iPhone- und Mac-Nutzer laufen unter Umständen Gefahr, unbeabsichtigt und unbemerkt lokal gespeicherte Daten wie etwa den Browserverlauf preiszugeben. In den Tiefen von iOS 13 und macOS 10.15 Catalina schlummert nämlich eine Sicherheitslücke, welche von Angreifern genutzt werden könnte. Allzu ernst scheint das Problem allerdings nicht zu sein, denn einen Zugriff von außen erlaubt die Sicherheitslücke nicht.


Schwachstelle steckt in WebKit
Der Fehler steckt dem polnischen Sicherheitsforscher Pawel Wylecial zufolge in WebKit, und zwar in dessen Web Share API. Diese dient in iOS und macOS unter anderem dazu, Inhalte wie etwa Bilder und Texte auf Webseiten oder Links mit anderen zu teilen. Allerdings erlauben die aktuellen Versionen von Apples Rendering-Engine, welche auf iOS zwingend von allen Browsern genutzt werden muss, auch den Zugriff auf lokale Dateien. Diese lassen sich somit ebenfalls an Dritte verschicken, was eigentlich nicht vorgesehen ist.

Web Share API hat Zugriff auf lokale Dateien
Das Problem: Die Web Share API unterstützt neben URL-Formaten wie "https://" auch das Schema "file://". Angreifer können das ausnutzen, indem sie auf einer Webseite beispielsweise ein Foto und einen "Teilen"-Button platzieren, dessen Link auf eine lokal gespeicherte Datei verweist, etwa "file:///private/var/mobile/Library/Safari/History.db". Klickt oder tippt der Nutzer auf die Schaltfläche, öffnet sich das bekannte "Teilen"-Fenster. Hier lässt sich auswählen, wie der Inhalt weitergegeben werden soll, beispielsweise per Mail oder via SMS. Allerdings wird nicht nur das angezeigte Bild verschickt, sondern auch die hinterlegte Datei, im Beispiel also der Browserverlauf.

Demonstration der Schwachstelle ist verfügbar
Der Sicherheitsforscher demonstriert die Schwachstelle auf einer eigens erstellten Webseite mit einem Proof-of-Concept. Dort wird allerdings auch deutlich, dass sich die Lücke nur schwerlich für gezielte Angriffe ausnutzen lässt. Der Empfänger des zu teilenden Inhalts muss nämlich vom Nutzer selbst etwa in der Mail-App eingegeben werden. Ein automatisches Verschicken an eine zuvor vom Angreifer definierte Adresse ist nicht möglich, da die "Teilen"-Funktion die Übergabe einer solchen nicht unterstützt. Pawel Wylecial hält die Schwachstelle daher auch nicht für ein gravierendes Problem.

Apple ist bereits seit vier Monaten informiert
Der Sicherheitsforscher hat Apple bereits vor vier Monaten über seine Entdeckung informiert. Der kalifornische Konzern teilte ihm daraufhin jetzt mit, dass er die Lücke in den aktuellen Betriebssystemen erst im kommenden Frühjahr schließen werde. Gleichzeitig bat Apple darum, die Informationen bis dahin nicht zu publizieren. Da Wylecial diesen Zeitrahmen für unangemessen hält, veröffentlichte er nun seine Entdeckung. In den aktuellen Betaversionen von iOS 14 und macOS Big Sur scheint der Fehler allerdings bereits ausgemerzt zu sein, 9to5Mac konnte ihn jedenfalls nach eigenen Angaben damit nicht mehr reproduzieren.