Push-Nachrichten von MacTechNews.de
Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?

Wegen Fehlern zurückgezogen: Gestrige Rapid Security Response für macOS, iOS und iPadOS nicht mehr verfügbar (Aktualisierung: Grund)

Am gestrigen Abend veröffentlichte Apple neben der fünften Vorabversion von iOS 16.6 und macOS 13.5 auch ein weiteres Update – nämlich eine Rapid Security Response für macOS, iOS und iPadOS. Diese sollte einen schwerwiegenden Sicherheitsmangel in WebKit beheben, welcher das Ausführen von beliebigen Maschinencode-Befehlen erlaubt. WebKit bildet die Grundlage für Safari und viele weitere Browser – und Sicherheitslücken in diesem Framework sind sehr kritisch, da oftmals bereits der Besuch einer präparierten Webseite ausreicht, um Hackern ein Einfallstor zu bieten.


Probleme mit Webseiten
Kurz nach Veröffentlichung der Sicherheitsmaßnahme kamen allerdings erste Berichte auf, dass Webseiten wie Facebook, Instagram, WhatsApp, Zoom und viele weitere nicht mehr korrekt funktionieren. Es wurde spekuliert, ob dies mit der merkwürdigen Versionsnummer der Betriebssysteme (z.B. "iOS 16.4.1 (a)") zusammenhängt, welche der Browser an Webseiten übermittelt – doch nach der letzten Sicherheitsmaßnahme kamen keine derartigen Fehlerberichte auf. Daher ist davon auszugehen, dass das Ausmerzen der Sicherheitslücke einen ungewünschten Nebeneffekt hatte.

Zurückgezogen
Apple hat nun reagiert und die Sicherheitsmaßnahme für macOS, iOS und iPadOS zurückgezogen – diese lässt sich nun auf keinem der genannten Systeme mehr herunterladen. Es ist noch unklar, ob Apple in den kommenden Stunden die Rapid Security Response erneut in fehlerbereinigter Form herausgibt oder ob die Lücke erst im nächsten, normalen iOS-Update geschlossen wird.

Sicherheitsmaßnahme deinstallieren
Anders als gewöhnliche Updates lassen sich Sicherheitsmaßnahmen auf iOS, iPadOS und macOS wieder deinstallieren. Ist man auf eine der nicht funktionierenden Webseiten angewiesen, kann man die Rapid Security Response wieder entfernen. Hierzu öffnet man auf allen Systemen die Einstellungen und navigiert in der Sektion "Allgemein" zur Info-Sektion.


Hier verbirgt sich hinter der Versionsnummer eine weitere Ansicht, welche die Deinstallation der Rapid Security Response erlaubt.

Aktualisierung: Der Grund
Offensichtlich ist tatsächlich die vom System an Webseiten übermittelte Versionsnummer ("User Agent") der Grund hinter dem Fehlverhalten der oben genannten Webseiten. Modifiziert man in macOS den User Agent auf die Art und Weise in Safari, dass kein "(a)" angehängt wird, verrichten Facebook und Co. wieder normal ihren Dienst – trotz installierter Rapid Security Response. Es ist noch unklar, wie Apple darauf reagiert: Möglicherweise wird der Konzern beim "User Agent" die Zusatzkomponente entfernen oder Sicherheitsmaßnahmen werden künftig mit einer anderen Versionsnummer (beispielsweise 16.5.1.1) benannt.
Apples interne Einschätzung: Zwei Jahre Rückstand zur KI-Konkurrenz
Apples interne Einschätzung: Zwei Jahre Rücksta...
Release Candidate ist da! iOS 18, iPadOS 18, macOS 15 und watchOS 11 sind fertig
Release Candidate ist da! iOS 18, iPadOS 18, ma...
iPhone 16: Lieferzeiten teils deutlich gestiegen – aktuelle Übersicht
iPhone 16: Lieferzeiten teils deutlich gestiege...
AirPods Pro als Hörgerät: Sorge bei etablierten Herstellern, Aktienkurse reagieren
AirPods Pro als Hörgerät: Sorge bei etablierten...
iPhone 16 Pro
iPhone 16 Pro
Ransomware eingefangen? Die meisten bezahlen ihre Erpresser
Ransomware eingefangen? Die meisten bezahlen ih...
Kopplung "iPhone + Apple Watch" sowie Anbindung von Zubehör: Apple drohen weitere rechtliche Probleme
Kopplung "iPhone + Apple Watch" sowie Anbindung...
Musikbranche verklagt KI-Anbieter
Musikbranche verklagt KI-Anbieter

