Mac-Update schließt Zoom-Lücke, Apple Watch: Walki Talkie-App deaktiviert

Zwei kurze Meldungen aus dem Apple-Bereich, die Sicherheitsprobleme betreffen. Apple hat die Schwachstelle im Zoom-Client mit einem Update geschlossen. Zudem wurde die Walki Talkie-App der Apple Watch aus Sicherheitsgründen deaktiviert.

Update schließt Schwachstelle in Zoom-Client

Ich hatte es kürzlich im Blog-Beitrag Sicherheit und 0-day Schwachstellen (9. Juli 2019) erwähnt. Im Mac Zoom-Client gibt es eine 0-day-Sicherheitslücke, die die Entwickler trotz Offenlegung nicht schließen konnten. Der Entdecker Jonathan Leitschuh hatte das Ganze kürzlich öffentlich gemacht.

This is my #ZeroDay #PublicDisclosure of a security vulnerability impacting 4+ Million of @zoom_us's users who have the Zoom Client installed on Mac.

Zoom had 90-days + two weeks to resolve this #vulnerability and failed to do so.https://t.co/hvsoS79bos

— Jonathan Leitschuh (@JLLeitschuh) 8. Juli 2019

Eine Schwachstelle im Mac Zoom Client ermöglicht es Angreifern bzw. bösartigen Websiten die betreffenden Kamera ohne die Zustimmung des Benutzers zu aktivieren. Der Fehler tangiert potenziell bis zu 750.000 Unternehmen auf der ganzen Welt, die den Zoom-Client für das Tagesgeschäft nutzen.

Nun lese ich im Zoom-Blog, dass es ein Update vom 9. Juli 2019 für die Mac-App gibt, welches diese Schwachstelle fixt. Das Update entfernt den lokalen Webserver, den die App eingerichtet hat. Zudem ermöglicht das Update es Benutzern, über eine neue Option in der Zoom-Menüleiste den Zoom-Client, einschließlich des lokalen Webservers, manuell zu deinstallieren.

Zudem hat Apple zum 10. Juli 2019 ein Update herausgegeben. Dieses entfernt den Zoom-Webserver von allen Macs, auch wenn der Benutzer seine Zoom-App nicht aktualisiert oder gelöscht hat.

Walki Talkie-App auf Watch temporär deaktiviert

Dem Bericht von Techcrunch nach hat Apple vorsorglich die Walki Talkie-App auf der Apple Watch temporär deaktiviert. Die Information von Apple:

We were just made aware of a vulnerability related to the Walkie-Talkie app on the Apple Watch and have disabled the function as we quickly fix the issue. We apologize to our customers for the inconvenience and will restore the functionality as soon as possible. Although we are not aware of any use of the vulnerability against a customer and specific conditions and sequences of events are required to exploit it, we take the security and privacy of our customers extremely seriously. We concluded that disabling the app was the right course of action as this bug could allow someone to listen through another customer's iPhone without consent. We apologize again for this issue and the inconvenience.

Genaueres hat Apple wohl nicht bekannt gegeben. Aber es gab wohl eine Meldung an Apple, dass eine Schwachstelle in der App (die nicht aktiv ausgenutzt wird) existiert. Jedenfalls hat Apple die App deaktiviert, bis ein Patch vorliegt. Mit der App kann man Sprachnachrichten, wie beim Walki Talki, von der Watch an einen anderen Nutzer verschicken.