Push-Nachrichten von MacTechNews.de
Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?

Wegen Fehlern zurückgezogen: Gestrige Rapid Security Response für macOS, iOS und iPadOS nicht mehr verfügbar (Aktualisierung: Grund)

Am gestrigen Abend veröffentlichte Apple neben der fünften Vorabversion von iOS 16.6 und macOS 13.5 auch ein weiteres Update – nämlich eine Rapid Security Response für macOS, iOS und iPadOS. Diese sollte einen schwerwiegenden Sicherheitsmangel in WebKit beheben, welcher das Ausführen von beliebigen Maschinencode-Befehlen erlaubt. WebKit bildet die Grundlage für Safari und viele weitere Browser – und Sicherheitslücken in diesem Framework sind sehr kritisch, da oftmals bereits der Besuch einer präparierten Webseite ausreicht, um Hackern ein Einfallstor zu bieten.


Probleme mit Webseiten
Kurz nach Veröffentlichung der Sicherheitsmaßnahme kamen allerdings erste Berichte auf, dass Webseiten wie Facebook, Instagram, WhatsApp, Zoom und viele weitere nicht mehr korrekt funktionieren. Es wurde spekuliert, ob dies mit der merkwürdigen Versionsnummer der Betriebssysteme (z.B. "iOS 16.4.1 (a)") zusammenhängt, welche der Browser an Webseiten übermittelt – doch nach der letzten Sicherheitsmaßnahme kamen keine derartigen Fehlerberichte auf. Daher ist davon auszugehen, dass das Ausmerzen der Sicherheitslücke einen ungewünschten Nebeneffekt hatte.

Zurückgezogen
Apple hat nun reagiert und die Sicherheitsmaßnahme für macOS, iOS und iPadOS zurückgezogen – diese lässt sich nun auf keinem der genannten Systeme mehr herunterladen. Es ist noch unklar, ob Apple in den kommenden Stunden die Rapid Security Response erneut in fehlerbereinigter Form herausgibt oder ob die Lücke erst im nächsten, normalen iOS-Update geschlossen wird.

Sicherheitsmaßnahme deinstallieren
Anders als gewöhnliche Updates lassen sich Sicherheitsmaßnahmen auf iOS, iPadOS und macOS wieder deinstallieren. Ist man auf eine der nicht funktionierenden Webseiten angewiesen, kann man die Rapid Security Response wieder entfernen. Hierzu öffnet man auf allen Systemen die Einstellungen und navigiert in der Sektion "Allgemein" zur Info-Sektion.


Hier verbirgt sich hinter der Versionsnummer eine weitere Ansicht, welche die Deinstallation der Rapid Security Response erlaubt.

Aktualisierung: Der Grund
Offensichtlich ist tatsächlich die vom System an Webseiten übermittelte Versionsnummer ("User Agent") der Grund hinter dem Fehlverhalten der oben genannten Webseiten. Modifiziert man in macOS den User Agent auf die Art und Weise in Safari, dass kein "(a)" angehängt wird, verrichten Facebook und Co. wieder normal ihren Dienst – trotz installierter Rapid Security Response. Es ist noch unklar, wie Apple darauf reagiert: Möglicherweise wird der Konzern beim "User Agent" die Zusatzkomponente entfernen oder Sicherheitsmaßnahmen werden künftig mit einer anderen Versionsnummer (beispielsweise 16.5.1.1) benannt.
Musikbranche verklagt KI-Anbieter
Musikbranche verklagt KI-Anbieter
iPhone 16 Pro: Tippen oder Wischen ignoriert, Nutzer melden Touchscreen-Fehlverhalten
iPhone 16 Pro: Tippen oder Wischen ignoriert, N...
Apple kauft Pixelmator
Apple kauft Pixelmator
Lieferverzögerungen vor Oktober-Event: Lange Wartezeiten beim MacBook Pro, Mac mini und iMac
Lieferverzögerungen vor Oktober-Event: Lange Wa...
Verwarnung an Apple: Verbotenes Geoblocking in der EU
Verwarnung an Apple: Verbotenes Geoblocking in ...
Mac mini M4
Mac mini M4
M4 Max: Noch beeindruckendere Benchmark-Ergebnisse
M4 Max: Noch beeindruckendere Benchmark-Ergebni...
Kurz: 5G-Netze noch mit sehr wenigen Nutzern +++ Apple Pencil als TV-Antenne (Patent)
Kurz: 5G-Netze noch mit sehr wenigen Nutzern ++...

