Apple hat ein neben iOS 12.1.4 auch eine Aktualisierung für macOS herausgegeben. Das Zusatzupdate für macOS 10.14.3 Mojave soll laut Apple ingesamt drei Sicherheitsmängel beheben und steht ab sofort zum Download bereit. Für ein Zusatzupdate ist die Aktualisierung mit 1,85 GB recht groß ausgefallen.


Kompatibilität mit iOS 12.1.4 und FaceTime-Gruppenchats
iOS 12.1.4 behebt einen schweren Sicherheitsmangel, bei dem Anrufer vor Annehmen eines Anrufes ausspioniert werden konnten – Apple reagierte zuerst mit der Abschaltung der FaceTime-Gruppenanruf-Funktionalität in iOS 12.1. Nach Erscheinen von iOS 12.1.4 aktivierte Apple kurz darauf die Gruppenfunktionen wieder. Beim Zusatzupdate für macOS 10.14.3 schreibt Apple, dass auch hier der bekannte FaceTime-Bug behoben wurde und Gruppenchats über FaceTime zwischen Macs und iOS-Geräten nun wieder möglich sind. Beim Mac konnte allerdings bisher nicht nachgewiesen werden, dass sich der FaceTime-Fehler auch hier ausnutzen lässt – daher wird das Zusatzupdate wahrscheinlich nur die Kompatibilität mit iOS 12.1.4 wieder herstellen anstatt auch hier eine Schwachstelle zu beheben.

Speicher-Schwachselle ausgemerzt, die aktiv ausgenutzt wurde
Ferner hat Apple einen Sicherheitsmangel behoben, über den Angreifer durch einen Speicherverwaltungsfehler höhere Rechte erhalten konnten als vorgesehen (CVE-2019-7286, bisher noch gesperrt).

Gegenüber ZDNet äußerte sich Googles Project Zero Sicherheitsteam und gab bekannt, dass dieser Fehler zumindest auf iOS-Geräten aktiv ausgenutzt wurde – Details, auf welchem Weg der Bug ausgenutzt wurde, sind leider keine bekannt.

FaceTime-Fehler bezüglich Live-Fotos
Aufgrund des Fehlers, durch den das Mithören über das Mikrofon eines Angerufenen vor Annahme des Gespräches möglich war, unterzog Apple anscheinend die gesamte FaceTime-Architektur einer Sicherheitsinspektion. Dabei scheint Apple ein Mangel bezüglich Live-Fotos und FaceTime aufgefallen zu sein, welchen Apple mit dem Zusatzupdate für macOS 10.14.3 und iOS 12.1.4 ebenfalls korrigiert. Es ist nicht bekannt, wie schwer dieser Fehler war oder ob er aktiv ausgenutzt wurde. Die CVE-Nummer wurde zwar bereits an Apple (CVE-2019-7288) vergeben, aber auch hier wurden noch keine Details zu der Schwachstelle veröffentlicht.