Apple schliesst fiese Lücken in iMessage und Bluetooth
Apple hat Sicherheitslücken in seinen iPhones, iPads und Macs geschlossen, über die Angreifer unter anderem in fremde iMessage-Gruppenchats gelangen konnten. Die Updates auf iOS 27.2.1, iPadOS 27.2.1 und macOS Golden Gate 27.2.1 stehen für Nutzer zum Download bereit. Auf iPhone und iPad beheben sie nach Apple-Angaben neun Schwachstellen, auf dem Mac acht.
Laut den Sicherheitshinweisen des Konzerns kann ein Angreifer aus der Ferne einer iMessage-Gruppe beitreten und die Nachrichten darin empfangen. Eine zweite Lücke erlaubte es neu hinzugefügten Mitgliedern, Nachrichten aus der Zeit vor ihrem Beitritt zu lesen.
Fiese Lücken in Bluetooth und AirPlay
Mehrere Fehler betreffen Bluetooth und Airplay, Apples Technik zur drahtlosen Übertragung von Bild und Ton.
Ein manipuliertes Bluetooth-Gerät liess sich zudem ohne Zutun des Nutzers koppeln. Auf iPhone und iPad konnten Apps ausserdem unter Umständen auf sensible Nutzerdaten zugreifen.
Updates für fast alle Apple-Geräte
Hinweise darauf, dass die Lücken bereits für Angriffe genutzt werden, nennt Apple nicht. Den Schweregrad stuft das Unternehmen insgesamt als mittel ein. iOS 27.2.1 gibt es laut Apple für das iPhone 11 und neuere Modelle.
Für ältere Systemversionen hat der Konzern ebenfalls Updates veröffentlicht, darunter iOS 26.7.3 und iOS 18.7.12. Auch watchOS und visionOS, die Systeme von Apple Watch und Vision Pro, hat Apple auf Version 27.2.1 aktualisiert.
Auf iPhone und iPad lässt sich das Update unter «Einstellungen» → «Allgemein» → «Softwareupdate» installieren, auf dem Mac in den Systemeinstellungen unter «Allgemein» → «Softwareupdate».
Mac: Schutz vor gefälschten Zertifikaten
Auf dem Mac schliesst das Update zusätzlich eine Lücke beim Umgang mit Zertifikaten des indischen Anbieters eMudhra. Solche Zertifikate bestätigen, dass eine Webseite echt ist.
Laut Apple sind die privaten Schlüssel von acht sogenannten Zwischenzertifizierungsstellen des Unternehmens kompromittiert. Wer über einen Teil dieser Schlüssel verfügt, könnte Zertifikate erstellen, die für jede beliebige Webseite gültig erscheinen.
In Safari, Mail und vielen anderen Apps blockiert Apple die betroffenen Zertifikate bereits automatisch, ohne dass dafür ein Update nötig ist. Einige Befehlszeilenprogramme wie curl und git, die vor allem Entwickler nutzen, akzeptieren sie aber weiterhin. Das ändert sich mit macOS 27.2.1.
Verwendete Quellen:
- support.apple.com: About the security content of iOS 27.2.1 and iPadOS 27.2.1 (englisch)
- support.apple.com: About the security content of macOS Golden Gate 27.2.1 (englisch)
- support.apple.com: Informationen zu den kompromittierten Zwischenzertifizierungsstellen von eMudhra
(t-online)
