Sicherheitsforscher demonstriert Gefährlichkeit von Apples „Goto fail“-Lücke

Apple hat eine kritische SSL-Lücke zwar in iOS 6 und 7 geschlossen, aber noch nicht in seinem Desktop-Betriebssystem Mac OS X. Ein Sicherheitsforscher aus Neuseeland hat jetzt bewiesen, dass die Schwachstelle erfolgreiche Man-in-the-middle-Angriffe (MITM) mit weitreichenden Folgen ermöglicht. In weniger als einem Tag modifizierte er vorhandenen Mitmproxy-Code, um die Schwachstelle in OS X Mavericks zu nutzen.

„Ich habe damit das vollständig transparente Mitschneiden von HTTPS-Traffic sowohl bei iOS (vor 7.0.6) sowie OS X Mavericks bestätigen können“, schreibt Aldo Cortesi, CEO und Gründer der Sicherheitsberatungsfirma Nullcube, in einem Blogeintrag. „Fast jeder verschlüsselte Traffic ließ sich abfangen – einschließlich Benutzernamen, Passwörtern und selbst Apples App-Updates.“

Auslesbar sind demnach iCloud-Daten einschließlich Schlüsselbund, Kalenderdaten und Erinnerungen, sich auf Zertifikate verlassende Anwendungen wie Twitter sowie nicht zuletzt Traffic zum App Store und selbst Software-Updates. Laut Cortesi ist es kaum möglich, die möglichen Folgen zu übertreiben. „Mit einem Tool wie Mitmproxy in der richtigen Position kann ein Angreifer fast allen sensiblen Traffic abfangen, betrachten und verändern. Das geht bis hin zum Software-Update-Mechanismus selbst, der sich auf HTTPS verlässt.“

Die Schwachstelle geht auf einen relativ simplen, aber schwerwiegenden Fehler in Apples Programmcode zurück. Sie wurde als „Goto fail“-Lücke bekannt, da diese Sprunganweisung versehentlich doppelt eingefügt wurde – was die vorgesehene Überprüfung der digitalen Signatur komplett aushebelte. Zu den davon betroffenen OS X-Anwendungen sollen unter anderem iMessage, Facetime, Mail und iBooks gehören.

Cortesi belegte seine Angaben mit Screenshots von mitgeschnittenem Software-Update-Traffic sowie Schlüsselbund-Übertragung. Seine modifizierte Version von Mitmproxy will er erst veröffentlichen, wenn eine Sicherheitsaktualisierung von Apple bereitsteht. Ein Update auch für OS X hält er für absolut überfällig. „Die Aktualisierungen für iOS und OS X hätten zumindest gleichzeitig veröffentlicht werden müssen“, sagte Cortesi gegenüber ZDNet.com.

Nicht in Erfahrung zu bringen sei, wie lange Apple dieses Problem schon bekannt ist. Klar sei jedoch, dass inzwischen auch andere an Exploits arbeiten. „Ich halte es für gut möglich, dass ich nicht der Erste war, daher sollten wir sicherheitshalber annehmen, dass die Lücke bereits aktiv ausgenützt wird. Außerdem ist natürlich auch wahrscheinlich, dass die Nachrichtendienste schon länger an der Sache dran sind.“

[mit Material von Chris Duckett, ZDNet.com]

Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.