Forscher der Indiana University, Peking University und des Georgia Institute of Technology haben gleich mehrere schwerwiegende Schwachstellen in Apples Betriebssystemen OS X und iOS entdeckt. Wie sie in ihrem Artikel Unauthorized Cross-App Resource Access on Mac OS X and iOS erklären, ermöglichen die Sicherheitslücken speziell gefertigten Apps, Daten anderer Programme auszulesen und so auf sensible Nutzerinformationen zuzugreifen.

Im Zuge der Untersuchungen ist es dem sechsköpfigen Forscherteam gelungen, sowohl im Mac- als auch im iOS-App-Store die Sicherheitsmechanismen zu umgehen und manipulierte Apps hochzuladen. Gelangen diese auf ein System, können sie unautorisierten Zugriff auf Daten anderer Apps erlangen – etwa auf „Passwörter und Sicherheits-Token für iCloud, die Mail-App und alle Web-Passwörter, die in Google Chrome gespeichert sind“, erklärte Luyi Xing, Leiter des Teams, gegenüber The Register.

Aus dem Bericht der Forscher geht hervor, dass das Problem in Systemdiensten begründet liege, die Apps für die Kommunikation untereinander nutzen können. Normalerweise sind die verschiedenen Anwendungen eines Nutzers durch Sandboxing voneinander abgeschottet, um sie vor Malware und kompromittierten Programmen zu schützen. Die „Cross-App Ressource Access Attacks“ oder kurz „XARA” genannten Angriffstechniken können diesen Isolationsschutz allerdings umgehen und stellen somit eine ernste Bedrohung dar.

In eigens angefertigten Videos demonstrieren die Forscher verschiedene Ausnutzungsmethoden der Sicherheitslücken und deren Folgen: So konnten sie Fotos aus Konversationen mit dem Chatprogramm WeChat kopieren, Kontaktdaten und Notizen aus Evernote entwenden und Passwörter aus der beliebten Passwort-Manager-App 1Password auslesen.

Im Zuge ihrer Analyse überprüften die Forscher 1.612 OS X- sowie 200 iOS-Apps, von denen 88,6 Prozent für mindestens eine der Schwachstellen anfällig waren. Wie Xing erklärt, wurde Apple bereits im Oktober 2014 über die Sicherheitslücken informiert. Wie The Register berichtet, habe Apple die Schwere des Problems erkannt und um eine Frist von sechs Monaten zur Behebung des Problems und im Februar dieses Jahres sodann um eine Vorabversion der Analyse gebeten.

Laut Heise wurden in OS X 10.10.3 und der Beta von 10.10.4 erste Schutzmaßnahmen integriert, die sich allerdings umgehen ließen. Die Forscher selbst erklären, dass sich ein Teil der Lücken nur auf Systemebene durch Apple beheben lasse, App-Entwickler aber besser prüfen müssten, mit welchen anderen Apps ihre Anwendungen interagieren.

Dass die Forscher ihren Bericht nun trotz fehlender Problemlösung veröffentlicht haben, dürfte zum Teil auf Kritik stoßen. Denn so könnten sich auch Kriminelle die Angriffsmöglichkeiten zunutze machen.