Googles beschäftigt sich nicht nur mit Sicherheitslücken in den eigenen Produkten, sondern untersucht im Rahmen des Project Zero auch Produkte und Technologien anderer Unternehmen und wird dabei immer wieder fündig. Nun haben die Sicherheitsforscher angekündigt, eine ganze Reihe von Sicherheitslücken in Apples iOS entdeckt zu haben, das Angreifen das Ausspähen des Standorts und von Daten ermöglichte. Das Einfallstor ist der Webbrowser.
Apples iOS ist vermeintlich ein sehr sicheres Betriebssystem, da auf normalem Wege keine Apps auf die Smartphones gelangen, die nicht von Apple untersucht wurden. Langsam aber sicher schwenkt auch Google in diese Richtung, aber selbst dann ist man nicht vor Angriffen geschützt, die aus anderen Quellen stammen. Googles Sicherheitsforscher zeigen nun, wie der Webbrowser zum Einfallstor wird.
Googles Sicherheitsforscher haben nun insgesamt fünf Methoden entdeckt, die aus zwölf kombinierten Sicherheitslücken bestehen, um ein iPhone relativ einfach über den Webbrowser anzugreifen. Für einen erfolgreichen Angriff muss ein Nutzer nur eine manipulierte Webseite besuchen und fängt sich die Schadsoftware ohne jegliche weitere Nachfrage oder Installation ein. Laut Google wurde die Sicherheitslücke bereits seit langer Zeit ausgenutzt.
Den Angreifern war es möglich, den Standort, die Fotos und andere Dateien des Nutzers etwa alle 60 Sekunden abzurufen und somit quasi eine vollständige Überwachung des Nutzers zu ermöglichen. Die vollständige Übernahme der Kontrolle über das Smartphone soll nach aktuellen Erkenntnissen aber nicht möglich gewesen sein. Laut Googles Angaben wurde diese Lücke bereits seit mindestens zwei Jahren ausgenutzt und die manipulierte Webseite sei allein in einer Woche tausendfach besucht worden. Es dürfte also sehr viele betroffene Nutzer geben.
Apple wurde bereits im Februar über diese Lücke informiert und hat sie nach wenigen Tagen gestopft. Veröffentlicht wurde sie erst jetzt, aber es kann sich wohl kaum ein iPhone-Nutzer sicher sein, nicht Opfer dieser Lücke gewesen zu sein.
» Ankündigung im Project Zero-Blog