2589056

Sicherheitslücke in Safari seit Wochen nicht geschlossen

27.05.2021 | 15:02 Uhr | Stephan Wiesend

Eine Sicherheitslücke in Webkit ist schon seit mehreren Wochen bekannt, wurde aber auch durch macOS 11.4 nicht geschlossen.

Werden Sicherheitslücken in Safari bekannt, ist dies besonders brisant. Der auf dem Open-Source-Projekt Webkit basierende Browser wird unter iOS und macOS verwendet und ist besonders stark Angriffen von Hackern ausgesetzt. Eigentlich sollten bekannt gewordene Sicherheitslücken deshalb besonders schnell behoben werden. Tim Becker von Theori  berichtet aber nun, dass Safari eine Sicherheitslücke aufweist, die seit Wochen bekannt ist und in Webkit bereits behoben wurde. Auch mit den neuesten Updates wurde sie bisher von Apple nicht behoben, wie der Sicherheitsforscher in einem Blogbeitrag erläutert .

Das ist das Problem

Mit der neuen Version Safari 14 wurde eine neue Audio-Funktion eingeführt, die Unterstützung von AudioWorklets. Dies ermöglicht neue Funktion bei der Wiedergabe, Bearbeitung oder Kontrolle von Audiodaten, es gibt aber offenbar mehrere Codefehler. Durch einen Fehler in dieser Schnittstelle, einen sogenannten "Type Confusion Bug" kann man etwa Safari absichtlich abstürzen lassen. Unter Ausnutzung weiterer Schwachstellen könnte dies Angreifern die Möglichkeit geben, Code auszuführen. Das Ausführen von Code würde zwar durch eine Sicherheitsfunktion namens Pointer Authentication Codes verhindert, die Schwachstelle sollte aber aus Sicherheitsgründen unbedingt behoben werden.

Vorwurf an Apple

Der Fehler wurde zwar nur in der Open-Source-Version von Webkit berichtet und bald korrigiert, er betrifft aber auch macOS 11.4 und iOS 14. Die Sicherheitsforscher hatten die Schwachstelle ebenfalls bemerkt, allerdings nach der Korrektur nicht an Apple gemeldet – waren nun aber erstaunt, dass der Fehler von Apple noch immer nicht behoben ist. Wie Tim Becker meint, zeigt diese Verspätung ein grundlegendes Problem mit Open Source: Bei Open-Source-Projekten werden bekannte Fehler sofort veröffentlicht und meist schnell geschlossen. Durch die zeitliche Lücke zwischen Veröffentlichung und Beheben der Lücke kann es zum „Patch-gapping“ kommen: Eine Lücke ist zwar bekannt, aber noch nicht bei jedem Anwender geschlossen. Dass es sich vielleicht nicht um einen Einzelfall handelt, zeigt ein zweiter bekannter Fehler der AudioWorklet. Auch dieser Bug wurde im Open-Source-Projekt Webkit bereits behoben, in der aktuellen Version von Safari noch nicht. Offensichtlich sollte Apple diese Projekte etwas besser im Auge behalten.

Macwelt Marktplatz

2589056