iPhone und iPad mit Sicherheitslücke

Eine Website ermöglicht den Jailbreak für iPhone, iPad und iPod Touch via dem Browser Safari. Voraussetzung dafür ist die Betriebssystemversion iOS 4.0.1 für iPhone und iPod beziehungsweise iOS 3.2. oder 3.2.1 für iPad. Wird der Jailbreak durchgeführt, können Anwender Apps auch ausserhalb des App Store laden. Die Bindung an einen Telekomprovider wird damit nicht aufgehoben. Ein Jailbreak ist allerdings ein Eingriff ins System, der die Stabilität beeinträchtigen kann. Apple oder Dritthersteller können danach nicht mehr für Probleme verantwortlich gemacht werden.

Die Webseite Jailbreakme.com nutzt eine Sicherheitslücke im mobilen Apple-Betriebssystem aus. Sicherheitsexperten machen darauf aufmerksam, dass sich diese Schwachstelle auch für weit weniger sinnvolle (sprich: schädliche) Zwecke missbrauchen lässt.

Im Blog von F-Secure wird das Vorgehen gezeigt: Öffnet der Nutzer eine präparierte PDF-Datei, kann der Angreifer die Kontrolle über das System übernehmen. Der Schädling kann sich dann selbst per E-Mail oder SMS verbreiten und beispielsweise für Phishing-Seiten werben. Apple hat also ein doppeltes Interesse daran, die Lücke zu beheben: einerseits der unerwünschte Jailbreak, andererseits das Sicherheitsproblem.

Laut einer Meldung von Bitdefender wird die Schwachstelle bereits ausgenutzt. Demnach ist eine E-Mail im Umlauf, die verspricht, dass mit der angebotenen Anwendung iPhones auf einfache Weise entsperrt werden können und so mit allen SIM-Karten nutzbar sind. Der Nutzer müsse lediglich dem angegebenen Link folgen, um zu der entsprechenden Website zu gelangen, auf der die Applikation zum Download bereit steht. Bestätigt der User den Download, lädt er jedoch einen Schädling auf sein System, den Bitdefender als Trojan.Generic.3010833 bezeichnet. Es handle sich um einen Keylogger, der sensible Daten vom befallenen PC an eine spezifische E-Mail-Adresse sendet. Dies ermögliche es den Angreifern, Internet-Aufrufe vom jeweiligen User abzufangen sowie an Benutzernamen, Passwörter, Bankdaten, PIN-Nummern etc. zu gelangen.