Probleme mit alternativen App Stores
iOS 17.5 stopft 15 Sicherheitslücken und verärgert Entwickler
Apple hat mit iOS 17.5 insgesamt 15 Sicherheitslücken gestopft. Was prinzipiell gut ist, muss diesmal aber mit zwei kritischen Anmerkungen versehen werden. Zum einen sorgen die Änderungen dafür, dass sich die alternativen App Stores nicht mehr problemlos nutzen lassen. Und zudem hält es Apples Sicherheitsteam nicht für nötig, dem Entdecker einer Kernel-Sicherheitslücke eine angemesse Belohnung zukommen zu lassen.
Neuer Fehler trifft EU-Nutzer
Auf das erste oben angesprochene Problem macht der Sicherheitsforscher Tommy Mysk aufmerksam. Apple hat mit iOS 17.5 einen von seinem Team gefundenen Fehler korrigiert, der im Zusammenspiel mit Apples sogenanntem MarketplaceKit das Tracking von Nutzern von alternativen App-Stores ermöglicht hat.
Holy moly!
iPhone users in the EU: DO NOT delete your alternative marketplace appsiOS 17.5 breaks alternative marketplace app re-installation. MarketplaceKit now generates a different client_id every time it is called. Now there's no way for alternative marketplace developers… pic.twitter.com/eRqKM8Tlre
— Mysk 🇨🇦🇩🇪 (@mysk_co) May 13, 2024
Apples Fehlerbehebung führt nun allerdings dazu, dass sich die in einem alternativen App-Store geladenen Apps nicht erneut installieren lassen, wenn sie gelöscht wurden. Die Nutzer erscheinen dort jetzt jeweils mit unterschiedlichen Kennungen, was deren Identifikation und damit den erneuten gebührenfreien Download von zuvor gekauften Apps verhindert.
Kernel-Schwachstelle keine Belohnung wert
Beim zweiten Kritikpunkt im Zusammenhang mit dem gestern veröffentlichten iOS-Update bleibt die Hoffnung, dass es sich hier um einen – wenn auch peinlichen – Fehler handelt.
Der Sicherheitsforscher Meysam Firouzi hat auf eine Schwachstelle hingewiesen, auf deren Basis Apps beliebigen Code mit Kernel-Privilegien ausführen konnten. Apple hat den unter der Kennung CVE-2024-27804 geführten Fehler korrigiert, hält es allerdings nicht für nötig, dem Entdecker eine angemessene Belohnung zukommen zu lassen.
C’mon Apple, iOS kernel vulnerability is not eligible for bounty? What would then be?
It could have been ended up in @DonnchaC or @jsrailton blogs. 🤦♂️ https://t.co/yJG7dw3pEe pic.twitter.com/TtDDq2OaxB— Meysam (@R00tkitSMM) May 14, 2024
Apples Sicherheitsteam hat dies mit dem Hinweis begründet, dass der Fehlerbericht die für eine sogenannte „Bug Bounty“ erforderlichen Kriterien nicht erfüllt. Gleichermaßen wird Firouzi jedoch als Entdecker dieser Schwachstelle in den Hinweisen zum Update genannt. Auf dem Schwarzmarkt hätte Firouzi vermutlich problemlos einen stattlichen Geldbetrag für den Hinweis auf diese Lücke absahnen können.