Hacker können AirTags mit diesem einfachen Exploit in Phishing-Maschinen verwandeln

Apfel

Die neuesten Sicherheitsprobleme von Apple sind sowohl verheerend als auch lächerlich. Letzte Woche erfuhren wir, dass das Unternehmen einen MacOS-Exploit auf die faulste Art und Weise gepatcht hat, und jetzt sieht sich das Unternehmen mit einer Gegenreaktion wegen einer dilettantischen AirTags-Schwachstelle konfrontiert, von der es seit Monaten bekannt ist und die es nie die Mühe gemacht hat, sie zu beheben.

AirTags bereinigen „Telefonnummern” nicht

AirTags sind kleine Tracker, die an Rucksäcken, Geldbörsen, Gepäck und anderen Wertgegenständen befestigt werden. Wenn jemand seine mit AirTag ausgestattete Tasche verliert, kann er ihren Standort über das Netzwerk „Find My” verfolgen, das anonym von iPhones und anderen Apple-Geräten betrieben wird.

Aber meistens werden verlorene Gegenstände von Fremden gefunden. Aus diesem Grund haben AirTags einen „Verloren-Modus”, eine Einstellung, mit der barmherzige Samariter den Tracker scannen können, um die Telefonnummer seines Besitzers zu sehen. Das Scannen ist einfach – Sie berühren den AirTag einfach mit Ihrem iPhone.

Leider könnte ein Designfehler in AirTags die Tracker zu billigen Werkzeugen für Drop-Attacken machen. Wie der Sicherheitsforscher Bobby Rauch festgestellt hat, bereinigt Apple das Eingabefeld für Telefonnummern nicht, das AirTag-Besitzer beim Einrichten ihrer Tracker ausfüllen. Sie können alles in dieses Eingabefeld stecken, einschließlich Schadcode.

Und das ist ein großes Problem. Wenn Sie ein verloren gegangenes AirTag scannen, gibt es die „Telefonnummer” seines Besitzers an Ihr iPhone weiter. Ihr iPhone bettet dann die „Telefonnummer” in eine https://found.apple.com/-Webseite ein. Wenn also das Telefonnummernfeld eines verlorenen AirTags voll mit bösartigem XSS-Code ist, wird die Apple-Website ihn einbetten, ohne dass Fragen gestellt werden.

Diese Schwachstelle macht gezielte Phishing-Versuche extrem einfach. Ein Hacker kann beispielsweise ein gefälschtes iCloud-Anmeldefeld programmieren, das angezeigt wird, wenn sein „verlorenes” AirTag gescannt wird. Sie könnten diesen AirTag dann in der Nähe des Autos oder der Haustür eines Opfers anbringen, um sicherzustellen, dass er entdeckt und gescannt wird.

Hacker könnten diese Schwachstelle auch nutzen, um browserbasierte Zero-Day-Exploits auf einem iPhone auszulösen. Diese Exploits könnten Ihr iPhone zum Absturz bringen oder beschädigen, aber um fair zu sein, ein solcher Exploit würde einem Hacker nicht wirklich nützen (und es gibt viel einfachere Möglichkeiten, solche Exploits auszuliefern).

Apple hat Monate damit verbracht, auf seinen Händen zu sitzen

Bobby Rauch, der Forscher, der diese Schwachstelle entdeckt hat, hat sie Apple am 20. Juni gemeldet. Das Unternehmen verbrachte drei Monate damit, Rauch mitzuteilen, dass es das Problem untersucht, und weigerte sich, ihm mitzuteilen, ob er für seine Entdeckung eine Anerkennung oder ein Kopfgeld erhalten würde (dies sind Standardbelohnungen für das Befolgen des Bug-Bounty-Programms von Apple ).

Apple bat Rauch, den Fehler nicht „durchsickern” zu lassen, weigerte sich aber, mit ihm zusammenzuarbeiten oder einen Zeitplan für einen Patch bereitzustellen. Er warnte das Unternehmen, dass er die Schwachstelle nach 90 Tagen öffentlich machen würde, und tat dies schließlich in einem Medium-Blogbeitrag. Dennoch hat Apple das Problem nicht öffentlich kommentiert, obwohl es Rauch zuvor mitgeteilt hat, dass es beabsichtigt, das Problem zu beheben.

Technisch gesehen sollte dies eine sehr einfache Lösung sein. Apple muss kein Update für das iPhone oder die AirPods veröffentlichen; Es muss nur die Webseite https://found.apple.com/ dazu bringen, eingehende „Telefonnummern” zu bereinigen. Aber ich hoffe, dass Apple die Schritte unternimmt, um dieses Problem vollständig zu lösen. Das Unternehmen macht immer wieder dumme Fehler und schiebt halbherzige Patches für Dinge, die beim Start hätten sicher sein sollen.

Ganz zu schweigen davon, dass Apple sich weigert, mit Leuten zu kommunizieren, die versuchen, Probleme über sein offizielles Bug-Bounty-Programm zu melden. Wenn Apple es mit Sicherheit ernst meint, muss es Software-Schwachstellen schnell angehen und anfangen, Sicherheitsexperten mit Respekt zu behandeln. Schließlich erledigen viele dieser Sicherheitsexperten die Arbeit von Apple kostenlos.

Ist es sicher, AirTags zu scannen?

Diese Nachricht sollte Sie nicht davon abhalten, AirTags zu scannen, aber sie sollte Sie wachsamer machen. Wenn Sie beispielsweise nach dem Scannen eines AirTags aufgefordert werden, sich bei iCloud oder einem anderen Konto anzumelden, dann ist etwas nicht in Ordnung – Apple fragt nicht nach Anmeldeinformationen, wenn ein legitimes AirTag gescannt wird.

Ein AirTag, das von selbst zurückgelassen wird, ist auch eine rote Flagge … sozusagen. Da diese Tracker keine eingebauten Schlüsselbundschlaufen haben, können sie aus Taschen fallen oder aus billigen Holstern entkommen. In den meisten Fällen ist ein einzelnes AirTag das Ergebnis von Unachtsamkeit.

Wie auch immer, niemand zwingt Sie, AirTags zu scannen. Wenn Sie einen verlorenen Gegenstand mit einem AirTag finden und ihn nicht scannen möchten, können Sie ihn zum Apple Store (oder einer Polizeistation, schätze ich) bringen und ihn zu ihrem Problem machen. Denken Sie nur daran, dass es wahrscheinlich nicht schadet, es zu scannen, solange Sie keine Anmeldeinformationen in das Popup-Fenster des AirTags-Browsers eingeben.

Quelle: Bobby Rauch via Krebs on Security, Ars Technica