Google hat heute detaillierte Informationen zu einigen Schwachstellen in Apple-Plattformen veröffentlicht. Die Lücken lassen sich für sogenannte Zero-Click-Angriffe ausnutzen und sind daher potenziell äußerst gefährlich. Betroffen sind sowohl macOS als auch iOS sowie tvOS und watchOS. Da die Sicherheitsforscher des Suchmaschinenriesen Apple schon vor einiger Zeit informierten, konnte das kalifornische Unternehmen bereits Sicherheitspatches veröffentlichen.


Sicherheitslücken stecken in ImageIO
Die Schwachstellen finden sich einem Blogpost von Googles Project Zero zufolge in einer Systemkomponente namens ImageIO. Diese Bibliothek ist fester Bestandteil aller genannten Betriebssysteme. Sie ist für das Parsing von Multimedia-Dateien zuständig, also etwa von Bildern, Audiofiles oder Videoclips. ImageIO kommt unter anderem dann zum Einsatz, wenn derartige Dateien beispielsweise von einer Mail-App oder einer Chat-Anwendung empfangen und automatisch im Hintergrund in der Fotos-App gespeichert werden.

Angriff mit präparierten Dateien
Angreifer können die von Google veröffentlichten Schwachstellen ausnutzen, indem sie eine entsprechend präparierte Datei wie etwa ein Foto beispielsweise per iMessage oder WhatApp übermitteln. Während der automatischen Verarbeitung durch ImageIO, welche keine Aktion des Benutzers erfordert, kann es in einem solchen Fall unter anderem zu Pufferüberläufen kommen. Im schlimmsten Fall lässt sich so Schadcode auf einem Mac, iPhone oder Apple TV ausführen. Samuel Groß von Project Zero betont allerdings in seinem Blogpost, dass eine Übernahme des angegriffenen Systems nicht möglich sei.

Sicherheitsupdates bereits verfügbar
Apple hat die Schwachstellen in ImageIO bereits mit Sicherheitspatches beseitigt, welche im Januar und im April veröffentlicht wurden. Wer sein System bislang nicht aktualisiert hat, sollte dies umgehend nachholen. Es ist erfahrungsgemäß damit zu rechnen, dass Hacker nach Googles Veröffentlichung in nächster Zeit versuchen werden, die Lücken für Angriffe zu nutzen.