CVE-2024-23204 Sicherheitslücke in Apples Shortcuts

Es sind Informationen zu einer zuvor behobenen Sicherheitslücke mit hohem Schweregrad in der Shortcuts-App von Apple aufgetaucht, die es ermöglichen könnte, über eine Verknüpfung ohne Zustimmung des Benutzers auf vertrauliche Gerätedaten zuzugreifen.

Die Sicherheitslücke, identifiziert als CVE-2024-23204 mit einem CVSS-Score von 7,5, wurde von Apple am 22. Januar 2024 durch die Veröffentlichung von iOS 17.3, iPadOS 17.3, macOS Sonoma 14.3 und watchOS 10.3 behoben.

Apple erklärte in einem Hinweis, dass eine Verknüpfung möglicherweise in der Lage gewesen sei, vertrauliche Daten ohne Aufforderung des Benutzers zu nutzen, und dies wurde durch die Implementierung „zusätzlicher Berechtigungsprüfungen“ behoben.

Die Shortcuts-App ist ein Skripting-Tool, mit dem Benutzer benutzerdefinierte Workflows auf iOS, iPadOS, macOS und watchOS erstellen können. Auf diesen Betriebssystemen ist es vorinstalliert.

Sicherheitslücke bietet ernsthaftes Schadpotenzial

Die Forscher hoben die potenzielle Waffe der Schwachstelle hervor, um eine böswillige Abkürzung zu schaffen, mit der die Richtlinien zu Transparenz, Einwilligung und Kontrolle (TCC) umgangen werden können. TCC ist ein Apple-Sicherheitsframework, das zum Schutz von Benutzerdaten entwickelt wurde, indem entsprechende Berechtigungen erforderlich sind.

Die Schwachstelle ist speziell mit einer Verknüpfungsaktion namens „URL erweitern“ verknüpft, die verkürzte URLs von Diensten wie t.co oder bit.ly erweitern und bereinigen und gleichzeitig UTM-Tracking-Parameter entfernen kann.

Durch die Nutzung dieser Funktionalität wurde es möglich, Base64-codierte Daten eines Fotos an eine bösartige Website zu übertragen. Bei dieser Methode werden vertrauliche Daten (z. B. Fotos, Kontakte, Dateien und Daten aus der Zwischenablage) in Verknüpfungen ausgewählt, importiert, mithilfe der Base64-Kodierungsoption konvertiert und schließlich an den bösartigen Server gesendet.

Die exfiltrierten Daten werden dann erfasst und als Bild auf der Seite des Angreifers über eine Flask-Anwendung gespeichert, was die Tür für eine mögliche Folgeausnutzung öffnet.