Gefahr: iOS- und Mac-Apps stürzen durch manipulierte PNGs ab

Mit speziell manipulierten PNG-Dateien können Apps unter Apples iOS oder OS X zum Absturz gebracht werden. Das Problem dabei ist, dass der Fehler im Image-I/O-Framework liegt, das von vielen Anwendungen genutzt wird, womit die Anzahl der betroffen Applikation sehr hoch ausfällt.

Auch iOS 9.3.1 und OS X 10.11.4 betroffen

Bereits Mitte Dezember des letzten Jahres meldete der Sicherheitsforscher Lander Brandt das Problem Apple. Diese teilten jedoch erst Ende März dieses Jahres mit, dass sich die Entwickler dem Problem angenommen haben. Bis heute besteht der Fehler jedoch weiterhin und betrifft dabei auch die neusten Versionen von iOS und OS X.

Der Fehler wird ausgelöst, wenn die manipulierte PNG-Datei einen unbekannten Datenblock enthält, der nicht in der von Apple zu Darstellungen verwendeten Bibliothek libpng enthalten ist. Dadurch kommt es zu einem Fehler, der sich je nach Anwendung unterschiedlich schwer auswirkt.

Teilweise schwere Folgen

Betroffen sind nicht nur von Apple entwickelte Apps, sondern auch Anwendungen von Dritt-Anbietern, die ebenfalls auf den Image I/O zugreifen. Die Auswirkung ist dabei unterschiedlich: Der Webbrowser Safari stürzt beispielsweise nicht selber ab, sondern lediglich der Renderer, der dann eine Fehlermeldung ausgibt.

Deutlich schwerwiegender ist das Problem bei der iMessage-App. Hier sorgt die manipulierte Datei dafür, dass zunächst der Springboard-Prozess, der für den Homescreen unter iOS verantwortlich ist, abstürzt. Nach kurzer Zeit, in der lediglich das Boot-Logo von Apple zu sehen ist, startet der Prozess wieder. Der Fehler tritt jedoch sofort wieder auf, sobald der Nutzer erneut die iMessage-App startet. Abhilfe schafft hier nur eine neue Nachricht, die an das betroffene Gerät geschickt wird.

Warten auf Apple

Einen Workaround oder einen Tipp, wie das Problem gänzlich vermieden werden kann, gibt es nicht, allerdings kann der Nutzer gezielt Apps einsetzen, die nicht auf Apples Image I/O setzen. So beispielsweise Google Chrome oder Mozilla Firefox als Webbrowser.