Zugriff ohne Einschränkung:
iOS und MacOS-Kamera war angreifbar

Ein Hacker hatte sieben Anfälligkeiten in Apples Safari-Browser entdeckt, die es unter anderem möglich machen, auf Kameras und Mikro­fone von iOS- und MacOS-Geräten zuzugreifen. Der Hacker hat die Lücken an Apple gemeldet, ein entsprechender Patch wurde schon ausgeliefert.

Da kann man froh sein, wenn Hacker Gutes im Sinn haben

Ethical Hacker verfolgen nicht die Absicht, Lücken auszunutzen und Unternehmen und Nutzer damit zu übervorteilen. Vielmehr handelt es sich um unabhängige Sicherheitsexper­ten, die mit ihrem Können Lücken aufdecken, Betroffene informieren und damit auch Geld verdienen. Forbes berichtet jetzt über einen solchen Experten, der Apple vermutlich vor bösen Schlagzeilen bewahrt hat. Ryan Pickren hatte eine Kombination an Lücken entdeckt, die alle iOS- und MacOS-Kameras angreifbar macht.


Demnach hatte Pickren im Dezember 2019 beschlossen, nach Lücken Ausschau zu halten, die ihm eine Belohnung im Rahmen des Bug Bounty-Programm von Apple einbringen könnten. Dafür nahm er sich den Safari-Browser für iOS und Mac OS vor und "bearbeitete den Browser mit obskure Ausnahmefällen". Dabei fokussierte er sich nach eigenen Angaben auf die Sicherheitsmaßnahmen rund um den Kamerazugriff. An sich sei das System sehr sicher gestaltet, so Pickren, eine Ausnahme fand der Experte aber im Zusammenspiel mit Apples eigenen Apps.

Von den sieben Zero-Day-Lücken die der Hacker in Safari auftun konnte (CVE-2020-3852, CVE-2020-3864, CVE-2020-3865, CVE-2020-3885, CVE-2020-3887, CVE-2020-9784, CVE-2020-9787) machten ihm die Kombination von drei es möglich, unautorisierten Zugriff auf Kamera-Systeme inklusive Mikrofone zu erlang­en. "Ein Fehler wie dieser zeigt, warum Benutz­er sich niemals absolut sicher fühlen sollten, dass ihre Kamera sicher ist", sagte Pickren laut Forbes, "unabhängig von Betriebssystem oder Hersteller."

Apple reagiert schnell

Nach Entdeckung der Fehler hatte Pickren diese im Rahmen des Bug Bounty Programm Mitte Dezember 2019 an Apple gemeldet. "Apple hat alle sieben Fehler sofort überprüft und einige Wochen später ein Update für die 3-Fehler-Kamera-Kill-Kette ausgeliefert", so der Experte - das Angriffsszenario ist mit Safari 13.0.5 am 28. Januar 2020 beseitigt worden. Der Rest der Lücken wurde dann am 24. März mit Safari 13.1 geschlossen. Pickren erhielt für seine Entdeckung 75.000 Dollar Belohnung.