News iOS 9.3.5: Apple schließt bereits genutzte Sicherheitslücken

[Christopher-21]

Mit dem Update auf iOS 9.3.5 für iPhone, iPad und iPod touch schließt Apple erhebliche Sicherheitslücken. Sie sollen bereits zu Spionagezwecken ausgenutzt worden sein. Neue Funktion finden hingegen erst wieder mit iOS 10 Einzug. Durch Einstellung der Updates auf iOS 9.3.2 und 9.3.3 verhindert Apple zugleich Jailbreaks.

Zur News: iOS 9.3.5: Apple schließt bereits genutzte Sicherheitslücken

 

[Nitschi66]

Durch Einstellung der Updates auf iOS 9.3.2 und 9.3.2 verhindert Apple zugleich Jailbreaks

Früh am morgen, ich weiß :-(
Edit: und schon geändert

Habe die Version jetzt auf meinem iPhone 6 runtergeladen. Die knapp 39,5 MB gingen schnell, aber das "update vor[zu]bereiten" dauert relativ lange muss ich sagen.

Edit2: So fertig. Knappe 8 Minuten gedauert und Energie im Akku von 98% Akku auf 93% gesunken

 

[Kazuja]

Guten Morgen,

schön das Apple so schnell reagiert.

Hoffentlich funktioniert dann alles noch.

Schönen Freitag, Kazuja

 

[kaji-kun]

Update läuft fehlerfrei auf meinem 6er und meinem iPadMini2

 

[Mextli]

Guten Morgen,
schön das Apple so schnell reagiert.

Schnell reagiert? Die Lücke wird bereits aktiv genutzt....
Spamm Posting?

 

[Ghostshield]

Schnell reagiert? Die Lücke wird bereits aktiv genutzt....
Spamm Posting?

Android hat Lücken die nie geschlossen werden.

 

[moodo]

Schnell reagiert? Die Lücke wird bereits aktiv genutzt....
Spamm Posting?

Sehe ich genau so. Es ist ein Unding, dass Apple nicht vor der Sicherheitslücke gewarnt hat und einfach 'heimlich' ein Softwareupdate veröffentlicht.

 

[Merle]

Schnell reagiert? Die Lücke wird bereits aktiv genutzt....

Und ist ZEHN Tage nach Bekanntgabe an Apple bereits per schon im Release befindlichem Patch geschlossen. Ein feuchter Traum für Androiduser. Ist dein Post ein Spampost?

 

[iSight2TheBlind]

@Mextli
Aber nicht von Jailbreakern oder in einem "verbreiteten" Angriff, sondern durch eine professionelle "Sicherheitsfirma", die ihre Software an Dik... Regierungen verkauft.

Bei sowas kann man nur fixen nachdem man über irgend einen Weg den Hinweis auf die ausgenutzten Lücken bekommen hat, da kann man nicht einfach mal alle Jailbreaks runterladen, analysieren und die Lücken fixen.

 

[easy.2ci]

was passiert eigentlich, wenn ein bereits von der Software befallenes Gerät jetzt das ios Update ausführt?

Wird dadurch die Schadsoftware auch wieder runtergeschmissen?

Oder kann das IOS Update nur vor zukünftigem Befall schützen?

 

[AntiUser]

Schnell reagiert? Die Lücke wird bereits aktiv genutzt....
Spamm Posting?

Die Lücke wurde nach bekannt werden von Apple in 10 Tagen behoben! Diese Lücke war nur einfach lange nicht bekannt. Die Geheimdienste sind ja nicht doof Apple so etwas auch noch zu verraten. Die haben übrigens einige Millionen für diese drei Lücken bezahlt. Das zeigt auch wie selten solche Lücken sind.

 

[Merle]

@easy.2ci:
So wie bei einem Jailbreak. Die ersten Stufen des Bootloaders lassen sich nur mit Hardwarelücken (wie damals Blackra1n nutzte) aushebeln und somit könnten diese ein Update überleben.
Niemals gelang es Jailbreakern, einen Jailbreak über ein Update hinweg bestehen zu lassen.
Heißt nicht, dass es nicht möglich ist (das ist es wohl immer irgendwie), aber bisher ist bei Apple sowas nicht bekannt.
Die Images sind signiert und prüfen beim Reinstall normalerweise kritische Systemdateien.
So würde ich davon ausgehen, dass, selbst wenn die Software nach dem Reboot noch drauf ist, durch die behobenen Sicherheitslücken keine Möglichkeit mehr besteht, dass diese automatisch wieder starten oder aus der vorgesehenen Sandbox ausbrechen. In erster Linie denke ich nicht, dass diese Daten das Upgrade allerdings überhaupt erst überstehen.

 

[rentex]

Tja, das zum Thema Apple und "frei von Schadsoftware" usw...

 

[Moriendor]

Und wat is mit iOS 7.1.2 bzw. iPhone 4 Usern und älter? Betrifft die Lücke nur neuere iOS Versionen oder sind die Besitzer älterer i-Geräte schlicht und ergreifend gef*****? Da könnte Apple sich ja freundlicherweise auch mal zu äußern...

 

[Augen1337]

Hat hier niemand behauptet. Weiss ja nicht in welchen Expertenkreisen du dich sonst bewegst...

@Moriendor: Ja genau. Warum sagt eigentlich Microsoft nix über neue Lücken in WinXP?

@(+) "Du musst immer das neueste iPhone haben"
Nein musst du nicht? Wtf.

