iPhone-Kamera erkennt keine manipulierten QR-Codes

Die App interpretiert eine speziell gestaltete URL beispielsweise als Facebook.com. Safari öffnet jedoch eine vollkommen andere URL, die ein Angreifer selbst festlegen kann. Der Bug ist also ein Einfallstor für Spoofing-Angriffe. Apple ist der Fehler seit drei Monaten bekannt.

Der deutsche Sicherheitsforscher Roman Müller hat eine Sicherheitslücke in der Kamera-App von iOS entdeckt. Die mit iOS 11 eingeführte Funktion zum Scannen von QR-Codes – sie macht die Installation einer separaten Scan-App überflüssig – ist anfällig für Spoofing. Müller zufolge können speziell gestaltete QR-Codes mit Links zu Websites dazu führen, dass iOS eine andere URL anzeigt als die, die eigentlich im QR-Code hinterlegt ist und anschließend aufgerufen wird.

Erkennt die Kamera-App von iOS einen QR-Code, blendet sie eine Meldung mit der gefundenen URL ein und bietet an, diese mit Safari zu öffnen. In dem von Mueller gewählten Beispiel wird jedoch nicht „Facebook.com“ aufgerufen, sondern die eingebettete URL „https://xxx\@facebook.com:443@infosec.rm-it.de/“, die den Nutzer zu Muellers Blog „infosec.rm-it.de“ führt.

QR-Code Scanner von iOS 11 (Screenshot: ZDNet.de)„Der URL-Parser der Kamera-App hat ein Problem, den Hostnamen in der URL genauso zu erkennen wie Safari“, schreibt Mueller. „Wahrscheinlich erkennt sie ‚xxx\‘ als Nutzernamen, der an ‚facebook.com:443‘ geschickt werden soll. Safari scheint indessen den kompletten String ‚xxx\@facebook.com‘ als Nutzernamen und ‚443‘ als das Passwort für infosec.rm-it.de zu nehmen. Das führt dazu, dass ein anderer Hostname in der Benachrichtigung angezeigt als tatsächlich in Safari geöffnet wird.“

Mueller zufolge weiß Apple bereits seit 23. Dezember 2017 von der Sicherheitslücke. Der Bug sei bis einschließlich 24. März 2018 nicht behoben worden. Tatsächlich lässt er sich auf einem iPhone 5S mit der aktuellen Beta von iOS 11.3 weiterhin nachstellen.

Browser scheinen die von Mueller erstellte Zeichenfolge zudem unterschiedlich zu interpretieren. Google Chrome meldet beispielsweise, dass die Server-IP-Adresse der Domain „xxx“ nicht gefunden wurde. Das gilt auch für Opera, der auf Googles Browser-Engine basiert. Auch Firefox zeigt mit Hinweise auf diese Fehlermeldung keine Website an. Microsoft Edge hingegen verhält sich wie Safari für iOS und greift auf Muellers Blog zu. Internet Explorer hingegen macht es wie Chrome, Opera und Firefox und behauptet, dass mit der Webadresse „https://xxx“ etwas nicht stimmt. Jedoch kommt kein Browser zum selben Ergebnis wie die Kamera-App von iOS 11 und verweist auf Facebook.com.

Tipp: Wie gut kennen Sie das iPhone? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

HIGHLIGHT

EMM – ein nützliches Werkzeug zur Einhaltung der DSGVO

Am 25. Mai 2018 tritt die europäische Datenschutzgrundverordnung (EU-DSGVO) in Kraft. In diesem Dokument finden Unternehmen Rahmenbedingungen, mit denen sie ihre Richtlinien für mobilen Datenschutz und mobile Sicherheit sowie die Durchsetzungskonzepte bewerten können.

Themenseiten: Apple, Kamera, Security, Sicherheit, iOS, iPhone

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu iPhone-Kamera erkennt keine manipulierten QR-Codes

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *