Trotz Security-Update:
iTunes SSL-Lücke unter Windows

Achtung: nach einem Bericht einer niederländischen Sicherheitsfirma gibt es weiterhin Sicherheitsbedenken bezüglich iTunes. Wie Heise berichtet, hat Apple zwar ein Update herausgegeben, die SSL-Schwachstelle damit aber nicht stopfen können.

Man-in-the-Middle-Angriff

Wie erst in der vergangenen Woche berichtet, sollte die Aktualisierung auf iTunes in Version 11.2 für Windows ab XP SP3 eine als kritisch eingestufte Sicherheitslücke schließen. Dabei stand der Verdacht im Raum, dass sich Hacker über die Schwachstelle in der Verarbeitung von Set-Cookie-HTTP-Headern Zugriff auf die sensiblen Accountdaten beschaffen könnten. Ob diese Sicherheitslücke bereit aktiv ausgenutzt wurde, war unklar.

Nun heißt es, dass die eigentliche Fehlerquelle noch nicht gestopft sei. So kann es weiterhin dazu kommen, dass die Accountdaten durch einen so genannten Man-in-the-Middle-Angriff gestohlen werden könnten.

Laut Heise handelt es sich um einen Fehler in Apples SSL-Implementierung Secure Transport. So soll es Ausspähern möglich sein, anhand gefälschter Zertifikate dem System die geprüfte Sicherheit vorzugaukeln. Genau dieser Fehler stand bereits Ende April im Fokus der Sicherheitsaktualisierungen für iOS 7.1.1 und dem Security-Update 002 für OS X, heißt es weiter. Für Windows gibt es noch kein entsprechendes Update. Der Fehler soll aber von den Niederländern nun in allen iTunes-Versionen für Windows entdeckt und bereits an Apple gemeldet worden sein.

iTunes 11.2.1 bisher nur für den Mac

Für Mac-Nutzer wurde mittlerweile eine Aktualisierung auf iTunes 11.2.1 nachgeschoben, die einige Sicherheitsprobleme beheben soll. Dabei geht es unter anderem auch um den SSL-Bug und der Schließung der Schwachstelle. Apple hat in iTunes 11.2.1 die Handhabung von Secure Transport geändert, sodass die Zertifikate richtig überprüft werden. Hacker hätten somit keine Chance über gefälschte Zertifikate Zugriff zu erhalten. Das BSI hatte Nutzer dazu aufgefordert, das Update schnellstmöglich einzuspielen. Die Möglichkeit des Diebstahls der iTunes-Accountdaten könnte sich ansonsten bei jedem Besuch des iTunes Stores erneut ergeben.

Mehr dazu: Sicherheitswarnung: BSI rät dringend zum Update von iTunes