 

[Ghostshield]

Und wat is mit iOS 7.1.2 bzw. iPhone 4 Usern und älter? Betrifft die Lücke nur neuere iOS Versionen oder sind die Besitzer älterer i-Geräte schlicht und ergreifend gef*****? Da könnte Apple sich ja freundlicherweise auch mal zu äußern...

Iphone 4? nichtmal das 4S was ich vorher hatte war noch zu gebrauchen.
Langsam, träge, ruckler.

BTW: hab ein 4er mit ios 7.1.2 das ist zu nix mehr zu gebrauchen, ausser als festnetz telefon. (Telekom Hometalk)

 

[Toms]

Und ich hoffe bei jedem Update, dass Apple den Support für den WLAN Call im Telekom-Netz nachschiebt. Da das ganze wie in den USA auf dem selben Standard basiert (T-Mobile bietet dort WiFi Calling bereits seit Jahren an) hoffe ich, dass das ganze schnell kommt

 

[JanFriedrich]

Ruhig bleiben, diese Lücke wurde nur sehr, sehr gezielt genutzt, nicht wie euer android welches für jeden offen wie ein Scheunentor ist.

Gut dass Apple so schnell reagiert und ein Update nachschiebt - genau deshalb gilt für mich auch: iOS und nix anderes!

Die Hater-Fraktion spamt hier ja auch schon wieder ordentlich.

Und manche verlangen hier ernsthaft für ein Gerät aus dem Jahr 2010 noch Updates - lol

Ich hab noch ein 4er in Gebrauch: ZUm Musikhörn im Auto, funktioniert eindwandfrei !

 

[Moriendor]

Iphone 4? nichtmal das 4S was ich vorher hatte war noch zu gebrauchen.
Langsam, träge, ruckler.

BTW: hab ein 4er mit ios 7.1.2 das ist zu nix mehr zu gebrauchen, ausser als festnetz telefon. (Telekom Hometalk)

Also ich als Nicht-Mäusekino-Zocker, Nicht-Mäusekino-Video-Glotzer, Nicht-Pokemon-Suchti, sondern Nur-Telefonierer, iMessage-Schreiber, Bluetooth Audio-Streamer, Mailempfänger und gelegentlicher Safari-Surfer/Map-Nutzer habe an meinem iPhone 4 nichts, aber auch wirklich absolut NICHTS auszusetzen und sehe es nicht ein, der Herde der Komsumschafe beizutreten, die jedes Jahr €700+ für ein neues Phone ausgeben MÜSSEN, weil man ja sonst nicht mehr hip ist.

Mein iPhone 4 verrichtet zuverlässig seine Dienste und funktioniert für meine Zwecke ganz hervorragend und absolut einwandfrei. Wenn jemand Probleme hat, weil er sein älteres iPhone mit Crapware und Malware-Apps überladen hat, dann ist das dessen Problem und keineswegs eine repräsentative Aussage zum generellen Zustand von iOS 7.1.2 oder iPhone 4.

 

[Sun_set_1]

@easy.2ci:
So wie bei einem Jailbreak. Die ersten Stufen des Bootloaders lassen sich nur mit Hardwarelücken (wie damals Blackra1n nutzte) aushebeln und somit könnten diese ein Update überleben.
Niemals gelang es Jailbreakern, einen Jailbreak über ein Update hinweg bestehen zu lassen.
Heißt nicht, dass es nicht möglich ist (das ist es wohl immer irgendwie), aber bisher ist bei Apple sowas nicht bekannt.
Die Images sind signiert und prüfen beim Reinstall normalerweise kritische Systemdateien.
So würde ich davon ausgehen, dass, selbst wenn die Software nach dem Reboot noch drauf ist, durch die behobenen Sicherheitslücken keine Möglichkeit mehr besteht, dass diese automatisch wieder starten oder aus der vorgesehenen Sandbox ausbrechen.

Naja, generell ist das schwierig zu beantworten. Im vorliegenden Fall wird auch Apple die Software genau analysiert und entsprechende Gegenmaßnahmen getroffen haben. Es ist also zu 99,9% davon auszugehen, dass ein Update in diesem Fall reicht.

Generell sieht das aber mit nicht entdeckten Jailbreaks etwas anders aus. Ein Update wird z.B. immer die Sandboxes und Code-Signing Module wieder aktivieren. Ein 0-Day könnte darauf aber entsprechend reagieren und diese auch nach Update wieder deaktivieren. Denn wie gesagt, es ist / wäre ein 0-Day und würde daher zum einen nicht bewusst bekämpft und zum anderen könnte es weiterhin bestehende Sicherheitslücken nutzen um eben die Code-Signing, ASLR-Module etc. pp. wieder zu deaktivieren. Oder man hält sich nur ein 0-Day offen, das die Fähigkeit besitzt immer wieder Module aktiv nachzuladen. So könnte man bequem auf jedwedes Update reagieren... schwieriges Thema.

Etwas mehr Sicherheit würden Tools wie SysSecInfo bringen, die allerdings von Apple aus dem Store gebannt wurden. Vordergründig da private API's zur JB-Detection verwendet werden (LMAO, was ist denn bitteschön mit Paypal, Banken und Kreditkarten Apps, VOD Anbieter etc pp...?)

Hier hat Apple ganz klar Nachholbedarf im Umgang mit diesen Sachen. Auch wenn Apples Verhalten und Geschwindigkeit bei Sicherheitsthemen dem von Google voraus ist, hier hängen sie leider weit hinten an.