„ADRESSBAR SPOOFING“

iOS 5.1: Sicherheitslücke in Safari entdeckt

23.03.12 | 09:38 Uhr - von
(Bild: http://majorsecurity.net/html5/ios51-demo.html)

Ein Javascript-Fehler in iOS 5.1 lässt Webseiten im mobilen Safari-Browser auf iPhone, iPad und iPod touch unter falschem Namen darstellen. Wer beispielsweise glaubt, laut Adresszeile auf www.apple.com gelandet zu sein, spielt möglicherweise den Falschen Adresse und Passwort seiner Apple-ID zu.

Als „Adressbar spoofing“ macht Major Security jetzt die Schwachstelle von Safari Mobile unter iOS 5.1 bekannt, die mit Risikostufe „mittel - hoch“ eingeschätzt wird. Sie basiert „auf einer inkorrekten Behandlung der URL wenn die Javascript-Methode window.open() benutzt wird“ und wurde Apple bereits vor drei Wochen gemeldet. Apple nahm die Meldung zur Kenntnis und arbeitet an der Fehlerbehebung.

ANZEIGE

Wer die von Major Security eingerichtete Demo-Webseite unter iOS 5.1 in Safari aufruft, sieht auf der scheinbar bekannten Apple-Webseite die Nachricht: „Dies wird auf MajorSecurity.net gehostet, aber die Adressleiste wird manipuliert, so dass sie einen anderen FQDN [Domain-Namen] ausweist. Unheimlich.“ Datendiebe könnten sich diese Methode zunutze machen, um über fingierte Webseiten Zugangsdaten zu Online-Stores oder -Banking zu erangeln.

Artikel kommentieren

Bild von Gast

Na toll! Hoffentlich kommt bald ein Update, obwohl das letzte ja erst 2 Wochen alt ist...

Bild von Gast

Risikostufe: eindeutig HOCH!
Apple, sofort beheben!

Bild von Gast

Blödsinn!

Bild von Gast

Ah, ein Kenner. Wie sprachgewandt er doch ist. Gehst Du auch nackig im Piranhabecken schwimmen?

Bild von Gast

Na, was erwartest du? Eindeutig ein Hardcore-Fanboy... nix im Hirn und zu allem, was negativ für Apple ist, "Blödsinn!" schreiben. Genau auf solche Spinner haben es die Kriminellen doch abgesehen!

Bild von Gast

Blödsinn!

Bild von Gast

Laaaaaaaaaangweilig.

Bild von Gast

höö? was ist ein hirn?

Bild von Gast

Ja, die Lücke ist schon extrem gefährlich. Hilft nur die Adresse immer selbst einzugeben...

Bild von Gast

Denke aber mal bis Apple da nachbessert, werden noch Monate verstreichen...

Bild von Gast

Bezieht sich das Phishing dann "nur" auf die aufgerufene Seite oder werden auch Passwörter, die z.B. später in einer App eingegeben wurden, ausspioniert bzw. wird z.B. das iPhone komplett von einer Spyware befallen?

Bild von Gast

Diese Lücke sorgt erst einmal dafür, dass du dich auf einer "fremden" und potentiell gefährlichen Seite (nur in Safari) befindest, ohne dass du es merkst. Im einfachsten Fall werden einfach deine Login-Daten geklaut (die du in Safari eingibst). Sollte die Seite noch weitere Fehler in Safari ausnutzen, dann können sie Spyware und ähnliches darauf installieren (wäre übrigens nicht das erste Mal). Dies geschieht jedoch unabhängig von der im Artikel beschriebenen Lücke!

Bild von Gast

Kann man gegen Spyware auf dem iDevice vorgehen? Antivirenprogramm etc...

Bild von Gast

Offiziell wirst du Schwierigkeiten damit haben, da es ja "keine Schadsoftware gibt". In der Jailbreak community werden Lücken jedoch recht schnell geschlossen, jedenfalls bisher. Besonders in Fällen, in denen Apple nicht (mehr) reagiert, ist dies oftmals der einzige Ausweg. Bisher waren sie immer recht schnell, z.B. bei einem Fehler, bei dem ein fehlerhaftes PDF zum einschleusen von Code genutzt werden konnte, gab es ein Patch nach wenigen Tagen... im Gegensatz zu Apple, die viele Wochen dafür brauchte.

Bild von Gast

Danke für die schnelle Antwort!Kann man also nur durch einen Link auf so eine gefakte Seite gelangen oder ist das "automatisch" bei jeder Seite,auch bei denen,die man manuell im URL Bar eingibt?

Bild von Gast

Im Prinzip beides. Wenn du dich bei einer URL vertippst und zufällig auf so einer Seite landest, die diesen Fehler ausnutzt, dann hast du Pech gehabt. Kriminelle verwenden diesen Trick sehr gerne weil er effektiv ist, d.h. es sie kreieren falsche Seiten auf Tippfehler-Domainen (gogle statt google, ...) um Informationen zu klauen. Die Seiten sehen wie die echten aus und der Benutzer ahnt daher nichts. Durch den Fehler würdest du es aber nicht einmal bemerken, wenn du dir anschließend die URL-Leiste anschaust. Du musst also BEVOR du auf die Seite gehst die URL prüfen.

Kommentar hinzufügen

Captcha
Diese Frage hat den Zweck zu testen, ob Sie ein menschlicher Benutzer sind und um automatisierten Spam vorzubeugen.
fünfzehn - = zwölf
Lösen Sie die Aufgabe und geben Sie das Ergebnis (als Zahl) ein.

MAC-LIFE-NEWSLETTER BESTELLEN

IPOD-FORUM

Re: Film auf externe FP für Windows nutzbar

Re: Film auf externe FP für Windows nutzbar

Re: Film auf externe FP für Windows nutzbar

Re: Film auf externe FP für Windows nutzbar

Aktuelle Topseller PDFs

Mac Life 07.2014

Ausgabe: 7/2014
24.73 MB
4.49 €

Mac Life 08.2014

Ausgabe: 8/2014
15.98 MB
4.49 €

Mac easy 04.2014

Ausgabe: 4/2014
21.34 MB
4.49 €

AppStoreBibel 02.2014

Ausgabe: 2/2014
15.51 MB
4.49 €

iPhone Life 04.2014

Ausgabe: 4/2014
18.28 MB
5.99 €
 
MAC LIFE MARKTPLATZ

McBüro – die betriebswirtschaftliche Software

für Mac, PC und iOS

McBüro – die betriebswirtschaftliche Software
McBüro – die betriebswirtschaftliche Software für Mac, PC und iOS

Für Handel • Produktion • Dienstleistung • Handwerk • Agenturen • Verlage
Individuell - Anpassbar - Flexibel - Modular


Informieren Sie sich jetzt und laden Sie sich eine Demo-Version: www.McBuero.info
Weitere Infos finden Sie hier

MacLife Gold

Jetzt kostenlos 60 Tage testen

MacLife Gold

Die erste Flatrate für Apple-Fans

Print und Online

100 Ausgaben jährlich für eine Flatrate. Für iPhone, iPad & Co.

iNewsweek: Jede Woche neues aus der Apple Welt

Nur 9,90 im Monat - Sie sparen jährlich 196,72 Euro 

 


 

 

 

 

 

 

 

 

Weitere Infos