Seit Jahren massiv verwundbar: iPhone-Mail-App ist kompromittiert

Die unter iOS vorinstallierte Mail-Applikation weist eine gravierende Sicherheitslücke auf, die seit mindestens 2012 vorhanden ist und Angreifern das Ausführen beliebigem Codes im Kontext der Mail-Anwendung gestattet – frühere Versionen des des iPhone-Betriebssystems haben die Sicherheits-Forscher von Zecops nicht auf eine mögliche Verwundbarkeit geprüft.

Je nach Betriebssystem erfordert der Angriff keine beziehungsweise nur minimale Nutzer-Interaktion und wurde bereits in freie Wildbahn observiert – hier wurde die Schwachstelle zielgerichtet gegen Journalisten und Wirtschaftsgrößen eingesetzt, was darauf schließen lässt, dass entsprechende Tools seit Jahren auf dem Schwarzmarkt angeboten und verkauft wurden.

Dabei scheint der Angriff komplett geräuschlos abgelaufen zu sein. Abgesehen von einer vorübergehenden Verlangsamung der Mail-Anwendung sollen betroffene Anwender kein atypische Verhalten ihres Gerätes bemerken. Einzige Ausnahme: Ein fehlgeschlagener Angriff kann zur Anzeige der Fehlermeldung „Der Inhalt dieser E-Mail kann nicht dargestellt werden“ führen – eine Fehlermeldung, die auch im normalen Alltagsbetrieb auftauchen kann.

Zwar ermöglicht die Sicherheitslücke keine komplette Übernahme des iPhones, eignete und eignet sich jedoch hervorragend um Informationen abzugreifen: Angreifer benötigen lediglich die E-Mail-Adresse des Ziels und können dann Inhalte der Mail-App lesen, verändern oder löschen. Die Security-Spezialisten von Zecops erklären:

Die Schwachstelle ermöglicht die Ausführung von entferntem Code im Kontext [der für die Mail-App verantwortlichen iPhone-Prozesse] MobileMail (iOS 12) oder maild (iOS 13). Die erfolgreiche Ausnutzung dieser Schwachstelle würde es dem Angreifer ermöglichen, E-Mails zu leaken, zu verändern und zu löschen. Eine zusätzliche Kernel-Schwachstelle würde vollen Gerätezugriff ermöglichen – wir vermuten, dass diese Angreifer eine weitere Schwachstelle hatten.

Zecops geht zudem davon aus, dass entsprechende Exploits zum Kompromittieren der Mail-App von staatlichen Stellen gekauft und eingesetzt wurden.

Die Security-Forscher haben sich seit Mitte Februar mit dem Bug beschäftigt, dessen Ausmaße schnell erkannt und an Apple gemeldet. iOS 13.4.5 (derzeit in der Betaphase) schließt die Schwachstelle, die iPhone-Anwender seit Jahren zu potentiellen Opfern staatlicher Überwachung gemacht haben dürfte.