iOS 18.1.1 und macOS 15.1.1: Kleines Update behebt zwei Sicherheitslücken
Apple hat über Nacht mit iOS 18.1.1, iPadOS 18.1.1 und macOS Sequoia 15.1.1 ein kleines, aber wichtiges Update veröffentlicht, das zwei „aktiv ausgenutzte“ Sicherheitslücken in WebKit, der hauseigenen Browser-Engine und JavaScript behebt. Das Update steht für iPhone, iPad und Mac zur Verfügung.
Sicherheitsproblem bei Javascript
Der erste Teil des Updates behebt einen Fehler, der zumindest auf Macs mit Intel-Chip „aktiv ausgenutzt“ wurde. Die Sicherheitslücke betrifft JavaScriptCore und führt dazu, dass die Verarbeitung von manipulierten Webinhalten zur Ausführung von schädlichem Code möglich wird.
Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited on Intel-based Mac systems.
Apple
Der Konzern hat diesen Fehler nun behoben, nach eigener Aussage durch verbesserte Checks.
Lücke in WebKit
Die zweite Sicherheitslücke betrifft die hauseigene Browser-Engine WebKit, die im Safari-Browser zum Einsatz kommt. Auch hier gibt Apple zu, dass die Lücke aktiv auf Macs mit Intel-Chip ausgenutzt wurde. Ebenso sind es wieder manipulierte Webinhalte, die hier aber die Auslösung einer Cross-Site-Attacke (XSS) ermöglichen.
Das ist insofern kritisch, als dass der schädliche Code den Nutzer über andere Webseiten begleitet und Daten wie Passwörter oder E-Mail-Adresse ausführt. Zudem kann der Code die Sitzung kapern und Aktionen im Namen des Nutzers ausführen.
Processing maliciously crafted web content may lead to a cross site scripting attack. Apple is aware of a report that this issue may have been actively exploited on Intel-based Mac systems.
Apple
Apple hat den Fehler jetzt durch ein verbessertes Cookie-Management behoben. Wer mehr Details sowie die Bugzilla-Nummern oder CVE-Zeichen erfahren möchte, kann diese auf der Sicherheitsseite zu iOS 18.1.1 einsehen.
Update steht überall bereit
Das Update steht für die betroffenen Geräte per Download zur Verfügung. Apple weist daraufhin, dass dies alle iPhones, iPads und Macs sind, die ohnehin schon die Hauptversion unterstützen. Modelle, die nicht mehr über das aktuelle Betriebssystem verfügen, erhalten mit iOS 17.7.2 ebenfalls baugleiche Fehlerbehebungen.
Außerdem stehen die Aktualisierungen über visionOS 2.1.1 auch für die Apple Vision Pro zur Verfügung. Für tvOS steht kein Update zur Verfügung, das Betriebssystem bietet jedoch auch keinen Browser. Einzig die Apple Watch bietet noch einen Embedded-Browser, bloß keine vollständige App. Ein Update steht dennoch nicht zur Verfügung.
Wenn eingestellt, wird das Update automatisch aufgespielt. Es kann über die Einstellungen im Bereich „Allgemein“ und dann „Softwareupdate“ auch manuell angestoßen werden, um die Sicherheitslücken gegebenenfalls früher zu schließen.