Sicherheitsrisiko Experten finden Schwachstelle in vielen iOS-Apps

Mehr als 10.000 Apps für iPhone und iPad könnten eine gefährliche Sicherheitslücke enthalten, sagen Forscher aus Israel. Dadurch könnten Nutzer ausspioniert und betrogen werden. Betroffene sollten die entsprechenden Apps vorerst entfernen.

iOS-Apps (Symbolbild): 10.000 Anwendungen sollen betroffen sein
DPA

iOS-Apps (Symbolbild): 10.000 Anwendungen sollen betroffen sein


Das israelische IT-Sicherheitsunternehmen Skycure warnt vor einer Sicherheitslücke, die in vielen iPhone- und iPad-Apps vorhanden sein soll. Konkret beschreiben die Sicherheitsforscher das Problem als "HTTP-Request-Hijacking" (HRH), also die "Entführung" von HTTP-Anfragen. Solche Anfragen nehmen die meisten Apps unentwegt vor, wenn sie sich mit den jeweiligen Servern verbinden, um aktuelle Daten abzurufen. Allerdings ist dieser Prozess anfällig für Attacken. Angreifer könnten die Schwachstelle nutzen, um die von der App aufgerufenen Adresse durch eine andere zu ersetzen.

Damit würde die App ihre Daten nicht mehr vom echten Server empfangen beziehungsweise an ihn weiterleiten, sondern den Austausch mit einem fremden Server vornehmen. Der Nutzer bekäme davon nichts mit, sei aber potentiellen Gefahren ausgesetzt: Angreifer könnten die Daten der betroffenen Nutzer ausspähen und ihnen gefälschte Daten unterschieben. Das können manipulierte Börsenkurse sein, falsche Nachrichten oder veränderte Kontodaten. Von HRH könnten laut Skycure mindestens 10.000 Programme in Apples App Store betroffen sein.

Das HRH-Problem tritt vor allem bei ungeschützten W-Lan-Verbindungen und dann auf, wenn der HTTP Response status code 301, der üblicherweise zur Umleitung auf neue Adressen verwendet wird, nicht im Browser eingesetzt wird. Denn der zeigt eine neue Adresse im entsprechenden Adressfenster an. Allerdings gebe es in den meisten iOS-Apps eine solche Adressanzeige nicht, erklärt "Ars Technica". Deshalb hätten betroffene Nutzer keine Möglichkeit zu überprüfen, ob sich von ihnen genutzte Apps womöglich mit Betrügerseiten verbinden statt mit der gewünschten Adresse.

Per HTTPS gesicherte Seiten seien von dem Problem nicht betroffen, so Skycure. Das Unternehmen stellte für Entwickler bereits einen Fix zur Verfügung, der anfällige Apps künftig schützen soll. Für iOS-Nutzer bedeutet das, im Zweifelsfall die jeweiligen Apps von ihren Geräten zu entfernen und erst dann wieder zu installieren, wenn der jeweilige Entwickler die Schwachstelle beseitigt hat.

meu



insgesamt 6 Beiträge
Alle Kommentare öffnen
Seite 1
spon-facebook-10000247943 30.10.2013
1. schön, und nun?
Zitat "Für iOS-Nutzer bedeutet das, im Zweifelsfall die jeweiligen Apps von ihren Geräten zu entfernen und erst dann wieder zu installieren, wenn der jeweilige Entwickler die Schwachstelle beseitigt hat." Wäre nett gewesen die User darüber zu informieren, um welche 10.000 Apps es sich denn eigentlich handelt. Ohne entsprechende Hinweise bin ich leider genau so schlau wie zuvor.
y0urselfishment. 30.10.2013
2.
Zitat von spon-facebook-10000247943Zitat "Für iOS-Nutzer bedeutet das, im Zweifelsfall die jeweiligen Apps von ihren Geräten zu entfernen und erst dann wieder zu installieren, wenn der jeweilige Entwickler die Schwachstelle beseitigt hat." Wäre nett gewesen die User darüber zu informieren, um welche 10.000 Apps es sich denn eigentlich handelt. Ohne entsprechende Hinweise bin ich leider genau so schlau wie zuvor.
Ist doch immer das gleiche im SPON. Informationen, dass etwas ist, gefährliches Halbwissen on mass, aber die wirklich wichtigen Details werden weggelassen. Nicht mal ein Link ist da. Verlinkt werden immer nur unnütze eigene Artikel. Jaja.
DerNerd 30.10.2013
3. Nicht nur ein IOS Problem
Das ist nicht nur ein IOS Problem sondern betrifft Smartfones aller Arten insb. an öffentlichen Plätzen (Flughäfen, Innenstädten), wenn ein "fake" öffentliches Wifi seine Gäste anlockt. Viel braucht der Hobby-Datendieb nicht zu investieren um die Türen zu öffnen.
galaxy2525 30.10.2013
4. Gibt es eine Übersichtsliste,
welche Apps davon betroffen sind ?
foobar99 31.10.2013
5. Nichts neues...
Im Grunde gilt: Wenn eine App unverschlüsselt Daten verschickt, ist sie hochgradig gefährlich. Das gilt für iOS, wie für jedes andere Betriebssystem. Das hier beschriebene Verhalten (falsche Daten unterschieben) ist genau das. Besonders (und eine iOS Eigenart) ist hier eigentlich nur, dass der Angreifer einen erfolgreichen Angriff zeitlich in die Länge ziehen kann. Das erwähnt der Artikel aber noch nicht einmal! Völlig verfehlte Sensations-Berichterstattung.
Alle Kommentare öffnen
Seite 1

© SPIEGEL ONLINE 2013
Alle Rechte vorbehalten
Vervielfältigung nur mit Genehmigung der SPIEGELnet GmbH


TOP
Die Homepage wurde aktualisiert. Jetzt aufrufen.
Hinweis nicht mehr anzeigen.