Außer der Reihe: Sicherheitsupdates für fast alle Apple-Geräte

Ohne Betaphase hat Apple in der Nacht zum Dienstag Aktualisierungen für nahezu alle wichtigen Betriebssysteme zum Download bereitgestellt. Der Konzern stopft damit Sicherheitslücken, die auch in älteren Softwareständen steckten. Dabei geht es unter anderem um Angriffe per Bluetooth und AirPlay sowie die Möglichkeit, sich in iMessage-Gruppen „einzuhacken“. Die Updates sollten so schnell wie möglich eingespielt werden.

Fiese Fehler in Bluetooth, AirPlay und iMessage

iOS 27.2.1 und iPadOS 27.2.1 stopfen insgesamt neun Löcher. Via AirPlay und Bluetooth war es möglich, Geräte anzugreifen. Fehler in AirPlay erlaubten es, das Rate-Limit zu umgehen, womit externe Angreifer in der Nähe Pairing-Codes knacken konnten – und damit Zugriff auf Bild- und Tonsignale anderer Geräte bekamen. Ein weiterer Fehler in Rapportd betraf ebenfalls die Umgehung des Rate-Limits bei AirPlay-Pairing-Codes. Über Bluetooth war es zudem möglich, Verarbeitungsspeicher zu korrumpieren – ob darüber auch Hacks durchführbar waren, ist bisher unklar.

Zwei Fehler in CoreUtils hatten ebenfalls mit Bluetooth zu tun und erlaubten ein Pairing ohne Eingriff durch den tatsächlichen Nutzer sowie ebenfalls eine Rate-Limit-Umgehung beim Bluetooth-Code. In iMessage war es wiederum möglich, aus der Ferne Chat-Gruppen beizutreten und deren Nachrichten zu empfangen – sowie Nachrichten zu senden, bevor man Teil der Gruppe war. Einen weitverbreiteten Bug im Kompressionsformat Brotli, der bereits ausgenutzt wird, stopfte Apple ebenfalls. App Intents ermöglichte es wiederum, sensible Daten abzugreifen.

Updates für ältere Betriebssysteme

In macOS 27.2.1 sind acht der neun Lücken aus dem iOS- und iPadOS-Update behoben. App Intents scheint hier nicht betroffen zu sein. Außerdem wurden watchOS (auf 27.2.1), bei dem alle Lücken aus iOS und iPadOS steckten, sowie visionOS (nun 27.2.1), das ebenfalls voll betroffen war, aktualisiert. Ältere Versionen bekommen ebenfalls Patch-Pakete: iOS und iPadOS 26.7.3 (acht von neun Lücken geschlossen, App Intents fehlt), iOS und iPadOS 18.7.12 (sechs Bugs behoben, zusätzlich ein AirPlay-Fehler in MediaRemote, iMessage-Patches fehlen) sowie macOS Tahoe 26.7.3 (alle Lücken außer App Intents) und macOS Sequoia 15.8.3 (dito).

Bis auf die erwähnten Brotli-Angriffe, die derzeit offenbar noch nicht direkt auf Apple-Geräte abzielen, gibt es keine Berichte über verfügbare Exploits für die anderen Lücken. Doch die könnten nun schnell folgen. Warum tvOS nicht aktualisiert wurde, ist ebenfalls unklar. Auch dort gibt es AirPlay- und Bluetooth-Stacks.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Preisvergleich (heise Preisvergleich) geladen.

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (heise Preisvergleich) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.