CVE-2019-6223
Apple iOS and macOS Group Facetime Vulnerability
Beschreibung
CVE-2019-6223 ist eine Schwachstelle mit HIGH-Schweregrad in Apple iOS und macOS Group FaceTime. Der Fehler liegt in der Verarbeitung von Gruppen-FaceTime-Anrufen, bei der der Anrufinitiator das Gerät des Empfängers dazu bringen kann, einen Anruf ohne Benutzerinteraktion anzunehmen. Mit einem CVSS 3.1-Score von 7.5 ermöglicht diese Schwachstelle einem Angreifer, Audio (und kurzzeitig Video) vom Empfänger abzuhören, bevor dieser den Anruf annimmt oder ablehnt. Die Schwachstelle betrifft iOS-Versionen vor 12.1.4 und macOS Mojave vor dem 10.14.3 Supplemental Update. CISA hat CVE-2019-6223 am 3. November 2021 in den KEV-Katalog aufgenommen. Der EPSS-Score von 0.00159 (36,79. Perzentil) ist relativ niedrig, was darauf zurückzuführen ist, dass die Ausnutzung spezifische Anrufinitiierungsbedingungen erfordert und kein traditioneller Remote-Exploit ist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| apple | iphone os | < 12.1.4 |
| apple | mac os x | < 10.14.3 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- https://support.apple.com/HT209520(Release Notes, Vendor Advisory)
- https://support.apple.com/HT209521(Release Notes, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-6223(US Government Resource)
Schwachstellentyp
CWE-Unbekannt: Logikfehler im State Management
CVE-2019-6223 ist eine Logik-Schwachstelle in Apples Gruppen-FaceTime-Anrufverarbeitung. Anders als typische Speicherkorruptions- oder Injection-Schwachstellen stammt diese Schwachstelle aus einem State-Management-Fehler im FaceTime-Protokoll. Das System hat die Anforderung nicht korrekt durchgesetzt, dass ein Empfänger einen Anruf aktiv annehmen muss, bevor die Audio- und Videoübertragung beginnt. Wenn ein Gruppen-FaceTime-Anruf initiiert wurde und der Anrufer seine eigene Nummer zur Gruppe hinzufügte, bevor der Empfänger antwortete, wechselte das System fälschlicherweise in einen aktiven Zustand auf dem Gerät des Empfängers. Dies führte dazu, dass das Mikrofon des Empfängers — und kurzzeitig auch die Kamera — ohne Wissen oder Zustimmung des Benutzers zu übertragen begann.
Der Fehler verdeutlicht die Gefahr komplexer Zustandsmaschinen in Kommunikationsprotokollen, bei denen Randfälle in der Anruf-Setup-Logik grundlegende Datenschutzannahmen umgehen können. Apple hat das Problem durch verbesserte State-Management-Validierung im FaceTime-Protokoll behoben.
Mehr erfahren: CWE-840 — Business Logic Errors
Auswirkungsanalyse
CVE-2019-6223 hat einen CVSS 3.1 Base Score von 7.5 (HIGH) mit netzwerkbasierten Angriffscharakteristiken.
Vertraulichkeit (Hoch): Die primäre Auswirkung ist die unbefugte Audioüberwachung. Ein Angreifer kann die Umgebung eines Opfers über dessen Gerätemikrofon abhören, ohne dass das Opfer davon Kenntnis erhält. In einigen Szenarien war auch kurzzeitiger Videozugang möglich. Dies stellt eine schwerwiegende Datenschutzverletzung dar, da das Opfer keine Kenntnis von der Überwachung hat. Vertrauliche Gespräche, Geschäftsbesprechungen und private Kommunikation könnten abgefangen werden.
Integrität (Keine): Die Schwachstelle ermöglicht keine Änderung von Daten oder Systemdateien. Der Angreifer kann keine Geräteeinstellungen ändern, Software installieren oder Inhalte auf dem Gerät des Opfers modifizieren.
