen von beliebigen HTML-Inhalten erlaubt, sind nicht nur Phishing-Angriffe auf iCloud möglich. Das von Soucek bereitgestellte Tool lässt Hacker Anmeldeseiten beliebiger anderer Dienste fälschen und für Phishing-Kampagnen benutzen.

Erst Anfang der Woche war bekannt geworden, dass der Promi-iCloud-Hack im vergangenen Jahr mindestens 572 iCloud-Konten betraf. Ein bereits im vergangenen Jahr verhafteter Tatverdächtiger griff zwischen 31. Mai 2013 und 31. August 2014 in Summe 3263-mal auf iCloud-Konten zu.

Wie er an die iCloud-Anmeldedaten gekommen ist, ist weiter unklar. Mehrere Opfer sagten der Polizei demnach, sie seien im Zeitraum vor Veröffentlichung der Fotos einmal aus dem eigenen iCloud-Konto ausgesperrt gewesen. Andere berichten, auf Phishing-Nachrichten hereingefallen zu sein und Namen und Passwort preisgegeben zu haben.

Themenseiten: Apple, E-Mail, Phishing, Secure-IT, Sicherheit, iOS

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Fehler in Mail für iOS erlaubt Diebstahl von iCloud-Passwörtern

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *