Sicherheitsschwachstelle in Apple iOS MDM Restrictions (SYSS-2020-011)

In unserem neuen SySS Proof of Concept-Video: Apple iOS Mobile Device Management (MDM) Restriction Bypass wird eine spezielle Schwachstelle in der Mobile Device Management (MDM)-Funktionalität von Apples Betriebssystem iOS demonstriert, die von unserem IT-Sicherheitsexperten Philipp Buchegger gefunden wurde.

Apple iOS ermöglicht es, verschiedene Einschränkungen (Restrictions) für entsprechend verwaltete iOS-Geräte unter Nutzung einer Mobile Device Management-Lösung zu konfigurieren. Diese Einschränkungen können die iOS-Funktionalität, Apps oder Medieninhalte betreffen.

Im Unternehmenskontext können dadurch beispielsweise Einschränkungen auf iOS-Geräten vorgenommen werden, um sicherheitskritische Daten besser zu schützen.

In einem solchen Testszenario stellte Philipp Buchegger jedoch fest, dass es möglich ist, die "Copy & Paste"-Einschränkung (Opening documents from managed to unmanaged apps not allowed) unter Verwendung der Quick Look-Funktionalität zu umgehen, wodurch zum Beispiel das Kopieren von E-Mail-Anhängen des Firmenprofils in den Dateimanager (Files-App) des privaten Profils und in Cloud-Dienste wie iCloud möglich ist. Geschützte Dokumente aus verwalteten (Managed) Apps können damit in den Kontext nicht verwalteter (Unmanaged) Apps übertragen werden, was durch die konfigurierten MDM-Einschränkungen eigentlich verhindert werden soll.

Detaillierte Informationen zu dieser gefundenen Schwachstelle finden Sie in unserem Security Advisory/You will find detailed information about these security issues in our Security Advisory:

• SYSS-2020-011: Apple iOS - Exposure of Resource to Wrong Sphere (CWE-668)

Apple betrachtet die gezeigte Restriction Bypass-Schwachstelle nicht als Sicherheitsschwachstelle und hat sie daher in bisherigen iOS-Versionen nicht behoben.

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.