Der seit iOS 11 in Apples Kamera-App integrierte QR-Scanner birgt einer Meldung zufolge eine gravierende Sicherheitslücke. Angreifer können Nutzer demnach mit einem manipulierten QR-Code auf Internetseiten locken, die Schadcode enthalten. Der Trick: Der tatsächliche Ziellink des jeweiligen Codes unterscheidet sich von der URL, die unter dem QR-Muster angezeigt wird.


QR-Code lockt Nutzer auf Schadcode-Website
Die von Infosec demonstrierte Lücke lässt sich vergleichsweise einfach ausnutzen. Infosec zeigt es anhand eines QR-Codes, dessen URL facebook.com anzeigt. Der wirkliche Link führt aber zu https://infosec.rm-it.de/. Um dies zu erreichen, musste lediglich folgende Zeichenfolge im QR-Element integriert werden: https://xxx\@facebook.com:443@infosec.rm-it.de/. Die Kamera-App in iOS zeigt die erste URL an, leitet den Nutzer jedoch zur zweiten weiter.


Zum Einsatz kam nicht die aktuelle Version von iOS, sondern 11.2.1. Doch das Problem besteht laut der Meldung nach wie vor. Das Sicherheitsleck sei Apple bereits am 23. Dezember 2017 gemeldet worden, ohne dass das Unternehmen in der Zwischenzeit etwas dagegen unternahm, so Infosec.