Gestern Abend gab Apple die neueste Update-Runde für mehrere seiner Betriebssysteme frei. Aktualisierungen wurden für macOS, iOS, iPadOS, watchOS und visionOS verteilt, alle mit der einheitlichen Versionsnummer 27.2.1. Inzwischen hat das Unternehmen auf seinen Support-Seiten genaueren Einblick gewährt, welche Arten von Problemen damit behoben werden. Vor allem eine Schwachstelle in Nachrichten erinnert an einen kürzlichen Vorfall mit einem anderen Messenger.


Fremde Teilnehmer in iMessage-Chat möglich
Eine der beiden Lücken in der Nachrichten-App ermöglichte es Angreifern, iMessage-Gruppen beizutreten und die Nachrichten des Gruppenchats einzusehen. Der zweite Bug würde einem neu hinzugefügten Gruppenmitglied das Lesen vorheriger Nachrichten möglich machen, die vor seinem Beitritt von den anderen Gruppenteilnehmern ausgetauscht wurden. Die im April publik gewordenen Angriffe auf Signal-Nutzer zeigen, wie attraktiv es ist, an Nachrichteninhalte hochrangiger Ziele zu kommen. Per Social Engineering sollten prominente Anwender aus der Politik dazu gebracht werden, ihre Konten mit fremden Geräten zu koppeln, um so Zugriff auf deren Chatverläufe zu erhalten.

AirPlay-Lücke ebenfalls gestopft
Zusätzlich behoben wurde eine Schwachstelle im AirPlay-Stack. Dort wäre einem Angreifer die Umgehung der Begrenzung von AirPlay-Kopplungsversuchen möglich gewesen, wenn sich Geräte miteinander verbinden. Normalerweise sind die Versuche dafür begrenzt, diese Beschränkung konnte mit dem nun behobenen Bug umgangen werden.

Weitere Lücken – fast alle systemübergreifend
Alle genannten Lücken waren plattformübergreifend und in iOS/iPadOS, macOS, watchOS und visionOS gleichermaßen vorhanden. Weitere Bugs auf allen Systemen gab es in Bluetooth, CoreUtils und rapportd. Auch diese wurden mit den Updates beseitigt. Ein zusätzlicher Fehler existierte in App Intents. Nur macOS war davon nicht betroffen.

eMudhra-Zertifikate werden deaktiviert
Auf dem Betriebssystem für Apples Desktop-Computer gab es dafür eine andere Lücke, die nur dort zum Tragen kam. Die kompromittierten Zertifikate des Anbieters eMudhra deaktivierte der Mac-Hersteller mit dem jüngsten Update zusätzlich für Kommandozeilenwerkzeuge wie Git und curl. Bereits im Oktober hatte Apple dies für seine eigenen Frameworks getan, nachdem die Kompromittierung bekannt geworden war.