Apples AirTags sind vielen Anwendern nützliche Helfer: Beispielsweise lässt sich so ein verlegter Schlüsselbund relativ schnell wiederfinden, sofern eines der Etiketten angebracht wurde. Mittlerweile teilen immer mehr Nutzer ihre Anekdoten mit Bezug auf AirTags – oder verschicken diese gar per Post und lokalisieren so die unterschiedlichen Aufenthaltsorte (siehe hier). Besonders praktisch: Aktiviert ein Anwender den Modus „Verloren“, so lassen sich Kontaktinformationen für den Finder bereitstellen. Diese Funktion ist aber von einer Sicherheitslücke betroffen.


Gefundenes AirTag kann auf problematische Internetseiten umleiten
Der Sicherheitsexperte Bobby Rauch legt in einem Blog-Beitrag einen ausführlichen Bericht zu einem Zero-Day-Exploit dar. Dieser greift den „Verloren“-Modus der AirTags an: Wird dieser vom Besitzer des Etiketts aktiviert, so generiert es eine URL, um eine E-Mail-Adresse oder Telefonnummer einzugeben. Findet eine Person das verlorene Objekt, kann sie diese Informationen mit einem NFC-fähigen Smartphone auslesen. Allerdings gibt es hier eine Lücke: Rauch zufolge könne ein Programmcode in das Feld für die Telefonnummer eingegeben werden, sodass der Finder auf eine andere Internetseite umgeleitet wird – denkbar ist ein Phishing-Versuch in der Aufmachung von iCloud oder anderes. Laut Rauch gelange so auch Malware auf das Telefon.

Apple lässt sich Zeit
Der Experte trat mit Apple bereits am 20. Juni dieses Jahres in Kontakt, um das Unternehmen von der Sicherheitslücke zu informieren. Besonders rasch reagierte Cupertino jedoch nicht: Erst am 28. September erhielt Rauch eine Antwort. Der Fehler werde mit einem kommenden Update behoben. Außerdem bat Apple den Experten darum, das Problem nicht publik zu machen. Rauch erkundigte sich außerdem nach einer Belohnung für seinen Hinweis, wie sie das Bug-Bounty-Programm vorsieht. Bis dato erfolgte keine Rückmeldung von Apple. Erst gestern bemängelten Sicherheitsforscher die Kommunikation des Konzerns mit seinen Hinweisgebern – Cupertino lasse sich zu lange Zeit und nehme zu wenig Geld in die Hand, um diese angemessen zu belohnen (siehe hier).