Security: Forscher veröffentlicht iOS-Lücken aus Ärger über Apple - Golem.de - Golem.de

Das Bug-Bounty-Programm von Apple ist vielfach kritisiert worden. Ein Forscher veröffentlicht seine Lücken deshalb nun ohne Patch.

Aus Ärger über Apple hat ein Forscher nun vom ihm gefundene Sicherheitslücken veröffentlicht. (Bild: Tobias Költzsch/Golem.de)

Ein Forscher hat mehrere Sicherheitslücken samt Exploit-Code für Apples iOS veröffentlicht, die es Angreifern ermöglichen könnten, unbemerkt auf zahlreiche persönliche Informationen von Nutzern zuzugreifen. Laut Angaben des Forschers stehen dazu bisher keine Patches bereit, obwohl diese Apple bereits gemeldet worden seien.

Dem Blogeintrag zufolge sei der unter Pseudonym auftretende Forscher auch auf Nachfragen hin von Apple immer wieder zum Stand der Bearbeitung der Lücken vertröstet worden. Darüber hinaus habe Apple zwar eine weitere gemeldete Lücke inzwischen behoben, listet diese aber nicht in den Security-Notizen seiner Updates. Diese betraf den Dienst Analyticsd, der neben Systeminformationen auch medizinische Informationen wie etwa Daten zum Menstruationszyklus sammelt. Dem Forscher gelang hier ein einfacher Zugriff auf die Daten.

Ähnlich wie Googles Project Zero oder die Zero Day Initiative (ZDI) habe sich der Forscher nun aber dazu entschieden, die noch nicht geschlossenen Lücken auch ohne weitere Rücksprache mit Apple zu veröffentlichen. Konkret handelt es sich dabei um zu lasch umgesetzte Zugriffskontrollen, so dass Apps unbemerkt über den Systemdienst Gamed auf persönliche Informationen zugreifen können. Dabei handele es sich unter anderem um Kontaktlisten, Metadaten zu Verbindungen oder auch das Adressbuch.

In dem Blogeintrag zeigt sich der Forscher sichtlich verärgert über das Verhalten Apples und schreibt dazu: "Ich bin nicht der erste, der mit dem Apple-Security-Bounty-Programm unzufrieden ist." Es folgt eine Auflistung mehrerer ähnlicher Vorfälle. Das betrifft aber nicht nur Einzelpersonen. So lehnte etwa Googles Project Zero eine engere Zusammenarbeit mit dem Unternehmen ab, um den Veröffentlichungsprozess der gefundenen Schwachstellen uneingeschränkt selbst kontrollieren zu können.

Adblock test (Why?)

Security: Forscher veröffentlicht iOS-Lücken aus Ärger über Apple - Golem.de - Golem.de
Read More