Prominente Sicherheitsforscher befinden Schwachstellen in iPhone Mail ebenfalls als 'ausnutzbar'

Vor nicht allzu langer Zeit hat die Sicherheitsfirma ZecOps ein Statement gemacht, in dem es Apples iPhone Mail Service genau erforschte und dabei mehrere Lücken in der Nutzersicherheit erkannte, die die Firma als einen sogenannten Zero-Click-Exploit festhielt. Laut ZecOps konnte so mit einer Auslastung der App, welche alleine durch eine höchst RAM-lastige Mail erzeugt werden konnte, das iPhone in einen Zustand der Ressourcenauslastung gezwungen werden, was die üblichen Sicherheitsvorkehrungen in iPhone Mail zum Einsturz bringen und eigenen Code in das Gerät des Nutzers einspeisen könnte. Dieser Exploit ist laut ZecOps ebenfalls weitflächig ausgenutzt worden und hat bereits die Privatsphäre vieler hochrangiger Nutzer gefordert, allerdings sind diese Statements mittlerweile von Apple selbst verneint worden. So seien "keine Beweise dafür gefunden [worden] dass [der Exploit] gegen die Kunden angewendet worden ist" und dass die Schwachstellen von Mail "kein imminentes Risiko an die Nutzer darstellen."

Apple stellt sich somit gegen die Anschuldigungen von ZecOps quer, deutet jedoch subtil an dass diese Schwachstellen existieren und verneint nur, dass sie weitflächig ausgenutzt worden sind. Diesen Punkt bestätigen nun zwei hoch profilierte Sicherheitsforscher - iOS Forscher und Guardian Firewall Schaffer Will Strafach und ehemaliger NSA Hacker Patrick Wardle - und lassen dabei ihren eigenen Kommentar zu der Ausnutzung der Exploits da. Selbst wenn der eigentliche Exploit nicht ohne weiteres ausnutzbar ist, kann jener trotzdem mit anderen Schwachstellen kombiniert werden, um einen kritischen Effekt zu erzeugen. Insbesondere die Methoden eines Zero-Click-Exploits sind nämlich schwer festzunageln und korrekt zurückzuführen, da es "keine vollwertige Exploit Kette bildet, jedoch durch die Art auf die jener funktioniert ein Diebstahl der eigenen Postbox ermöglichen kann," so Will Strafach. "Selbst die Idee der Kopie aller Mails und sofortiger Selbstzerstörung der 'Angriffs-Email' ist ein beunruhigendes Prinzip."

Patrick Wardle stimmt diesem Gedanken zu, und ist von der Unklarheit der Methode, die Apple für das Feststellen der Ernsthaftigkeit des Exploits benutzt hat, betrübt gestimmt. "Es ist unwahrscheinlich, dass Apple Beweise über einen Angriff über die Methode finden kann, falls diese Schwachstellen für einen weitflächigen Angriff benutzt worden sind. Aber es wäre absolut hilfreich, wenn Apple ansprechen könnte, wie es zu dem genannten Ergebnis gekommen ist," so Wardle. "Wir sehen nicht so wenig von Zero-Click-Exploits in der freien Wildbahn weil sie nicht existieren, sondern weil sie schwer zu identifizieren sind."

Apple hat bereits mit dem kommenden Update 13.4.5 auf die Sicherheitslücken reagiert, jedoch greift der Exploit auf Schwachstellen zu die bis zum Update 11.2.2 vom Januar 2018 reichen und so trotzdem eine Masse an Nutzern betreffen könnten. Jedoch ist es ebenfalls unwahrscheinlich, dass der Exploit für Nutzer außerhalb von den von ZecOps genannten hochrangigen Zielen genutzt werden.