Apple ignoriert gemeldete Sicherheitslücken in iOS 15, die angeblich Nutzerdaten gefährden

Apple hat zu Beginn dieser Woche ein umfangreiches Update für sein mobilen iOS-Betriebssystems für iPhones veröffentlicht, was unter der Versionsnummer 15 geführt wird. Neben vielen spannenden Features und Neuerungen, von denen es wie üblich aber nicht alle auf ältere iPhones geschafft haben, beinhaltet das Update anscheinend aber auch signifikante Sicherheitslücken, mit deren Ausnutzung die Nutzerdaten auf den Apple Smartphones kompromittiert werden könnten. Ausgangspunkt dieser Behauptung ist ein anonymer Sicherheitsforscher, der an Apples Security Bounty Programm teilnimmt, welches bis zu eine Million US-Dollar für das Melden bisher unentdeckter Sicherheitslücken in Apples Software zahlt.

Dies berichtet unter anderem MacRumors. Zwischen März und Mai diesen Jahres habe der Entwickler über dieses Programm angeblich vier sicherheitsrelevante Schwachstellen gemeldet, von denen aber nur eine einzige mit dem Update auf iOS 14.7 behoben wurde. Für diese gemeldete Schwachstelle habe der Sicherheitsforscher angeblich keinerlei Rückmeldung oder gar die angepriesene Vergütung bekommen. Viel ärgerlicher sei für den anonymen Hinweisgeber jedoch, dass drei seiner entdeckten Schwachstellen auch unter iOS 15 nach wie vor zu existieren scheinen.

Bei einem Exploit, der in Verbindung mit Apples Game Center steht, kann jede auf dem Gerät installierte App angeblich beliebig auf Nutzerdaten zugreifen, was alleine schon ein hohes Sicherheitsrisiko darstelle. Unklar bleibt, ob es sich hierbei um gerechtfertigte Anschuldigungen und reale Sicherheitsrisiken, oder eher um eine Retourkutsche des verärgerten Sicherheitsforschers gegenüber Apple handelt. Der Konzern aus Cupertino verhält sich bei Sicherheitsupdates in der Regel vorbildlich, wie unter anderem der kürzliche Release von iOS 12.5.5 für ältere iPads und iPhones, wie dem iPhone 6 Plus (ab 229 Euro bei Amazon), veranschaulicht.

Update vom 28. September

Apple hat sich in der Angelegenheit mittlerweile zu Wort gemeldet und sich öffentlich bei dem Sicherheitsforscher entschuldigt. Das Unternehmen befinde sich noch in der Prüfung dieser Exploits und entschuldigte sich deshalb für die Verzögerung.