Sicherheitsforscher: Apple ignoriert Meldungen über Schwachstellen

Apple sieht sich mit harscher Kritik von Sicherheitsforschern konfrontiert. In einem Blog-Beitrag wirft ein unter dem Pseudonym „illusionofchaos“ auftretender Sicherheitsforscher dem Unternehmen vor, nicht auf die Meldung von vier Sicherheitslücken reagiert zu haben.

Es ist nicht das erste Mal, dass Apple wegen fehlender Kooperationsbereitschaft von unabhängigen Sicherheitsforschern kritisiert wird. Schon in der Vergangenheit wurde Apple vorgeworfen, entweder gar nicht oder verspätet auf die Meldung von Softwarefehlern zu reagieren, sowie dergleichen nicht entsprechend zu honorieren. In die gleiche Kerbe schlägt nun der aktuelle Bericht.

Collage: illusionofchaos

Apple wurde demanach im Zeitraum zwischen dem 10. März und dem 4. Mai über insgesamt vier Sicherheitslücken in iOS informiert. Drei davon seien auch in der aktuellen Version von iOS 15 noch vorhanden, lediglich eine davon wurde mit iOS 14.7 beseitigt. Allerdings habe Apple diese Fehlerbehebung in den Informationen zum Sicherheitsinhalt des Updates nicht erwähnt. Darauf angesprochen hätte sich das Unternehmen auf ein Versehen berufen und zugesichert, dass die Information nachgereicht werden, was bis heute nicht geschehen sei.

Auf eine erneute Anfrage hat Apple dem Bericht zufolge nicht mehr geantwortet und auch nichts weiter gegen die drei verbliebenen Sicherheitslücken unternommen. Infolgedessen hat sich der Sicherheitsforscher nun dazu entschieden, die Details diesbezüglich offenzulegen, um zusätzlichen Druck gegenüber Apple aufzubauen. Die Veröffentlichung ist mit den international anerkannten Richtlinien zur verantwortungsvollen Offenlegung von dergleichen konform, zumal letztendlich deutlich mehr als 90 Tage vergangen sind, seit Apple erstmals diesbezüglich informiert wurde.

Bei den drei hier veröffentlichten iOS-Sicherheitslücken handelt es sich keinesfalls um Oberflächlichkeiten, so wird beispielsweise beschrieben, wie jede aus dem App Store installierte Anwendung ohne Autorisierung durch den Nutzer auf Daten wie dessen E-Mail-Adresse und Name zugreifen kann sowie Lesezugriff auf verschiedene Systembestandteile erhält, darunter etwa eine Liste mit Kontakten aus Messaging- und Mail-Apps.

Wir hatten bereits mit Blick auf die letzten Sicherheitsupdates von Apple erwähnt, dass sich das Unternehmen zunehmend im Visier von Angreifern befindet. Angesichts dessen sollte sich Apple für derartige Hinweise nicht nur erkenntlich zeigen, sondern die Fehler auch schnellstmöglich beheben. Treffen die Anschuldigungen zu, so setzt der Konzern die Privatsphäre seiner Nutzer ohne Not nicht kalkulierbaren Risiken aus.