Sicherheitsupdates in iOS 15.8.5 und iPadOS 15.8.5

• Das Sicherheitsupdate für iOS 15.8.5 und iPadOS 15.8.5 wurde veröffentlicht
• Beim Verarbeiten bösartiger Bilddateien wurde eine Speicherbeschädigungs-Schwachstelle gemeldet
• In hochentwickelten Angriffen wurde diese Schwachstelle in Einzelfällen zur Attacke auf bestimmte Ziele ausgenutzt
• Apple erklärte, das Problem durch verstärkte Grenzwertprüfung behoben zu haben
• Die Sicherheitslücke wird unter CVE-2025-43300 registriert und verfolgt

---

Überblick

• Dieser Sicherheitshinweis behandelt sicherheitsrelevante Inhalte von iOS 15.8.5 und iPadOS 15.8.5
• Apple verfolgt zum Schutz der Kundschaft die Richtlinie, Sicherheitsprobleme erst dann zu erwähnen oder zu bestätigen, wenn Untersuchung und Patches abgeschlossen sind
• Eine Liste der zuletzt veröffentlichten Sicherheits-Releases ist auf der offiziellen Apple-Website verfügbar

Betroffene Geräte

• Dieses Update wird für iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation) bereitgestellt

Wichtige Sicherheitsprobleme und Details

• Auswirkungen: Beim Verarbeiten einer bösartig präparierten Bilddatei kann es zu Speicherbeschädigung kommen
• Apple hat Berichte erhalten, dass diese Schwachstelle bei hochentwickelten Angriffen auf gezielt ausgewählte Personen tatsächlich ausgenutzt wurde
• Beschreibung: Es wurde eine out-of-bounds write-Schwachstelle entdeckt, die durch fehlerhafte Behandlung von Grenzwerten entsteht
• Das Problem wurde durch verstärkte Grenzwertprüfung behoben
• Die Schwachstelle wird unter CVE-2025-43300 verwaltet

Weitere Hinweise

• Apple übernimmt keine Verantwortung oder Gewährleistung für Produkte, die nicht von Apple hergestellt wurden, für unabhängige Websites sowie für Produkte und Dienstleistungen Dritter
• Für weitere Informationen zu Produkten Dritter sollte der Hersteller kontaktiert werden

Zusätzliche Informationen

• Detaillierte Informationen zu den neuesten Sicherheitsupdates, dem CVE-ID-System und Apples Sicherheitsrichtlinien sind auf den entsprechenden offiziellen Apple-Seiten verfügbar

[GN⁺]

