Apples Transparency, Consent, & Control-Richtlinien (TCC) sorgen dafür, dass unter macOS, iOS und iPadOS eine App nur auf die ihr zustehenden Ressourcen und Dateien zugreifen darf. Dies erfordert auch ein wenig Mitarbeit von den Anwendern: Gelegentlich müssen Anwender erst einen Hürdenlauf durch Dialogboxen, Mitteilungen und verschiedenen Einstellungsdialogen absolvieren, bevor eine App die gewünschte Funktion ausüben darf. Trotzdem bleiben Sicherheitslücken, wie ein aktuelles Beispiel zeigt, welches der MDM-Anbieter Jamf nun offenlegt. Das Ausmaß ist bedeutend: In iOS 17 sowie macOS 14 kann eine App die iCloud-Dokumente anderer Programme unbemerkt lesen, ja sogar bearbeiten.


Die Lücke bestand in der Dateien-App sowie in der dazugehörigen Systemroutine „fileproviderd“. Eine zu Demonstrationszwecke von Jamf Threat Labs erzeugte App benötigte lediglich zwei Dinge:

• Eine in der Dateien-App vorgenommene Aktion, etwa das Duplizieren oder Umbenennen eines Dokuments.
• Die böswillige App muss im Hintergrund laufen.

Durch einen in die Datei-Aktion injizierten Symlink kann ein Programm auf Dokumente zugreifen, auf die sie keinen Zugriff haben dürfte – etwa Pages-Dokumente oder WhatsApp-Backups. Eine Symlink-Attacke ist eigentlich nichts Neues und wird im Allgemeinen abgewiesen; allerdings fanden die Sicherheitsforscher heraus, dass iOS und macOS die entsprechende Sicherheitsvorkehrung nur zum Beginn einer Dateiübertragung vornimmt. Injiziert ein Hintergrundprozess während des Kopiervorgangs ihren Symlink, bleibt die Zweckentfremdung unbemerkt.


iCloud-Dokumente besonders gefährdet
Pikanterweise sind die Ordner auf Apples hauseigenem Cloud-Dienst am anfälligsten für den Angriff. Bei anderen Diensten, etwa Dropbox, sind Dokumente in einem Unterordner mit gerätespezifisch zufälligem Unterordner vor Angriffen besser geschützt. Der Pages-Ordner auf dem iCloud-Drive heißt im Dateisystem beispielsweise immer „com~apple~pages“, der für iMovie „F6266T9T75~com~apple~iMovie“ – auf jedem Gerät, bei jedem Nutzer.

Nur in neuesten Systemen behoben
Die unter CVE-2024-44131 veröffentlichte Sicherheitslücke schloss Apple mit der Veröffentlichung von iOS 18 beziehungsweise macOS 15. Unterstützt die eigene Hardware diese Version nicht, muss vorerst mit der Sicherheitslücke leben. In den Sicherheitshinweisen zu iOS 17.7.1 wird CVE-2024-44131 nicht erwähnt.