Schwachstelle im iOS Mail Dienst

Schwachstelle im iOS Mail Dienst

vom 24. April 2020, 10:29 Uhr


Schwachstelle im iOS-Mail-Client
Deaktivieren Sie den Maildienst bis vom Hersteller eine Lösung bereit gestellt wird.

In allen Versionen von Apples Mail-Client (von iOS 6 bis dem aktuellen iOS 13.x) unter iOS (Apple iPhone, iPad und iPod) bestehen zwei ungepatchte Sicherheits-Lücken 1 2 3 mit der E-Mails ausgelesen, gelöscht und versandt werden können.

Zusammen mit weiteren Sicherheits-Lücken besteht auch die Möglichkeit zur Ausführung von bösartigem Programm-Code auf dem iOS-Gerät. Diese Schwachstellen wurden bereits in mehreren Fällen aktiv für Angriffe ausgenutzt.

Sie bestehen bereits seit iOS 6 (veröffentlicht im September 2012), unter dem aktuellen iOS 13.x reicht bereits der Empfang einer präparierten E-Mail vom Mail-Server zur Kompromittierung des iOS-Geräts aus.

Hinweis: Nutzer anderer E-Mail-Clients auf Apple unter iOS 6-Geräten sowie von MacOS sind von dieser Sicherheits-Lücke nicht betroffen.

Um den automatischen Empfang zu blockieren, sollten folgende Schritte durchlaufen werden:

Die Nutzer von Apples Mail-Client (von iOS 6 bis dem aktuellen iOS 13.x) unter iOS müssen folgendes beachten: Bis zum Bereitstellen eines Patches durch Apple 6 und das Einspielen durch die Anwender sollten diese den automatischen Empfang von E-Mails durch den iOS-Mail-Client manuell selbst deaktivieren, soweit dies nicht zentralisiert durch ein Mobile Device Management (MDM) erfolgen kann 4:

1. Einstellungen öffnen

2. dann zu "Passwörter & Accounts" scrollen

3. dort ganz unten auf "Datenabgleich" gehen

4. Push-Schalter: Aus

5. darunter alle Mail-Accounts, die "Push" zeigen, auf "Manuell" ändern

6. ganz nach unten scrollen und "Manuell" aktivieren.

Anschliessend die Mail-App beenden, falls sie im Hintergrund läuft:

  • Bei Geräten mit Home-Button: Doppelt drücken, ansonsten vom unteren Rand hoch wischen. Dann die Mail-App finden und beenden (z.B. durch Hochschieben) Vom Einspielen einer Beta-Version, in der die Sicherheits-Lücke bereits gefixt sein soll, raten wir für produktiv genutzte Geräte ausdrücklich ab.

Ein Sicherheits-Patch seitens Apple liegt bislang nicht vor, ebensowenig eine Beschreibung der Common Vulnerabilities and Exposures (CVE).

Bis der Hersteller eine Lösung gefunden hat, sollte der Maildienst deaktiviert bleiben.

Referenzen

[1] https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2020/Warnung_iOS-Mail_230420.html

[2] https://blog.zecops.com/vulnerabilities/unassisted-ios-attacks-via-mobilemail-maild-in-the-wild/

[3] https://www.heise.de/mac-and-i/meldung/Mail-Bugs-BSI-warnt-vor-iOS-4708945.html

[4] https://www.heise.de/forum/Mac-i/News-Kommentare/iPhones-durch-Zero-Day-Luecken-in-Apple-Mail-angreifbar/So-stellt-man-die-Mail-App-ein-damit-sie-keine-Mails-automatisch-abruft/posting-36534108/show/

[5] https://intra.dienste.niedersachsen.de/index.php/downloads-team-c/category/38-mdm

[6] https://www.apple.com/support/security/


Zu allen Meldungen zurückkehren