Apple HomeKit Bug könnte iOS-Geräte unbrauchbar machen

Ein Sicherheitsforscher hat Details zu einem Apple HomeKit-Bug veröffentlicht, der Verweigerung des Dienstes kann bei verbundenen iOS-Geräten auftreten und bleibt nach Neustarts bestehen. Der Forscher sagte, er habe Apple den Fehler im August gemeldet.

Sicherheitsforscher Trevor Spiniolas, der den Fehler entdeckt hat, nennt die Schwachstelle Doorlock und veröffentlicht einen Proof-of-Concept auf GitHub. Der Fehler steckt in Apples HomeKit-API für Smart-Home-Geräte. Der Fehler tritt auf, wenn Angreifer ein HomeKit-Gerät mit einem langen Namen von ungefähr 500,000 Zeichen einrichten. iOS-Geräte, die sich dann mit diesem Gerät verbinden, reagieren auch nach einem Neustart nicht mehr. Wenn Benutzer ein iOS-Gerät auf die Werkseinstellungen zurücksetzen, sich dann aber am iCloud Konto, das mit dem HomeKit-Gerät verknüpft ist, wird der Fehler erneut ausgelöst.

Spiniolas berichtet, dass jede iOS-App mit Zugriff auf Apple Home-Daten HomeKit-Geräte umbenennen kann. Solche Apps können also die Schwachstelle ausnutzen. Apple hat in iOS 15.1 eine Begrenzung der Länge von HomeKit-Namen eingeführt und laut dem Forscher möglicherweise schon in 15.0, sodass dies auf kürzlich aktualisierten iOS-Geräten nicht mehr möglich ist. Allerdings können HomeKit-Geräte, die bereits umbenannt wurden, iOS-Geräte, auf denen die neuesten iOS-Versionen ausgeführt werden, immer noch „einfrieren“.

Der Forscher betont, dass es wahrscheinlicher ist, dass die Schwachstelle ausgenutzt wird, indem ein Heimnetzwerk erstellt und Personen per Phishing-E-Mails dazu eingeladen werden. Laut Spiniolas können sich Benutzer gegen den Fehler wehren, indem sie Einladungen zu unbekannten Heimnetzwerken ignorieren. iOS-Nutzer, die selbst HomeKit-Geräte nutzen, können sich teilweise schützen, indem sie im Control Center „Show Home Controls“ deaktivieren.

Spiniolas sagte, es habe Apple den Fehler am 10. August gemeldet. Laut dem Forscher gab Apple an, dass es „vor 2022“ einen Fix geben würde, aber letzten Monat passte er dies auf „Anfang 2022“ an, woraufhin Spiniolas Apple dies mitteilte wird den Fehler Anfang 2022 öffentlich machen. Der Fehler wurde von Apple noch nicht behoben. Der Forscher wurde zuvor wegen eines Fehlers in macOS kontaktiert, der 2019 gepatcht wurde.

Spiniolas glaubt, dass Apple zu langsam war, um auf seinen ersten Bericht zu reagieren. Der Forscher teilt E-Mails mit The Verge, in denen ein Apple-Mitarbeiter den Fehler einräumte und Spiniolas bat, bis Anfang 2022 keine Details zu Doorlock zu veröffentlichen. Apple hat die Veröffentlichung noch nicht öffentlich kommentiert.

Apple steht seit langem für sein Bug-Bounty-Programm in der Kritik. Von den großen Technologieunternehmen ist die Richtlinie zur verantwortungsvollen Offenlegung von Apple die jüngste. Obwohl Apple relativ hohe Belohnungen ausschüttet, beschweren sich ethische Hacker seit Jahren über langsame Fehlerbehebungen und Benachrichtigungen, die scheinbar in schwarzen Löchern verschwinden. habe bereits letztes Jahr einen Artikel über diese Probleme geschrieben.