rj, den 3. August 2010

Jailbreak-Exploit: Malware via PDF auf iPhone und iPad droht, Fix nur für Jailbreaker

malwareDer jailbreakme-Exploit von Comex funktioniert über eine Sicherheitslücke in der PDF-Anzeige des mobilen Safari. Was dem Jailbreaker recht ist, kann Malware-Verbreitern billig sein und dementsprechend wird vor PDF-Attacken auf die iOS/iPhoneOS-Plattform gewarnt. Nur: wer die Sicherheitslücke schließen will, muss aktuell jailbreaken. Apple dürfte indes in Bälde ein Update veröffentlichen.

Paradoxe Situation: eine Sicherheitslücke auf iPhone/iPad ermöglicht den aktuellen iPhone- und iPad-Jailbreak via Website. Nur: diese Lücke können selbstredend auch Akteure mit finsteren Intentionen nutzen. Der Exploit ermögicht – wie der Jailbreak anschaulich belegt – das Ausführen beliebigen Codes auf allen jailbreakbaren Apple-Mobilgeräten. Die Lücke steht nach wie vor offen, erst mit einem kommenden Update für iOS 4 bzw. iPhoneOS wird sie voraussichtlich geschlossen.

Nun kann man sich damit behelfen, keine PDF-Dateien aus nicht vertrauenswürdigen Quellen zu öffnen. Jailbreaker können bereits jetzt die Lücke „entschärfen“ – aktuell noch etwas umständlich. Man benötigt OpenSSH (installieren via Cydia) und diese .deb-Installationsdatei. Diese kopiert man via SSH auf das iPhone/iPad ins Verzeichnis /private/var/mobile/.

Mit einem Terminalprogramm der Wahl loggt man sich nun auf dem iPhone ein:

ssh root @ (iPhone-IP)
alpine
(oder das geänderte Root-PW des iPhone/iPad)
dpkg -i com.willstrafach.pdfexploitwarner_1.0.0-4_iphoneos-arm.deb

(Alternativ kann man das auch via Localhost erledigen, wenn man auf dem iPhone eine Rootshell-App wie TouchTerm laufen hat)

Anschließend ist zwar die Sicherheitslücke nicht geschlossen, aber vor jedem Öffnen eines PDF-Links im Mobile Safari wird man gefragt, ob das File tatsächlich geöffnet werden soll. Die fehlende Link-Vorschau im Mobile Safari macht das Selberdenken in diesem Fall etwas schwierig. Alternativ: die Linkvorschau im Mobile Safari wird aktiviert, wenn man länger den Figer auf einen Link gedrückt hält: dann zeigt Safari die Ziel-URL und ein Auswahlmenü an, ob der Link geöffnet oder kopiert werden soll (thx 4 hint, byteorder). Vorteil der Vorschaunutzung sowie der Warn-App: der Jailbreak via jailbreakme.com bleibt weiterhin möglich.

Problem: um den Warner zu installieren, muss man jailbreaken. Da der Exploit Nutzer ohne Jailbreak ebenfalls bedroht, befinden sich diese aktuell in einer Zwickmühle.

Update: Eine einfachere Installationsmethode des PDF-Warners via Cydia ist via repo.benm.at-Repository erschienen – wer wenig Freude an Shell-Aktionen oder permanenten PDF-Warnungen auf dem iPhone hat, kann stattdessen nicht vertrauenswürdige Seiten meiden. Nicht-Jailbreaker sollten das solange tun, bis das kommende Update von Apple eingespielt wurde. Und dabei bedenken, dass sie dabei die jailbreakme.com-Tür vorerst unwiderruflich verschließen.

F-Secure fertigte inzwischen einen Screenie der versendeten PDF-Files zum Exploiten an und veröffentlichte einen Codeschnipsel.
[singlepic id=9121 w=425]
Nicht ganz ohne Bewunderung wird dazu Twitterer Charlie Miller zitiert:

„Ich bekomme einen Eindruck vom jailbreakme.com-Exploit. Sehr schöne Arbeit. Sehr beängstigend, wie es die Sicherheitsarchitektur Apples komplett aushebelt.“


Ähnliche Nachrichten