Apple reagiert endlich auf XARA-Schwachstelle, Fix in der Mache

Apple hat nun im Fall der in der letzten Woche bekannt gewordenen Sicherheitslücken eine Lösung angekündigt: Die als XARA bekannt gewordenen Exploits sollen es Unbefugten ermöglichen, sensible Daten wie Passwörter aus Apps für iOS und OS X auszulesen. Damit soll bald Schluss sein. Seit Oktober 2014 weiß Apple von den Sicherheitslücken, die verschiedene Sicherheitsforscher unter dem Begriff Cross-App Resource Access Attack, kurz XARA, zusammengefasst haben. Betroffen von dem Problem sind dabei über 80 Prozent der Apps, die die Sicherheitsforscher getestet haben. Für die Ausnutzung dieser Schwachstellen in iOS und OS X benötigen die Angreifer eine manipulierte App. Diese kann dann zum Beispiel die Schlüsselbundverwaltung anderer Apps auslesen. Die Angreifer kommen so an Passwörter und Logins aus den Daten anderer Apps. Für die Forscher war es laut eigene Angaben kein Problem, eine entsprechend manipulierte App in den Store einzuschleusen und Apples Sicherheitssysteme zu umgehen.

Entwickler selbst sind machtlos, Apple muss handeln

Betroffen ist laut einem Bericht der Entwickler auch der beliebte Passwort-Manager 1Password. Dessen Macher betonen nun, wie wichtig eine Lösung von Seiten Apples ist. Denn die Entwickler selbst könnten ihre Apps nicht weiter gegen einen XARA-Angriff absichern.

Apple bestätigte mittlerweile die Arbeit an der Behebung des Problems gegenüber dem Magazin iMore: Man habe demnach schon Anfang der Woche ein serverseitiges Sicherheitsupdate implementiert. Apps mit fehlerhaften Sandbox-Konfigurationen werden seitdem im Mac App Store blockiert, heißt es. Allerdings betrifft die XARA-Sicherheitslücke nicht nur Apps, die man sich aus dem App Store installiert - damit gibt es noch weitere Einfallstore. OS X soll generell eher betroffen und anfälliger für Cross-App Resource Access Attacks sein, als iOS.

Vorsicht bei unbekannten App-Anbietern

Bis zu einer endgültigen Behebung der Sicherheitslücke sollte man laut der Empfehlung von iMore vorsichtig sein, welche Apps man sich auf iPhone oder Mac lädt. Besonders bei unbekannten Drittanbietern müsse man solang Vorsicht walten lassen.

Wann es weitere Updates geben wird, steht noch völlig in den Sternen. In OS X 10.10.3 und in der Beta von 10.10.4 soll es schon erste Ansätze gegeben haben, die aber laut den Sicherheitsforschern einfach umgangen werden konnten. Für iOS kann Apple die Sicherheitslücke vielleicht auch über verschärfte App-Store-Regeln schließen.