Verfügbarkeit (Keine): Die Schwachstelle verursacht keine Denial-of-Service-Zustände oder Systemstörungen. Das Gerät des Opfers funktioniert während der Ausnutzung weiterhin normal, was den Angriff tatsächlich gefährlicher macht, da er ohne sichtbare Symptome arbeitet.
Scope (Unchanged): Die Schwachstelle ist auf die FaceTime-Anrufverarbeitung beschränkt. Die realen Auswirkungen gehen jedoch über den technischen Scope hinaus — die Fähigkeit, jeden Apple-Gerätebenutzer mit verwundbaren iOS- oder macOS-Versionen stillschweigend abzuhören, stellt eine erhebliche Bedrohung für die persönliche Privatsphäre und organisatorische Sicherheit dar.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2019-6223 erhielt breite öffentliche Aufmerksamkeit, als die Schwachstelle im Januar 2019 von einem 14-Jährigen entdeckt wurde, der sie Apple meldete, bevor sie weithin bekannt wurde. CISA hat diese Schwachstelle am 3. November 2021 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt.
Exploit-Einfachheit: Der Exploit erforderte keine technischen Werkzeuge oder Spezialkenntnisse — er konnte von jedem FaceTime-Benutzer über die Standard-Gruppen-FaceTime-Oberfläche ausgelöst werden. Der Angreifer musste lediglich einen Gruppen-FaceTime-Anruf initiieren und seine eigene Nummer zur Gruppenkonversation hinzufügen, bevor der Empfänger antwortete. Diese extrem niedrige Eintrittsbarriere machte den Exploit für jeden Apple-Gerätebenutzer zugänglich.
Öffentliche Bekanntmachung: Die Schwachstelle erhielt Ende Januar 2019 massive Medienberichterstattung, was Apple veranlasste, die Gruppen-FaceTime-Funktion serverseitig vorübergehend zu deaktivieren, während ein Fix entwickelt wurde.
Ransomware-Verbindung: Der KEV-Katalog von CISA weist keine bekannte Ransomware-Verbindung für diese Schwachstelle aus.
EPSS-Kontext: Der EPSS-Score von 0.00159 (36,79. Perzentil) ist relativ niedrig, da die Schwachstelle keine traditionelle Remote-Code-Execution ermöglicht, sondern unbefugten Audio-/Videozugang über eine legitime Anwendungsfunktion.
Behebung
-
Sofort auf iOS 12.1.4 oder höher aktualisieren. Apple hat iOS 12.1.4 am 7. Februar 2019 veröffentlicht, das den Gruppen-FaceTime-Logikfehler behebt. Installieren Sie dieses Update über Einstellungen > Allgemein > Softwareupdate auf allen iOS-Geräten.
-
macOS Mojave 10.14.3 Supplemental Update anwenden. Installieren Sie für Mac-Systeme das ergänzende Update, das über den Mac App Store oder Systemeinstellungen > Softwareupdate verfügbar ist. Dies korrigiert das FaceTime-State-Management-Problem unter macOS.
-
FaceTime-Aktualisierung auf allen Unternehmensgeräten überprüfen. Verwenden Sie in Unternehmensumgebungen Mobile Device Management (MDM)-Lösungen, um zu überprüfen, dass alle verwalteten Apple-Geräte auf die gepatchten Versionen aktualisiert wurden.
-
FaceTime auf ungepatchten Geräten als Zwischenmaßnahme deaktivieren. Wenn ein sofortiges Patchen nicht möglich ist, deaktivieren Sie FaceTime über Einstellungen > FaceTime auf iOS oder über MDM-Einschränkungen.
-
Organisatorische Kommunikationssicherheitsrichtlinien überprüfen. Nutzen Sie diese Schwachstelle als Anlass, die Sicherheit von Kommunikationsplattformen zu auditieren. Stellen Sie sicher, dass vertrauliche Meetings verifizierte, aktualisierte Software verwenden.
-
Apple-Sicherheitshinweise überwachen. Abonnieren Sie Apple-Produktsicherheitsankündigungen unter https://support.apple.com/en-us/HT201222 für zeitnahe Benachrichtigungen über zukünftige Schwachstellen.