Kommentare

TheGeneralist
TheGeneralist11.07.23 09:15
Gott, wie peinlich!
Ich dachte gestern, bei einem RSR kann man mal mit Blick auf die Dringlichkeit auf die ansonsten bei Apple Updates notwendige Bug-Quarantäne verzichten und gleich installieren - so ist es ja wohl auch gedacht, als schneller und unkomplizierter Fix ohne große Stabilitätsrisiken.
Nun, weit gefehlt - beim nächsten Mal bin ich wohl schlauer.
Wenigstens lässt es sich unkompliziert wieder entfernen - danke für den Hinweis.
+1
Johnny6511.07.23 09:23
Wenn wirklich nur die Webseiten betroffen sind, sehe ich bei meinen Nutzungsgewohnheiten bzw. „Workflows" keine große Einschränkung. In den Apps von WhatsApp und Facebook ist mir nach der Installation jedenfalls noch nichts negatives aufgefallen.
+4
Wauzeschnuff11.07.23 09:47
Interessant, dass explizit die Social-Media-Seiten von Datensammlern (ala Meta) hier so prominent genannt werden. Und das diese nicht mehr funktionieren, nachdem ein Patch gegen eine Sicherheitslücke eingebaut wurde.
+20
HerrDerSpiele11.07.23 10:19
Wauzeschnuff
Interessant, dass explizit die Social-Media-Seiten von Datensammlern (ala Meta) hier so prominent genannt werden. Und das diese nicht mehr funktionieren, nachdem ein Patch gegen eine Sicherheitslücke eingebaut wurde.
Da bin ich genau deiner Meinung. Meine Homepage macht "scheinbar" keine Probleme. Dort wird nichts gesammelt.

Ich deinstalliere erstmal nicht.
+14
berlin7911.07.23 11:17
Bisher habe ich als Auswirkung nur festgestellt, dass die (alte) Banking App der DKB bei mir nicht mehr läuft.

Über die Webseite kann ich mich aber noch einloggen.
'daß' gibt es seit 1996 nicht mehr. https://www.das-dass.de/
+1
Wauzeschnuff11.07.23 11:23
Ok, wenn wirklich der User-Agent der Grund ist, sollten Meta & Co aber dringend ihre Parser-Routinen überarbeiten. Das '(a)' im User-Agent ist entsprechend RFC9110 vollkommen valide und sollte als Kommentar zum vorhergehenden Product-String (Version/16.5.2) interpretiert werden.

Das manche Firmen schon an so primitiven (und klar im Standard geregelten) Dingen scheitern, lässt nicht gerade Vertrauen in die dortigen Entwickler/verwendeten Technologien aufkommen.
+10
Macmissionar11.07.23 11:54
Wauzeschnuff
Ok, wenn wirklich der User-Agent der Grund ist, sollten Meta & Co aber dringend ihre Parser-Routinen überarbeiten. Das '(a)' im User-Agent […]

Also wenn der einstellbare User-Agent im Dev-Menü von Safari das einzige ist, woran die das auslesen können, liegt es nicht daran. Den kannst Du auch ohne installierte Rapid-Security-Response ein- und verstellen, wie Du willst, die können das auslesen. Ich denke, es hat sich im Kern vom WebKit etwas an den APIs verändert und daher verweigert die Seite den Dienst.
A Mac is like a Wigwam: No Windows, no Gates, no Backdoors, Peace, Harmony – and an Apache inside.
+2
der Wolfi
der Wolfi11.07.23 11:57
dass Webseiten wie Facebook, Instagram, WhatsApp, Zoom und viele weitere nicht mehr korrekt funktionieren.
It‘s not a bug, it‘s a feature
Normal is für die Andern
+4
Wauzeschnuff11.07.23 12:05
Macmissionar
Also wenn der einstellbare User-Agent im Dev-Menü von Safari das einzige ist, woran die das auslesen können, liegt es nicht daran. Den kannst Du auch ohne installierte Rapid-Security-Response ein- und verstellen, wie Du willst, die können das auslesen. Ich denke, es hat sich im Kern vom WebKit etwas an den APIs verändert und daher verweigert die Seite den Dienst.

