WebKit-Lücken: BSI warnt vor alten iTunes-Versionen für Windows

Apple hat am 30. März iTunes 12.7.4 veröffentlicht, das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt nun explizit vor dem Einsatz einer älteren Version des Multimedia-Verwaltungsprogramm von Apple, da diese zahlreiche Sicherheitslücken aufweisen, die von Angreifern ausgenutzt werden könnten.

Die Schwachstellen in älteren iTunes-Versionen sind so umfassend, dass ein entfernter, anonymer Angreifer gleich mehrere davon ausnutzen kann, um seine Privilegien zu erhöhen, beliebigen Code auszuführen und einen Denial of Service zu verursachen. Das BSI empfiehlt deshalb allen Nutzern von iTunes die zeitnahe Installation des von Apple mit iTunes 12.7.4 bereitgestellten Sicherheitsupdates, um die Schwachstellen zu schließen.

20 Sicherheitslücken geschlossen

Apple selbst gibt eine Übersicht über die Sicherheitsupdates von iTunes 12.7.4, die mit 20 geschlossenen Sicherheitslücken umfangreich ausfallen. Die meisten Sicherheitslücken beziehen sich dabei auf die Browser-Engine WebKit, die auch in iTunes zum Einsatz kommt. Gleich 16 Schwachstellen beziehen sich auf Memory-Corruption-Probleme, die das Ausführen von schadhaftem Code ermöglicht haben. Viele von ihnen wurden im Rahmen der „Trend Micro’s Zero Day Initiative“ entdeckt. Andere beziehen sich auf Pufferüberlauf (buffer overflow), über die Privilegien erhöht hätten werden können.

Auch iCloud für Windows betroffen

Die mit der neuen Version behobenen Schwachstellen beziehen sich jedoch nicht ausschließlich auf iTunes, auch Apples iCloud-Software für Windows ist von diesen Sicherheitslücken betroffen, weshalb auch bei dieser ein Update auf Version 7.4 durchgeführt werden sollte.

iTunes für Mac nicht direkt betroffen

Die Warnung gilt ebenso wie das Sicherheitsdokument von Apple nur für die Windows-Version von iTunes und iCloud, da bei den Mac-Versionen selbst WebKit nicht Bestandteil der Softwarepakete ist, da Mac-Anwender WebKit über Safari erhalten und aktualisieren. Mac-Nutzer sollten deshalb allerdings darauf achten, stets die neueste Safari-Version einzusetzen. Derzeit ist dies Safari 11.1.