Hacker-News-Kommentare

• Es gibt zwar viele negative Meinungen über Apples aktuelle UI, aber dass sie sogar wirklich alte Phones noch unterstützen, verdient Anerkennung. Bei Google Pixel hat man eher nicht das Gefühl, so etwas erwarten zu können lol
  • Modelle ab dem Pixel 8 bekommen 7 Jahre Support. Das ist zwar weniger als bei Apple, aber ziemlich vernünftig. Pixel 6–7 bekamen 5 Jahre Support, das ist etwas kurz. Ein echtes „lol“ verdienen eher Modelle vor 2021 oder einige Motorola-Modelle
  • Ich nutze ein Pixel 3XL, und mit einem aktuellen Android-ROM lässt es sich noch ziemlich gut verwenden. Ehrlich gesagt fühlt es sich sogar besser an als aktuelle günstige Android-Geräte. Schade, dass der offizielle Support vorbei ist
  • Mit meinem Pixel XL kann ich nachts problemlos im Web surfen. Ich bin skeptisch gegenüber dieser Angst vor „es gibt keine System-Updates mehr“. Ich würde gern Studien oder Erfahrungsberichte dazu hören, in denen wirklich untersucht wurde, welche realen Sicherheits- oder Risikofälle durch die Nutzung alter Geräte tatsächlich aufgetreten sind
  • Ich habe vor Kurzem den Akku meines iPhone 12 mini ersetzt, und es läuft genauso gut wie damals beim Kauf. Es wäre schade, wenn irgendwann der Tag kommt, an dem ich zum „Upgrade“ gezwungen werde
  • In der EU sind 5 Jahre Update-Support inzwischen Mindestanforderung, deshalb liegt Apple inzwischen sogar eher im unteren Bereich im Vergleich zu Google oder Samsung. Früher war Apple vielleicht besser, aber inzwischen versprechen andere Hersteller stärkeren und rechtlich verbindlicheren Support als Apple
• Nicht besonders überraschend. Ich hatte früher beruflich ein Meeting mit Samsung, weil wir mehrere hundert Flaggschiff-Smartphones kaufen wollten, und dort hieß es, es gäbe nur 3 Jahre Security-Patches. Das war ungefähr 2019. Apple dagegen haben wir nicht einmal separat getroffen, und trotzdem kamen wir auf geschätzt etwa 6 Jahre Support. Beim ROI war damit klar, dass sich iPhones im Unternehmenskontext deutlich länger nutzen ließen. Deshalb haben wir nur mehrere hundert iPhones gekauft und kein Android eingeführt. Privat hatte ich ein Nexus S und ein Nexus 5, die wegen mangelnder Updates, kaputter Buttons, Mikrofondefekten usw. früh ausfielen. Beim Sony Xperia Z5 wurde wegen Patentproblemen in Nordamerika plötzlich der Fingerabdrucksensor entfernt, und Bluetooth-Audio ging ebenfalls kaputt, sodass keine Songtitel mehr angezeigt wurden. All das passierte innerhalb von 3 Jahren. Sony-Android-Phones nutze ich deshalb nie wieder. Irgendwann hatte ich auch genug von Custom-ROMs und bin einfach zur Gruppe „iPhone, it just works“ gewechselt
  • Zur Einordnung: Samsung bietet heute bei Flaggschiffen 7 Jahre OS-/Security-Support, und auch die Galaxy-A-Serie im Einstiegs- und unteren Mittelklassebereich bekommt 6 Jahre Support
  • „it just works“ ist letztlich nur ein Werbespruch. Wenn man nur die Funktionen nutzt, die die große Mehrheit nutzt, also 95 % und mehr, dann mag es okay sein. Aber sobald man darüber hinausgeht, weiß man nie, was passiert, und Fehlerbehebung ist schwierig. Das System ist geschlossen und eingeschränkt. Ich hatte einfach Pech mit Apple. Die Apple-Geräte, die ich beruflich bekommen habe, hatten wenig Support und machten Probleme wie kaputte Touchscreens, App-Softwarefehler, defekte Akkus und nur halb funktionierendes Tethering. Solche Probleme hatte ich bei Android nicht. Wenn eine App dort spinnt, setzt man einfach ihre Daten zurück; unter iOS gibt es diese Funktion gar nicht, was unpraktisch ist. Aktuell funktioniert beim Apple-Mail-Client eines Freundes weder unter iOS noch unter macOS alles richtig. Weil sich das Problem je nach Daten und OS unterschiedlich zeigt, muss ich wohl zwischen zwei Orten hin- und herfahren und 90 Minuten investieren, um es mir direkt anzusehen. Bei Apple sind die Möglichkeiten zur Selbsthilfe im Fehlerfall viel zu begrenzt, deshalb ist das für mich kein Vendor, mit dem ich arbeiten möchte. Klar, die meisten Funktionen „funktionieren einfach“, aber das gilt auch für Android, und so wie ich bei Sony Pech hatte, hatte ich eben bei Apple Pech. Wenn es bei Sony richtig schlimm wird, kann man immerhin noch das OS austauschen, und das halte ich für einen Vorteil
• Ein großer Grund dafür, dass langfristiger Android-Support lange schwierig war, ist, dass Modem-/SoC-Anbieter wie Qualcomm Treiber und Software-Updates nur ein paar Jahre bereitstellen. Geräte vor 2020–2021 bekommen fast keine Kernel-Treiber- oder Modem-Updates mehr. Natürlich integrieren die Hersteller das am Ende, aber dadurch bleibt auch die Support-Laufzeit von 3rd-party-ROMs wie LineageOS begrenzt. Apple kann die meisten Komponenten und die Software In-house abdecken und deshalb flexibler langfristig unterstützen
  • Ich finde diese Behauptung schwer überzeugend, weil ein erheblicher Teil der Sicherheitslücken (CVEs) nichts mit dem von Broadcom kontrollierten Teil wie Modem oder Baseband-Treibern zu tun hat. Google könnte weiterhin Bibliotheken oder Apps patchen, also gerade die Bereiche mit hohem Angriffsrisiko. Ich mache mir eher Sorgen um Schwachstellen beim „Parsen von Bildern in Nachrichten“. Da reicht unter Umständen schon ein Klick auf ein Bild, um angegriffen zu werden, und das wirkt auf mich als deutlich realistischeres Risiko als Modem-Schwachstellen
  • Das stimmt zwar, aber letztlich ist genau das eine grundlegende Grenze im Android-Design selbst. Deshalb kann man Android aus diesem Grund durchaus kritisieren
  • Wenn man darüber nachdenkt, ist das eigentlich absurd. Selbst 20 Jahre alte NICs haben im Linux-Kernel noch Treiber-Support, und Treiber für Smartphone-Hardware sollten unter der GPL offengelegt werden. Geschlossene Treiber werden am Ende für genau diesen Prozess genutzt, Geräte absichtlich kurzlebig zu machen, also geplante Obsoleszenz
  • Dieses übliche Argument lässt sich mit einem ganz legalen Instrument entkräften: Verträgen. Man kann festschreiben, dass auch nach Projektabnahme so lange wie gewünscht Updates geliefert werden müssen. Ich habe solche Verträge im Enterprise-Consulting selbst regelmäßig gemacht
  • Ich denke, Google könnte das, wenn es wollte, mit Verträgen und Geld problemlos lösen
• In Apples Security-Hinweis steht, es gebe Hinweise darauf, dass die Lücke in „hochentwickelten Angriffen gegen spezifische Ziele“ ausgenutzt wurde. Ich frage mich, ob man Security-Patches für ältere Versionen in so einem Fall als Signal dafür verstehen sollte, dass die Schwachstelle besonders gefährlich ist. Mich würde interessieren, ob es offizielle Kriterien für Apples Security-Support-Zeitraum gibt
  • Das bedeutet, dass die Lücke tatsächlich in einer Spyware-Kampagne unter realen Bedingungen ausgenutzt wurde. Die gesamte Exploit-Kette nutzte bei WhatsApp eine zweite Schwachstelle, und diese konkrete Lücke existiert zwar in allen Apps, die Apples Standardmodul zur Bildverarbeitung nutzen, aber dank Apples Sandboxing — etwa BlastDoor bei iMessage oder der Web-Content-Sandbox bei Safari — ist eine Ausnutzung ohne weitere Fehler eher unwahrscheinlich. Wenn aber WhatsApp selbst verwundbar ist, sieht die Sache anders aus. Für Spyware-Angreifer ist WhatsApp schließlich das beste Ziel. Siehe dazu: WhatsApp Security Advisory
  • Interessant ist auch, dass dieser Patch noch vor der Aufspaltung in den iPadOS-Zweig liegt und deshalb auch iPads betroffen sind. Meine Vermutung wäre, dass vielleicht alte iPads in POS-Geräten ein Angriffsziel waren. In Restaurants war es schließlich nie einfach, das POS-System auszutauschen, und POS-Vendoren verlangen oft überhöhte Preise