Aber wie verträgt sich das mit dem im Artikel berichteten Verhalten:
Modifiziert man in macOS den User Agent auf die Art und Weise in Safari, dass kein "(a)" angehängt wird, verrichten Facebook und Co. wieder normal ihren Dienst – trotz installierter Rapid Security Response.
+4
Macmissionar11.07.23 12:09
Wauzeschnuff
Aber wie verträgt sich das mit dem im Artikel berichteten Verhalten:
Modifiziert man in macOS den User Agent auf die Art und Weise in Safari, dass kein "(a)" angehängt wird, verrichten Facebook und Co. wieder normal ihren Dienst – trotz installierter Rapid Security Response.
Das wüßte ich auch gerne, wie MTN dazu kommt – jetzt gerade gesehen. Ich habe auf dem privaten MBP es gestern Abend genauso probiert, ohne Erfolg. Auf dem Firmen-MBP habe ich es gar nicht erst installieren können, da es bereits zurückgezogen war.
A Mac is like a Wigwam: No Windows, no Gates, no Backdoors, Peace, Harmony – and an Apache inside.
+1
tranquillity
tranquillity11.07.23 12:17
Also sollte man das Security-Update doch nicht rapid installierten
Ich hab‘s gestern auf iPads und iPhone installiert … Bisher aber noch keine Probleme gehabt.
+2
shotekitehi
shotekitehi11.07.23 13:56
Ist doch klar, dass die Sicherheit erhöht wird, wenn kein Zugriff auf diese "Webseiten wie Facebook, Instagram, WhatsApp, Zoom" erfolgt
Auf der Schachtel stand: ‘Benötigt Windows XP oder besser’. Also habe ich mir einen Mac gekauft.
+9
all_clear11.07.23 14:33
Meine Güte, wann kommt endlich mal "Qualität" zu Apple und seinen Produkten zurück - es wird immer schlimmer!!
-1
skid_KM11.07.23 15:11
all_clear
Meine Güte, wann kommt endlich mal "Qualität" zu Apple und seinen Produkten zurück - es wird immer schlimmer!!
Das kannst Du doch nicht Apple ankreiden... Meta ist zu doof, die Versionsnummer ordentlich zu parsen. Apple kann die Versionsnummer aufbauen wie Apple will. Und wenn die ab morgen Emojis in ihre eigene Versionsnummer packen wollen, dann sollten trotzdem noch alle Webseiten funktionieren.
Oder gibt es irgendwo eine Spezifikation, die den Aufbau eines User Agent Strings vorschreibt?
+4
TheGeneralist
TheGeneralist11.07.23 18:38
Das reine Safari Update (Verfügbar z.B. unter älteren macOS Versionen) scheint das Problem nicht zu haben, es wurde nicht zurückgezogen.
Für die aktuellen Systeme soll wohl bald ein gefixtes RSR erscheinen:
0
Kissi
Kissi12.07.23 08:47
Facebook scheint zumindest wieder zu funktionieren, ohne ein weiteres Update
iMac 27 Zoll 2020 3.1GHz i5 • 24GB RAM • 256GB SSD / iPad 10 / iPhone 13 / Apple Watch Series 7
0
MacMichael12.07.23 09:40
Bei mir läuft auch alles wieder. Wahrscheinlich liegt der eigentliche Fehler bei manchen Webseiten, die das Versionsformat einschränken und das inzwischen wieder geändert haben.
0

Kommentieren

Sie müssen sich einloggen, um die News kommentieren zu können.