Sicherheitslücke im Safari-Browser ermöglicht URL-Spoofing

Im Safari-Browser für iOS-Geräte von Apple wie das iPhone oder iPad existiert eine Sicherheitslücke, die URL-Manipulationen und Phishing-Angriffe erlaubt. Vor der Schwachstelle warnt der Sicherheitsexperte David Vieira-Kurz vom Unternehmen MajorSecurity. Apple hat die Sicherheitslücke im Safari-Browser noch nicht geschlossen.

Dem Bericht auf der Website von MajorSecurity zufolge können Angreifer aufgrund einer Lücke im Webkit die Adresszeile des Safari-Browsers ändern und den Nutzer so auf manipulierte Websites leiten. Da der Nutzer nicht erkennt, dass er eine manipulierte und nicht die eigentlich gewünschte Website besucht, könnten die Angreifer dort unter Umständen erfolgreich Kontodaten oder andere sensible Informationen des Safari-Nutzers abgreifen.

Unter der Internet-Adresse http://majorsecurity.net/html5/ios51-demo.html demonstriert der Sicherheitsexperte, wie die Spoofing-Schwachstelle ausgenutzt werden kann. Beim Klick auf den Demo-Button öffnet sich eine Seite mit der Angabe "http://www.apple.com in der Adressleiste". Diese Seite wird jedoch in einem sogenannten iFrame dargestellt, in Wirklichkeit befindet sich der Nutzer jedoch auf einer von MajorSecurity gehosteten Website.

Der Sicherheitsexperte Vieira-Kurz hatte die Schwachstelle im Safari-Browser von iOS Anfang März 2012 entdeckt und Apple darüber informiert. Betroffen von dem Problem ist seiner Aussage nach der Safari-Browser in der Version 5.1 des Apple-Betriebssystems iOS, möglicherweise auch in älteren iOS-Versionen. Vorgefunden hat Vieira-Kurz den Fehler auf Geräten mit iOS 5.1 wie dem iPhone 4 und dem iPhone 4S sowie dem iPad 2 und dem iPad 3. Generation. Apple hat bislang kein Patch veröffentlicht, das die Sicherheitslücke schließt.