Ungepatchte iOS-Sandbox-Entweichung legt Krypto-Wallet-Daten auf aktuellen Versionen offen

Die Kryptowährungsbörse Binance hat vor einer kritischen Sicherheitslücke gewarnt, die iPhones mit iOS 26 und 27 betrifft. Der als worse_query bekannte Fehler erlaubt es bösartigen Anwendungen, die iOS-Sandbox zu umgehen und auf sensible Daten zuzugreifen, die von anderen Apps gespeichert werden, einschließlich privater Schlüssel und Seed-Phrasen. Apples jüngste Softwareupdates scheinen dieses spezifische Problem nicht zu beheben, sodass Nutzer potenziell exponiert bleiben, bis ein Patch veröffentlicht wird.

Was passiert ist

Die Forscher forcequit und 0xjohnny haben den Exploit-Code am Sonntag auf GitHub veröffentlicht, nur einen Tag bevor Apple seine neuesten iOS-Updates ausrollte. Die Schwachstelle ermöglicht es einer App, Dateien aus den Datencontainern anderer Anwendungen zu lesen und bricht damit effektiv die Isolation, die App-Daten normalerweise getrennt und sicher hält. Dies stellt ein schwerwiegendes Risiko für Kryptowährungs-Nutzer dar, da Wallet-Apps oft kritische Zugangsdaten lokal auf dem Gerät speichern.

Binance riet seinen Nutzern, sofortige Vorsichtsmaßnahmen zu ergreifen, obwohl keine aktiven Diebstähle oder Angriffe im Zusammenhang mit dem Exploit gemeldet wurden. Die Börse empfahl, alle Apps zu löschen, die aus nicht vertrauenswürdigen Quellen installiert wurden, wie etwa sideloaded oder manuell signierte Apps, und sicherzustellen, dass sowohl iOS als auch alle installierten Apps auf dem neuesten Stand sind. Für Nutzer, die vermuten, dass ihr Gerät kompromittiert wurde, schlug Binance vor, Gelder in eine neue Wallet zu verschieben, die auf einem sauberen Gerät erstellt wurde, und alle aktiven Login-Sitzungen zurückzusetzen.

Die Forscher gaben an, den Code früher als geplant veröffentlicht zu haben, weil Apple langsam auf ihre Berichte reagierte und sich Fehlinformationen online verbreiteten. Forcequit merkte auf X an: „Apple ließ sich Zeit bei der Antwort auf mich, und Leute begannen hier damit herumzuspielen.“ Trotz der öffentlichen Veröffentlichung haben weder die Forscher noch Binance reale Ausnutzungen bestätigt, die zu finanziellen Verlusten führten.

Wie es funktioniert

Der worse_query-Exploit zielt auf den iOS-Sandbox-Mechanismus ab, der verhindern soll, dass Apps auf die Daten anderer zugreifen. Um zu funktionieren, erfordert der Exploit, dass eine App einen App Group Container einrichtet, eine Funktion, die typischerweise zur gemeinsamen Nutzung von Daten zwischen Apps desselben Entwicklers verwendet wird. Sobald dieser Container eingerichtet ist, kann der Proof-of-Concept-Code auf die Datencontainer jeder App auf dem Gerät zugreifen, sowie auf einige Systemordner unter iOS 27.

Der Entwickler Christoph Kolbicz hat bereits einen funktionsfähigen Dateimanager namens WQ Files unter Verwendung dieses Exploits erstellt. Diese App kann über Sideload-Tools wie AltStore und SideStore installiert werden, die automatisch den erforderlichen App Group Container konfigurieren, wenn sie mit einer Apple ID verknüpft sind. WQ Files ermöglicht es Nutzern, Daten anderer Apps anzusehen, zu bearbeiten, zu löschen und zu leeren, ohne dass ein Jailbreak oder ein Kernel-Level-Exploit erforderlich ist. Es ist unklar, ob eine App, die über den offiziellen App Store verteilt wird, diese Schwachstelle nutzen könnte, da niemand Beteiligtes eine solche Möglichkeit bestätigt hat.

Wichtige Details

• Die Schwachstelle betrifft iPhones mit iOS 26 und 27, wobei einige Berichte Unterstützung für iOS 27.2.1 nahelegen.
• Der Exploit, benannt als worse_query, wurde von den Forschern forcequit und 0xjohnny auf GitHub veröffentlicht.
• Apples aktuelle Updates, iOS 27.2.1 und iOS 26.7.3, behoben iMessage- und Bluetooth-Probleme, listeten aber keine Behebung für diese Sandbox-Entweichung auf.
• Der Exploit erfordert einen App Group Container, den Sideload-Tools automatisch erstellen können.
• Es wurden keine bestätigten Angriffe oder Diebstähle gemeldet, aber das Risiko für lokale Krypto-Wallet-Speicher ist hoch.
• Binance rät Nutzern, sideloaded Apps zu entfernen und Gelder zu verschieben, wenn ein Einbruch vermutet wird.

Warum es wichtig ist

Für Software-Ingenieure und Sicherheitsexperten hebt dieser Vorfall die Fragilität des mobilen Sandboxing hervor, wenn fortgeschrittene Inter-App-Kommunikationsfunktionen involviert sind. Die Tatsache, dass die App-Daten eines nicht-jailbroken Geräts von einer anderen installierten Anwendung ausgelesen werden können, untergräbt ein grundlegendes Sicherheitsversprechen des iOS-Ökosystems. Entwickler, die Finanz- oder sicherheitssensible Anwendungen erstellen, müssen davon ausgehen, dass lokaler Speicher möglicherweise nicht vollständig sicher ist, wenn ein Nutzer nicht vertrauenswürdige Software installiert hat.

Die Verzögerung bei Apples Reaktion und die anschließende öffentliche Veröffentlichung des Exploits unterstreichen auch die Herausforderungen bei der verantwortungsvollen Offenlegung (Responsible Disclosure). Wenn Hersteller keine Zeitpläne kommunizieren oder die Schwere nicht anerkennen, fühlen sich Forscher möglicherweise gezwungen, öffentlich zu warnen, selbst wenn ein Patch noch nicht bereit ist. Diese Dynamik schafft ein Fenster der Verwundbarkeit, in dem Angreifer waffenfähige Versionen des Proof-of-Concept-Codes entwickeln können, bevor eine Behebung verfügbar ist.

Was Sie tun können

• Löschen Sie alle Apps, die aus nicht vertrauenswürdigen Quellen installiert wurden, einschließlich solcher, die über AltStore oder SideStore sideloaded wurden.
• Aktualisieren Sie Ihr iPhone auf die neueste verfügbare iOS-Version, beachten Sie jedoch, dass eine spezifische Behebung für dieses Problem noch nicht bestätigt ist.
• Wenn Sie eine Krypto-Wallet-App verwenden, erwägen Sie, Ihre Assets in eine neue Wallet zu verschieben, die auf einem völlig sauberen Gerät generiert wurde.
• Setzen Sie alle aktiven Login-Sitzungen für Ihre Kryptobörsen und Wallet-Dienste zurück.
• Überwachen Sie offizielle Sicherheitsnotizen von Apple auf zukünftige Erwähnungen von Sandbox-Fixes oder verwandten Patches.
• Vermeiden Sie die Installation von Dateimanagern oder Dienstprogrammen, die breiten Systemzugriff erfordern, es sei denn, sie stammen von verifizierten, vertrauenswürdigen Entwicklern.