Am Dienstagabend hat Apple, nach "goto fail", eine weitere kritische Schwachstelle bei SSL-Verbindungen in Mac OS X sowie iOS 7 beseitigt. Der iPhone-Hersteller erklärt, dass ein Angreifer mit Zugriff auf den Netzwerkverkehr dadurch in der Lage ist, SSL-verschlüsselte Verbindungen mitzuschneiden.

Durch die Lücke in dem Secure-Transport-Mechanismus ist es möglich, den Triple-Handshake beim Aufbau verschlüsselter Verbindungen auszunutzen. Secure Transport überprüft nun beim Wiederaufbau einer Verbindung , ob das gleiche Server-Zertifikat wie bei der ursprünglichen Verbindungsaufnahme vorliegt – dies soll dieses Angriffsszenario verhindern, schreibt Apple.

Das Sicherheits-Update 2014-002 schließt, neben dem am Dienstagabend veröffentlichten iOS 7.1.1, die Lücke in OS X. Betroffen sind dort laut Apple 10.8 Mountain Lion sowie OS X 10.9 Mavericks, angeblich weisen frühere OS-X-Versionen die Schwachstelle nicht auf. Für die iOS-basierte Apple-TV-Software ist das Sicherheits-Update in Version 6.1.1 erhalten. Unklar bleibt, ob ältere iOS-Versionen betroffen sind, .

iApple TV 6.1.1 und OS 7.1.1 sollen zudem weitere Sicherheitslücken beseitigen, darunter Schwachstellen in WebKit, die das Ausführen von Schadcode bei Aufruf einer manipulierten Webseite unter Umständen erlauben.

Das Sicherheits-Update 2014-002 für 10.7 Lion (und Lion Server) 10.8 Mountain Lion sowie OS X 10.9 Mavericks, stopft ebenfalls eine ganze Reihe spezifischer Schwachstellen in den verschiedenen Mac Betriebssystemversionen, darunter auch in Intels Kernel und WindowServer und Grafiktreibern.

Apple hat außerdem die neue Firmware 7.7.3 für Time Capsule und die WLAN-Basisstationen AirPort Extreme zum Download bereitgestellt. Sie soll die Heartbleed-Schwachstelle in OpenSSL beseitigen. Ausschließlich die jüngste AirPort-Generation mit 802.11ac-Unterstützung, wenn die Fernzugriffsfunktion "Back to My Mac" oder das Verschicken von Diagnoseinformationen aktiv ist, ist laut Apple betroffen.

Es sei möglich gewesen bei einem Man-in-the-Middle-Angriff auf den Anmeldedialog zuzugreifen, erklärte Apple gegenüber Macworld.com – angeblich ließen sich Passwörter nicht auslesen. Unter Umständen müssen Nutzer nach dem Einspielen des Firmware-Updates "Back to My Mac" erneut aktivieren.

(mt, hannover)

(siehe auch Heise-News Ticker :)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE