Apple unter Druck: Schließt die Lücken oder wir veröffentlichen!
Mit dem ganzen Tamtam um Anonymous, LulzSec, Anti-Sec und so weiter sind die ethischen Hacker-Gruppen fast in Vergessenheit geraten. Die YGN Ethical Hacker Group ist so eine und hat Apple am 25. April 2011 informiert, dass es auf deren Entwickler-Portal mehrere Schwachstellen gibt. Bis her scheint Apple das aber nciht weiter gestört zu haben.
Die Gruppe will nun ihre Funde komplett veröffentlichen, sollte Apple die Schwachstellen nicht in den nächsten paar Tagen beheben.
Drei verschiedene Sicherheitslücken sollen das Portal knechten: Beliebige URL-Umleitungen, Cross-Site-Scripting und HTTP Response Splitting. Gerade die URL-Umleitungen seien kritisch, weil sich diese leicht zu Phishing-Angriffen ausnutzen lassen. Da Entwickler auch Apple IDs benutzen, könnten sich Cyberkriminelle Zugriff zu deren iTunes-Konten verschaffen.
YGN Ethical Hacker Group sind keine Unbekannten. Sie haben schon Schwachstellen in anderen Webseiten aufgedeckt. Zum Beispiel Lücken in java.com, die von Oracle mit einem Dank an die Gruppe binnen einer Woche behoben waren. McAfee zeigte sich da sturer und behob die Schwachstellen erst, als die Gruppe an die Öffentlichkeit ging.
Apple habe nun zwei Monate Zeit gehabt, die Lücken zu schließen. Da man in Cupertino keine Anstalten macht, die Schwachstellen zu beheben, will die Gruppe nun die Karte “Öffentlichkeit” ausspielen, um Apple etwas in den Hintern zu treten.