Kommentare

TheGeneralist
TheGeneralist11.07.23 09:15
Gott, wie peinlich!
Ich dachte gestern, bei einem RSR kann man mal mit Blick auf die Dringlichkeit auf die ansonsten bei Apple Updates notwendige Bug-Quarantäne verzichten und gleich installieren - so ist es ja wohl auch gedacht, als schneller und unkomplizierter Fix ohne große Stabilitätsrisiken.
Nun, weit gefehlt - beim nächsten Mal bin ich wohl schlauer.
Wenigstens lässt es sich unkompliziert wieder entfernen - danke für den Hinweis.
+1
Johnny6511.07.23 09:23
Wenn wirklich nur die Webseiten betroffen sind, sehe ich bei meinen Nutzungsgewohnheiten bzw. „Workflows" keine große Einschränkung. In den Apps von WhatsApp und Facebook ist mir nach der Installation jedenfalls noch nichts negatives aufgefallen.
+4
Wauzeschnuff11.07.23 09:47
Interessant, dass explizit die Social-Media-Seiten von Datensammlern (ala Meta) hier so prominent genannt werden. Und das diese nicht mehr funktionieren, nachdem ein Patch gegen eine Sicherheitslücke eingebaut wurde.
+20
HerrDerSpiele11.07.23 10:19
Wauzeschnuff
Interessant, dass explizit die Social-Media-Seiten von Datensammlern (ala Meta) hier so prominent genannt werden. Und das diese nicht mehr funktionieren, nachdem ein Patch gegen eine Sicherheitslücke eingebaut wurde.
Da bin ich genau deiner Meinung. Meine Homepage macht "scheinbar" keine Probleme. Dort wird nichts gesammelt.

Ich deinstalliere erstmal nicht.
+14
berlin7911.07.23 11:17
Bisher habe ich als Auswirkung nur festgestellt, dass die (alte) Banking App der DKB bei mir nicht mehr läuft.

Über die Webseite kann ich mich aber noch einloggen.
'daß' gibt es seit 1996 nicht mehr. https://www.das-dass.de/
+1
Wauzeschnuff11.07.23 11:23
Ok, wenn wirklich der User-Agent der Grund ist, sollten Meta & Co aber dringend ihre Parser-Routinen überarbeiten. Das '(a)' im User-Agent ist entsprechend RFC9110 vollkommen valide und sollte als Kommentar zum vorhergehenden Product-String (Version/16.5.2) interpretiert werden.

Das manche Firmen schon an so primitiven (und klar im Standard geregelten) Dingen scheitern, lässt nicht gerade Vertrauen in die dortigen Entwickler/verwendeten Technologien aufkommen.
+10
Macmissionar11.07.23 11:54
Wauzeschnuff
Ok, wenn wirklich der User-Agent der Grund ist, sollten Meta & Co aber dringend ihre Parser-Routinen überarbeiten. Das '(a)' im User-Agent […]

Also wenn der einstellbare User-Agent im Dev-Menü von Safari das einzige ist, woran die das auslesen können, liegt es nicht daran. Den kannst Du auch ohne installierte Rapid-Security-Response ein- und verstellen, wie Du willst, die können das auslesen. Ich denke, es hat sich im Kern vom WebKit etwas an den APIs verändert und daher verweigert die Seite den Dienst.
A Mac is like a Wigwam: No Windows, no Gates, no Backdoors, Peace, Harmony – and an Apache inside.
+2
der Wolfi
der Wolfi11.07.23 11:57
dass Webseiten wie Facebook, Instagram, WhatsApp, Zoom und viele weitere nicht mehr korrekt funktionieren.
It‘s not a bug, it‘s a feature
Normal is für die Andern
+4
Wauzeschnuff11.07.23 12:05
Macmissionar
Also wenn der einstellbare User-Agent im Dev-Menü von Safari das einzige ist, woran die das auslesen können, liegt es nicht daran. Den kannst Du auch ohne installierte Rapid-Security-Response ein- und verstellen, wie Du willst, die können das auslesen. Ich denke, es hat sich im Kern vom WebKit etwas an den APIs verändert und daher verweigert die Seite den Dienst.

