Dieser Beitrag kann Partnerlinks enthalten. Mehr dazu im Partnerprogramm.
Mit iOS 27.2.1 hat Apple keine neuen Funktionen verteilt, dafür eine kurze, aber ungewöhnliche Sicherheitsliste. Ein Angreifer aus der Ferne konnte sich in iMessage-Gruppenkonversationen einklinken und mitlesen, mehrere weitere Lücken betreffen das Koppeln über Bluetooth und AirPlay.
Am Abend des 9. November hat Apple iOS 27.2.1, macOS 27.2.1 und weitere Updates verteilt, zunächst ohne Angaben zu den Sicherheitsinhalten. Inzwischen stehen die Dokumente in Apples Übersicht. Für iOS 27.2.1 und iPadOS 27.2.1 führt Apple neun Lücken auf.
Über alle neun Dokumente hinweg sind es zehn verschiedene Lücken. Zum Vergleich: Die Updates vom 26. Oktober hatten 329 verschiedene Sicherheitslücken geschlossen. Alle Beiträge zur Version bündelt die Themenseite zu iOS 27.2.1.
Das Wichtigste in Kürze
- iOS 27.2.1 und iPadOS 27.2.1 schließen neun Lücken, über alle Systeme sind es zehn verschiedene
- Über eine Lücke in Nachrichten konnte ein Angreifer aus der Ferne einer iMessage-Gruppenkonversation beitreten und deren Nachrichten empfangen
- Vier Einträge betreffen das Koppeln über Bluetooth und AirPlay, teils ohne Zutun des Nutzers
- Hinweise auf Angriffe nennt Apple bei keiner der Lücken
- Auch iPhones mit iOS 26 und iOS 18 sowie Macs mit macOS Tahoe und Sequoia bekommen Korrekturen
Fremde in der Gruppenkonversation
Die auffälligsten Einträge betreffen Nachrichten. Ein Angreifer aus der Ferne konnte einer iMessage-Gruppenkonversation beitreten und deren Nachrichten empfangen. Apple beschreibt die Ursache als Berechtigungsproblem, das mit strengeren Prüfungen behoben wurde.
Eine zweite Lücke in derselben App betraf Personen, die einer Gruppe hinzugefügt wurden. Sie konnten Nachrichten sehen, die vor ihrem Beitritt verschickt worden waren. Apple hat den betroffenen Code dafür entfernt.
Beide Fehler schließt Apple in iOS 27.2.1, iOS 26.7.3, den drei Mac-Updates, watchOS 27.2.1 und visionOS 27.2.1. In der Liste zu iOS 18.7.12 tauchen sie nicht auf.
Koppeln ohne Zustimmung
Vier Einträge drehen sich um das Koppeln von Geräten. Bei zwei Lücken konnte ein Angreifer in Bluetooth-Reichweite die Begrenzung für Versuche mit dem Kopplungscode umgehen, bei einer davon sogar ein Gerät ohne Zutun des Nutzers koppeln. Eine weitere erlaubte einem schädlichen Bluetooth-Gerät die Kopplung ohne Interaktion.
Dazu kommt eine Lücke, über die ein Angreifer im selben Netzwerk die Begrenzung für Versuche mit dem AirPlay-Code aushebeln konnte. Ein Fehler im Bluetooth-System selbst konnte zudem den Arbeitsspeicher eines Prozesses beschädigen. Die neunte Lücke steckt in einer Komponente zur Datenkompression, über die manipulierte Eingaben den Speicher beschädigen konnten.
Nur in iOS 18.7.12 für ältere Geräte steckt eine zehnte Korrektur: Mit physischem Zugriff ließ sich ein Gerät vom Sperrbildschirm aus mit einem AirPlay-Empfänger koppeln.
Mac: Terminal-Werkzeuge lehnen eMudhra-Zertifikate ab
Auf dem Mac bringt macOS 27.2.1 noch eine Korrektur mit, die nicht in der Sicherheitsliste steht. Seit dieser Version akzeptieren Befehlszeilentools wie curl und git die kompromittierten Zertifikate des Anbieters eMudhra nicht mehr, wie Apple in seinem Support-Dokument zu den betroffenen Zertifizierungsstellen schreibt. Für Macs mit älteren Systemen enthalten macOS 26.7.3 und macOS 15.8.3 denselben Schutz.
Safari, Mail und Apps, die Apples Netzwerk- und Sicherheitsframeworks nutzen, blockieren die Zertifikate bereits seit Oktober. Einige Werkzeuge im Terminal prüfen dagegen gegen eine separate Zertifikatsdatei des Systems und haben die Zertifikate bis zu diesem Update weiter akzeptiert. Wer seinen Mac nicht aktualisieren kann, findet in Apples Dokument eine Anleitung, die betroffenen Stammzertifikate von Hand aus dieser Datei zu entfernen.
Welche Geräte was bekommen
| Update | Geräte laut Apple | Lücken |
|---|---|---|
| iOS 27.2.1 und iPadOS 27.2.1 | iPhone 11 und neuer, iPad (9. Generation) und neuer | 9 |
| iOS 26.7.3 und iPadOS 26.7.3 | iPhone 11 und neuer, iPad (8. Generation) und neuer | 8 |
| iOS 18.7.12 und iPadOS 18.7.12 | iPhone XS, iPhone XS Max, iPhone XR, iPad (7. Generation) | 6 |
| macOS Golden Gate 27.2.1 | Macs mit macOS Golden Gate | 8 |
| macOS Tahoe 26.7.3 | Macs mit macOS Tahoe | 8 |
| macOS Sequoia 15.8.3 | Macs mit macOS Sequoia | 8 |
| watchOS 27.2.1 | Apple Watch Series 9 und neuer | 9 |
| watchOS 26.6.1 | Apple Watch Series 6, Series 8, SE (1. und 2. Generation), Ultra | 5 |
| visionOS 27.2.1 | Apple Vision Pro (alle Modelle) | 9 |
Die iPad-Angaben sind verkürzt; zu den Geräten zählen auch iPad Pro, iPad Air und iPad mini der jeweils passenden Generationen. Für tvOS gibt es kein Update.
Nur iOS 27.2.1, watchOS 27.2.1 und visionOS 27.2.1 schließen zusätzlich einen Fehler bei App Intents, über den eine App auf sensible Nutzerdaten zugreifen konnte. In der Liste zu macOS Golden Gate 27.2.1 steht er nicht.
Warum die kurze Liste mehr Gewicht hat, als sie aussieht
Zehn Lücken sind nach den 329 vom Oktober eine kleine Zahl. Ich halte das Update trotzdem für eines, das man nicht liegen lassen sollte. Die Lücke in den Gruppenkonversationen trifft genau den Bereich, in dem viele ihre privatesten Unterhaltungen führen, und ein Angreifer konnte sie aus der Ferne ausnutzen.
Die Kopplungsfehler setzen dagegen Nähe voraus, sei es Bluetooth-Reichweite oder dasselbe Netzwerk. Wer viel unterwegs ist, im Zug, im Café oder im Büro mit fremden Geräten in der Nähe, profitiert davon mehr als jemand, der sein iPhone fast nur zu Hause nutzt. Wie Apple Sicherheitsupdates grundsätzlich verteilt und wie sie sich automatisch installieren lassen, steht in der Übersicht zu Apples Sicherheitsupdates.
Hast du in iMessage Gruppenkonversationen mit Leuten, die du kaum kennst, etwa im Verein oder bei der Arbeit, und schaust du nach diesem Fund genauer hin, wer dort mitliest? Schreib uns in den Kommentaren, wie du mit solchen Gruppen umgehst.
