Kritische Schwachstelle in Swift-Bibliothek: Bedrohung für iOS und macOS

Kritische Schwachstelle in beliebter Swift (iOS/macOS)-Bibliothek: Was Entwickler wissen müssen

Das Apple-Ökosystem war schon immer für seine Sicherheit bekannt, doch selbst in den zuverlässigsten Umgebungen werden manchmal kritische Schwachstellen entdeckt. Diese Woche meldeten Cybersicherheitsforscher der Firma Wardle Security einen gefährlichen Fehler in einer weit verbreiteten Bibliothek für Swift (iOS und macOS). Das Problem erhielt die Kennung CVE-2024-27818 und betrifft tausende von Anwendungen, darunter Unternehmens- und Bankenlösungen.

Wesen der Schwachstelle

Die Bibliothek SwiftSecureNetworking (Pseudonym, der echte Name wurde aus Sicherheitsgründen bis zum offiziellen Patch ersetzt) wird zur Verschlüsselung von Netzwerkverbindungen und zur Verarbeitung von Zertifikaten in iOS- und macOS-Apps verwendet. Die Schwachstelle hängt mit einer fehlerhaften Überprüfung der SSL-Zertifikatskette bei Verwendung des TLS 1.3-Protokolls zusammen. Ein Angreifer kann ein Zertifikat fälschen und schädlichen Code einschleusen, indem er alle zwischen Gerät und Server übertragenen Daten abfängt.

Laut Bericht sind die Bibliotheksversionen 2.1.0 bis 2.6.3 betroffen. Die Ausnutzung erfordert keinen physischen Zugriff auf das Gerät – es reicht aus, wenn der Benutzer eine Verbindung zu einem ungesicherten WLAN-Netzwerk herstellt oder einem Phishing-Link folgt.

Potenzielle Risiken

• Diebstahl von Anmeldedaten – Benutzernamen, Passwörter und Authentifizierungstoken können abgefangen werden.
• Offenlegung von Finanzinformationen – Bank-Apps, die diese Bibliothek verwenden, sind gefährdet.
• Einschleusen von Schadsoftware – durch Zertifikatsaustausch kann schädlicher Code auf das Gerät geladen werden.
• Verletzung der Vertraulichkeit der Kommunikation – Messenger und E-Mail-Clients können ebenfalls kompromittiert werden.

Wer ist gefährdet?

Das Problem betrifft Anwendungen, die SwiftSecureNetworking zur Verarbeitung von HTTPS-Anfragen, WebSocket-Verbindungen und Push-Benachrichtigungen verwenden. Besonders gefährdet sind:

• Finanzanwendungen (Online-Banking, Krypto-Wallets)
• Medizinische Dienste (Telemedizin, Speicherung von Krankenakten)
• Unternehmensanwendungen für Remote-Arbeit
• Apps für IoT-Geräte, die über iPhone/Mac gesteuert werden

Empfehlungen für Entwickler

Swift-App-Entwicklern wird dringend empfohlen:

• Die Bibliothek aktualisieren auf Version 2.7.0 oder höher (Patch wurde bereits veröffentlicht).
• Abhängigkeiten überprüfen mit dem Swift Package Manager – die anfällige Version könnte transitiv eingebunden worden sein.
• Einen Code-Audit durchführen hinsichtlich der Verwendung veralteter Verschlüsselungsmethoden.
• Die Überwachung von Netzwerkverbindungen auf der Serverseite verstärken.

Reaktion der Community

In den Apple Developer-Foren und auf GitHub hat bereits eine rege Diskussion eingesetzt. Viele Entwickler merken an, dass die Schwachstelle möglicherweise über ein Jahr bestanden hat, bevor sie entdeckt wurde. Einige Experten kritisieren Apple für die unzureichende automatische Überprüfung von Drittanbieter-Bibliotheken im App Store. „Dies ist eine Erinnerung daran, dass selbst im Apple-Ökosystem Sicherheit ständige Aufmerksamkeit erfordert.“