Aber wie verträgt sich das mit dem im Artikel berichteten Verhalten:
Modifiziert man in macOS den User Agent auf die Art und Weise in Safari, dass kein "(a)" angehängt wird, verrichten Facebook und Co. wieder normal ihren Dienst – trotz installierter Rapid Security Response.
+4
Macmissionar11.07.23 12:09
Wauzeschnuff
Aber wie verträgt sich das mit dem im Artikel berichteten Verhalten:
Modifiziert man in macOS den User Agent auf die Art und Weise in Safari, dass kein "(a)" angehängt wird, verrichten Facebook und Co. wieder normal ihren Dienst – trotz installierter Rapid Security Response.
Das wüßte ich auch gerne, wie MTN dazu kommt – jetzt gerade gesehen. Ich habe auf dem privaten MBP es gestern Abend genauso probiert, ohne Erfolg. Auf dem Firmen-MBP habe ich es gar nicht erst installieren können, da es bereits zurückgezogen war.
A Mac is like a Wigwam: No Windows, no Gates, no Backdoors, Peace, Harmony – and an Apache inside.
+1
tranquillity
tranquillity11.07.23 12:17
Also sollte man das Security-Update doch nicht rapid installierten
Ich hab‘s gestern auf iPads und iPhone installiert … Bisher aber noch keine Probleme gehabt.
+2
shotekitehi
shotekitehi11.07.23 13:56
Ist doch klar, dass die Sicherheit erhöht wird, wenn kein Zugriff auf diese "Webseiten wie Facebook, Instagram, WhatsApp, Zoom" erfolgt
Auf der Schachtel stand: ‘Benötigt Windows XP oder besser’. Also habe ich mir einen Mac gekauft.
+9
all_clear11.07.23 14:33
Meine Güte, wann kommt endlich mal "Qualität" zu Apple und seinen Produkten zurück - es wird immer schlimmer!!
-1
skid_KM11.07.23 15:11
all_clear
Meine Güte, wann kommt endlich mal "Qualität" zu Apple und seinen Produkten zurück - es wird immer schlimmer!!
Das kannst Du doch nicht Apple ankreiden... Meta ist zu doof, die Versionsnummer ordentlich zu parsen. Apple kann die Versionsnummer aufbauen wie Apple will. Und wenn die ab morgen Emojis in ihre eigene Versionsnummer packen wollen, dann sollten trotzdem noch alle Webseiten funktionieren.
Oder gibt es irgendwo eine Spezifikation, die den Aufbau eines User Agent Strings vorschreibt?
+4
TheGeneralist
TheGeneralist11.07.23 18:38
Das reine Safari Update (Verfügbar z.B. unter älteren macOS Versionen) scheint das Problem nicht zu haben, es wurde nicht zurückgezogen.
Für die aktuellen Systeme soll wohl bald ein gefixtes RSR erscheinen:
0
Kissi
Kissi12.07.23 08:47
Facebook scheint zumindest wieder zu funktionieren, ohne ein weiteres Update
iMac 27 Zoll 2020 3.1GHz i5 • 24GB RAM • 256GB SSD / iPad 10 / iPhone 13 / Apple Watch Series 7
0
MacMichael12.07.23 09:40
Bei mir läuft auch alles wieder. Wahrscheinlich liegt der eigentliche Fehler bei manchen Webseiten, die das Versionsformat einschränken und das inzwischen wieder geändert haben.
0

Kommentieren

Sie müssen sich einloggen, um die News kommentieren zu können.