Apples App Store und iTunes: Kritische Sicherheitslücke entdeckt

Peinlich !18
Sicherheits-Experten haben eine kritische Sicherheitslücke in iTunes entdeckt
Sicherheits-Experten haben eine kritische Sicherheitslücke in iTunes entdeckt(© 2015 Apple)

In Apples App Store und iTunes klaffte offenbar eine Sicherheitslücke, die es Angreifern ermöglichte, über das Abrechnungssystem schädliche Skripte mit weiteren Anweisungen einzuschleusen. Nach Angaben eines Sicherheitsexperten habe ein Angreifer über dieses Leck eine Browsersitzung übernehmen und Rechnungsdaten manipulieren können. Die Lücke sei aber mittlerweile wieder geschlossen.

Offenbar gibt es einige Datenbank-Einträge im Rechnungs-Formular, die per iTunes oder den App Store erstellt werden, welche das System nicht weiter überprüft, wie der Sicherheits-Experte Benjamin Kunz Mejri des Vulnerability Lab nach einem Bericht von ZDNet festgestellt hat. Hierzu zählt beispielsweise der Wert für den Namen des gekauften Produktes, der einfach mit einem Script ersetzt werden könne.

Schadcode in der iTunes-Rechnung

Ein Hacker könnte sich diese Schwachstelle innerhalb von iTunes zunutze machen und weitere Einträge mit Schadcode belegen. Diese Skripte würde das System dann innerhalb der Rechnung einfach ohne vorherige Prüfung ausführen. Über diesen Schadcode lassen sich laut Sicherheits-Spezialisten Meijri beispielsweise Phishing-Angriffe starten, Browser-Umleitungen programmieren oder sogar die einzelne Shop-Module von iTunes oder dem App Store manipulieren.

Weil Apples Shop-System sowohl für den Käufer als auch den Verkäufer eine Rechnung erstellt, könnten sich Angreifer über diese Sicherheitslücke selbst als Verkäufer in das Formular eintragen. Damit wäre es beispielsweise möglich, sich unter dem Deckmantel eines gefälschten Rechnungs-Dokumentes Apples-Mitarbeitern gegenüber als Entwickler ausgeben, um so weitere Daten abzugreifen.

Wie die Sicherheitslücke genau funktioniert, hat Benjamin Kunz Mejri in einem Video dokumentiert. Nach eigenen Angaben informierte der Sicherheits-Experte Apple bereits am 8. Juni über den kritischen Fehler, woraufhin der iPhone-Hersteller das Leck offenbar gestopft hat. Wie lange der Fehler im App Store und iTunes bestand, ist aber nicht bekannt.


Weitere Artikel zum Thema
Apple veröf­fent­licht iOS 10.3.3 Beta 4 – und die Public Beta gleich mit
Michael Keller
Mit iOS 10.3.3 kommen neue Hintergrundbilder auf das iPad Pro 12.9
Apple hat die vierte Beta von iOS 10.3.3 zur Verfügung gestellt – für angemeldete Entwickler und kurz darauf auch für öffentliche Tester.
Face­book testet Maßnah­men gegen Iden­ti­täts­dieb­stahl
Christoph Groth1
Der blaue Rahmen und das Schildsymbol signalisieren den aktivierten Schutzmechanismus
Mehr Sicherheit für Profilbilder: Facebook testet derzeit Schutzmaßnahmen, um die unerlaubte Weiterverwendung von hochgeladenen Fotos zu unterbinden.
WhatsApp erlaubt ab sofort das Teilen belie­bi­ger Datei­ty­pen
Christoph Groth
In WhatsApp unterliegt das Teilen von Daten künftig nur noch Größenbeschränkungen
Mehr Freiheit beim Teilen: WhatsApp rollt ein Update aus, das Euch erlaubt, beliebige Dokumente zu verschicken – unter iOS, Android und Windows.