iOS Apple Mail: Schwachstelle macht seit Januar Datenklau möglich

Wie Proof-of-Concept-Code der auf Github veröffentlicht wurde zeigt, klafft in der iOS-Version von Apple Mail ein Sicherheitsleck, das den Diebstahl von Anmeldedaten möglich macht. Der Entdecker hatte Apple schon im Januar über den Bug informiert.

Seit Anfang des Jahres ungefixed

Wie The Register in seinem aktuellen Bericht zu dem Fehler in Apple Mail für iOS schreibt, macht es dieser offenbar möglich, bei der Auslieferung einer entsprechend präparierten E-Mail HTML-Inhalte aus der Ferne zu laden. Angreifer können auf diesem Weg dann beispielsweise eine falsche Anmeldeseite für Apples Clouddienst iCloud darstellen, die sich nicht von dem echten Anmeldedialog unterscheiden lässt.


Für die Entdeckung des gravierenden Fehlers war der beim Unternehmens-Netzwerk Ernst & Young beschäftigte Sicherheitsexperte Jan Soucek verantwortlich. Wie sich jetzt zeigt, liegt diese liegt aber schon ein ganzes Stück zurück: "Im Januar 2015 bin ich über einen Bug im iOS Mail Client gestolpert, der dazu führt das HTML Tags in Email-Nachrichten nicht ignoriert werden", so Soucek in seinem kurzen Textbetrag auf Github.

Apple schweigt sich bisher aus

Apple scheint aktuell noch keinen Weg gefunden zu haben, die Lücke im mobilen Mail-Client zu schließen. Eine Korrektur des Problems ist laut dem Sicherheitsforscher in keinem Update seit der iOS-Version 8.1.2 erfolgt. Da er seit der Meldung des Fehlers Anfang des Jahres von Apple außerdem keine Reaktion erhalten hat, entschloss sich Soucek jetzt letztendlich dazu, Proof-of-Concept-Code auf Github zu veröffentlichen, der die Problematik für jedermann sichtbar aufzeigt.

Das bereitgestellte Tool macht außerdem klar, dass nicht nur sensible Daten zu Apples Diensten wie iCloud & Co. mit dieser Methode abgegriffen werden könnten. Da wegen der Schwachstelle beliebige HTML-Inhalte eingeschleust werden können, ist es Hackern theoretisch möglich, ihre Phishing-Versuche auch auf andere Dienste abzustimmen. Jetzt muss sich zeigen, wie Apple auf die Öffentlichmachung des Fehlers reagiert.