Technische Details
CVE-2019-6223 ist eine Logik-Schwachstelle in Apples Gruppen-FaceTime-Implementierung, die die State Machine des Anruf-Setups betrifft. Die Schwachstelle wurde mit der Gruppen-FaceTime-Funktion in iOS 12.1 und den entsprechenden macOS Mojave-Updates eingeführt.
Die technische Ursache liegt im State Management des FaceTime-Protokolls während der Gruppen-Anrufherstellung. Wenn ein Benutzer einen Gruppen-FaceTime-Anruf initiiert, durchläuft das Protokoll mehrere Zustände: Anrufinitiierung, Klingeln, Verbindungsaushandlung und aktiver Anruf. Die Schwachstelle existiert, weil das Hinzufügen eines Teilnehmers (einschließlich der eigenen Nummer des Anrufers) zur Gruppe während der Klingelphase einen fehlerhaften Zustandsübergang auf dem Gerät des Empfängers auslöst.
Konkret interpretiert das FaceTime-Protokoll das Hinzufügen des Anrufers selbst als Mehrparteien-Anrufverbindungsereignis, wenn der Anrufer sich selbst zum Anruf hinzufügt, während es auf dem Gerät des Empfängers noch klingelt. Das Gerät des Empfängers wechselt fälschlicherweise vom Klingelzustand in den Verbundenstatus, aktiviert das Mikrofon und beginnt die Audioübertragung zurück zum Anrufer. Wenn der Empfänger mit der eingehenden Anrufbenachrichtigung interagierte (z.B. durch Drücken der Ein/Aus-Taste), wurde auch kurzzeitig die Frontkamera aktiviert.
Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N) spiegelt wider, dass der Angriff netzwerkbasiert ist, keine besonderen Privilegien oder Benutzerinteraktion des Opfers erfordert und eine hohe Vertraulichkeitsauswirkung hat, ohne Integrität oder Verfügbarkeit zu beeinträchtigen.
Apples Fix adressierte die State-Management-Logik, um sicherzustellen, dass Audio- und Videoübertragung nicht beginnen kann, bis der Empfänger den Anruf ausdrücklich annimmt.
Häufig gestellte Fragen
Wird CVE-2019-6223 aktiv ausgenutzt?
Ja. CISA hat CVE-2019-6223 am 3. November 2021 in den KEV-Katalog aufgenommen. Die Schwachstelle erlangte im Januar 2019 breite Aufmerksamkeit, als die einfache Ausnutzungsmethode öffentlich bekannt wurde. Da der Exploit keine technischen Kenntnisse erforderte — nur das Initiieren eines Gruppen-FaceTime-Anrufs und das Hinzufügen der eigenen Nummer — war er für jeden Apple-Gerätebenutzer zugänglich.
Welche Produkte sind von CVE-2019-6223 betroffen?
CVE-2019-6223 betrifft Apple iPhone OS (iOS) vor Version 12.1.4 und Apple macOS (Mac OS X) vor dem Mojave 10.14.3 Supplemental Update. Jedes iPhone, iPad, iPod touch oder Mac mit aktiviertem Gruppen-FaceTime und diesen verwundbaren Versionen war gefährdet.
Wie behebe ich CVE-2019-6223?
Aktualisieren Sie iOS-Geräte auf Version 12.1.4 oder höher und macOS auf das Mojave 10.14.3 Supplemental Update oder höher. Wenn Geräte nicht sofort aktualisiert werden können, deaktivieren Sie FaceTime als Zwischenmaßnahme.
Wie schwerwiegend ist CVE-2019-6223?
CVE-2019-6223 wird mit HIGH und einem CVSS-Score von 7.5 bewertet. Obwohl es keine Remote-Code-Execution ermöglicht, liegt der Schweregrad in der Fähigkeit, jeden Apple-Gerätebenutzer durch Audioüberwachung und kurzzeitige Videoerfassung stillschweigend abzuhören. Die triviale Ausnutzungsmethode und die massive installierte Basis von Apple-Geräten machten dies zu einer besonders wirkungsvollen Datenschutz-Schwachstelle.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.