iOS: Neue Textbombe lässt sich in Website einbetten und Geräte abstürzen

Erneut ist ein Fall dokumentiert worden, in dem ein iPhone durch einige wenige Zeichen in die Knie gezwungen wird. Diese können in einer Website versteckt sein und alle iPhones und iPads ab iOS 7 sind betroffen. Das bemerkenswerte: Der betreffende Code ist frei verfügbar.

Inzwischen gibt es eine ganze Reihe bekannter Textbomben. Das sind Zeichen oder Zeichenkombinationen, die iOS, macOS, Safari oder andere Plattformen zum Absturz bringen oder zumindest stark verlangsamen. Apple hat verschiedentlich Patches gegen solche Anfälligkeiten auf den Weg gebracht.

Eine neue Schwäche wurde nun entdeckt und kann iOS außer Gefecht setzen.

Alle Geräte ab iOS 7 sind betroffen

Verbreitet wurde die neue Schwachstelle auf Twitter: Dabei handelt es sich um simplen HTML-Code mit etwas CSS. Der Effekt: Die WebKit-Engine wird überlastet, eine Kernel Panic entsteht und iOS stürzt ab und startet im Idealfall neu.

How to force restart any iOS device with just CSS? 💣

Source: https://t.co/Ib6dBDUOhn

IF YOU WANT TO TRY (DON’T BLAME ME IF YOU CLICK) : https://t.co/4Ql8uDYvY3

— Sabri (@pwnsdx) 15. September 2018

Das Problem: Der code ist nun bekannt und lässt sich in beliebige Webseiten einbetten.

Nach Angaben ihres Entdeckers ist die Schwachstelle für alle Geräte ab iOS 7 gefährlich, ob iOS 12 gehärtet ist, ist unklar.

Apple geht solchen Problemen meist mit Updates entgegen.

Grundsätzlich riskiert jeder, der sich auf Webseiten unklarer Herkunft bewegt oder Links in E-Mails zweifelhafter Absender klickt, auf eine dergestalt präparierte Website zu geraten.