iOS-Apps (Symbolbild): 10.000 Anwendungen sollen betroffen sein (DPA)

Mehr als 10.000 Apps für iPhone und iPad könnten eine gefährliche Sicherheitslücke enthalten, sagen Forscher aus Israel. Dadurch könnten Nutzer ausspioniert und betrogen werden. Betroffene sollten die entsprechenden Apps vorerst entfernen.

Das israelische IT-Sicherheitsunternehmen Skycure warnt vor einer Sicherheitslücke, die in vielen iPhone- und iPad-Apps vorhanden sein soll. Konkret beschreiben die Sicherheitsforscher das Problem als „HTTP-Request-Hijacking“ (HRH), also die „Entführung“ von HTTP-Anfragen. Solche Anfragen nehmen die meisten Apps unentwegt vor, wenn sie sich mit den jeweiligen Servern verbinden, um aktuelle Daten abzurufen. Allerdings ist dieser Prozess anfällig für Attacken. Angreifer könnten die Schwachstelle nutzen, um die von der App aufgerufenen Adresse durch eine andere zu ersetzen.

Damit würde die App ihre Daten nicht mehr vom echten Server empfangen beziehungsweise an ihn weiterleiten, sondern den Austausch mit einem fremden Server vornehmen. Der Nutzer bekäme davon nichts mit, sei aber potentiellen Gefahren ausgesetzt: Angreifer könnten die Daten der betroffenen Nutzer ausspähen und ihnen gefälschte Daten unterschieben. Das können manipulierte Börsenkurse sein, falsche Nachrichten oder veränderte Kontodaten. Von HRH könnten laut Skycure mindestens 10.000 Programme in Apples App Store betroffen sein.

Das HRH-Problem tritt vor allem bei ungeschützten W-Lan-Verbindungen und dann auf, wenn der HTTP Response status code 301, der üblicherweise zur Umleitung auf neue Adressen verwendet wird, nicht im Browser eingesetzt wird. Denn der zeigt eine neue Adresse im entsprechenden Adressfenster an. Allerdings gebe es in den meisten iOS-Apps eine solche Adressanzeige nicht, erklärt „Ars Technica“. Deshalb hätten betroffene Nutzer keine Möglichkeit zu überprüfen, ob sich von ihnen genutzte Apps womöglich mit Betrügerseiten verbinden statt mit der gewünschten Adresse.

Per HTTPS gesicherte Seiten seien von dem Problem nicht betroffen, so Skycure. Das Unternehmen stellte für Entwickler bereits einen Fix zur Verfügung, der anfällige Apps künftig schützen soll. Für iOS-Nutzer bedeutet das, im Zweifelsfall die jeweiligen Apps von ihren Geräten zu entfernen und erst dann wieder zu installieren, wenn der jeweilige Entwickler die Schwachstelle beseitigt hat.

(JNS und Agenturen)

Kategorien:Sicherheit

Schlagwörter:Aple, iOS-Apps, iPad, iphone, Sicherheitslücke