Der bekannte Leak-Experte und Sicherheitsforscher Guilherme Rambo hat in iOS eine problematische Lücke entdeckt, bei der sogenannte Darwin-Notifications verwendet werden können, um iPhones lahmzulegen. Der Fehler mit der CVE-ID CVE-2025-24095 wurde im Rahmen von iOS 18.4, iPadOS 18.4 und visionOS 2.4 behoben und ist ein Beispiel für ein Legacy-Problem, das erst nach einer ganzen Weile (wieder) auftaucht. Anzeige Mit einem Befehl in den Wiederherstellungsmodus Rambo zufolge ist die entdeckte Lücke "sein Lieblingsbug", weil es "so einfach ist, einen Exploit zu implementieren". Der Angriff erfolge zudem auf eine öffentliche Legacy-API, "auf die sich immer noch viele Komponenten in Apples Kern-Betriebssystem verlassen". Darwin-Notifications sind einfacher als modernere Benachrichtigungen, die über NSNotificationCenter und NSDistributedNotificationCenter abgewickelt werden, die den meisten Entwicklern bekannt sind. Darwin-Notifications dienen unter anderem dazu, auf Low-Level-Ebene einfache Nachrichten zwischen Prozessen auszutauschen. Der Fehler besteht nun darin, dass es lange möglich war, Darwin-Notifications auf System-Ebene zu versenden, ohne dass die Prozesse weitere Privilegien oder die von Apple zur Absicherung verwendeten Entitlements benötigen. Die größte Gefahr laut Rambo: Über Darwin-Notifications war es sogar durchführbar, mächtige Systemfunktionen wie den sogenannten "Restore in Progress"-Modus (also Apples Wiederherstellungsprozess) zu triggern. Mit einem einzigen notify_post -Befehl sei dies möglich gewesen. Da dadurch zwar der Wiederherstellungsmodus aktiviert wird, aber kein tatsächlicher Restore erfolgt, bleibt das iPhone hängen – der Nutzer muss es neu starten. Widget erzwingt Neustart und startet dann gleich wieder Im Rahmen eines Proof-of-Concept-Exploits (PoC), den Rambo "VeryEvilNotify" nannte, implementierte er den simplen Code im Rahmen einer Widget-Erweiterung für iOS. Diese werden regelmäßig als Hintergrundprozess vom System aufgeweckt. Damit ließ sich dann das Gerät tatsächlich "bricken": Widget ruft "Restore in Progress" auf, Nutzer startet neu, Widget läuft wieder los. Eine Art interner Denial-of-Service-Angriff, dem man nur dann entkommen kann, wenn man schnell genug ist und das Widget sofort nach Systemstart wieder löscht. Es bleibt allerdings unklar, ob Apple solchen Code in seinen App Store gelassen hätte oder dieser durch die verwendeten Software-Scanner des Konzerns aufgefallen wäre. Rambo zufolge konnten Darwin-Notifications vor seiner Bug-Meldung empfangen und senden, ohne dass es spezielle Systemprivilegien brauchte. Zudem fehlte es an einer Möglichkeit, den Absenderprozess zu identifizieren. Rambo zufolge lief sein PoC schon mit iOS 18.3 nicht mehr, laut CVE-Meldung wurde der Bug aber in Gänze mit iOS 18.4, iPadOS 18.4 und visionOS 2.4 behoben. Gelöst wurde das Problem über das Verlangen spezifischer Entitlements auch für Darwin-Notifications. "In the wild" wurde der Exploit bislang nicht gesehen. Nutzer sollten ihr iPhone dennoch möglichst bald auf iOS 18.4.1 bringen, das eine weitere schwerwiegende Lücke schließt. Anzeige Empfohlener redaktioneller Inhalt Mit Ihrer Zustimmung wird hier ein externer Preisvergleich (heise Preisvergleich) geladen. Preisvergleiche immer laden Preisvergleich jetzt laden (bsc)