  • Wie lange ist Apples grundlegender Security-Support ungefähr?
    Tatsächlich ist das noch gar nicht so lange her, dass diese Geräte aus dem Support gefallen sind. Das letzte Security-Update für iOS 15 kam erst Anfang dieses Jahres, und dass das iPhone 6s ab iOS 16 keine neue OS-Version mehr bekam, ist auch erst ein paar Jahre her. Aus Sicht von jemandem wie mir, der sein iPhone über 5 Jahre genutzt hat, bin ich sehr dankbar, dass Apple deutlich länger unterstützt als Android

  • Kann man solche Backports auf alte Versionen als Hinweis auf eine ernste Schwachstelle sehen?
    Das vermute ich auch. Aus Nutzersicht bedeutet das wohl ein schwerwiegendes Problem außerhalb der eigenen Kontrolle, also etwas wie Zero-Click. Natürlich kenne ich Apples Sicht nicht, aber ich denke ähnlich

  • Einen genauen offiziellen Zeitraum gibt es nicht. Wenn ein Thema wirklich wichtig ist, bringt Apple manchmal sogar für sehr alte Geräte noch Updates. Früher gab es zum Beispiel wegen eines ablaufenden Apple-CA-Zertifikats für Square-Terminal-iPads ein Update für fast alle Geräte. Vermutlich spielen bei der Entscheidung über das Support-Ende Apples Telemetrie und Threat Model eine Rolle
• Interessant ist, dass Apple Security-Updates für alte Geräte bereitstellt. Besonders bemerkenswert ist hier, dass es um Schutz vor Angreifern auf staatlichem Niveau geht

  Apple ist ein Bericht bekannt, wonach dieses Problem möglicherweise bei einem extrem ausgefeilten Angriff gegen spezifische Zielpersonen ausgenutzt wurde

  • Wenn Angriffe auf staatlichem Niveau realistisch sind, sollte man meiner Meinung nach ein neues Phone mit aktuellem OS nutzen. Ein aktuelles Phone kostet nur einige hundert Euro, also sollte jemand, der sich wirklich Sorgen vor staatlichen Angriffen macht, problemlos auf ein in den letzten 5 Jahren erschienenes Gerät wechseln können. Das lohnt sich auf jeden Fall
  • Ich denke eher, dass man möglichst früh patcht, bevor schwer auszunutzende oder staatlich entwickelte Hacking-Methoden in populärere Hacking-Tools einfließen, um so viel mehr normale Nutzer zu schützen
• Ich finde den Artikeltitel etwas irreführend. Es klingt so, als wäre nur das iPhone 6s betroffen, aber tatsächlich können auch iPhone 6s/7/SE der 1. Generation, iPad Air 2, iPad mini der 4. Generation und iPod touch der 7. Generation aktualisiert werden. Es geht also nicht nur um das „10 Jahre alte iPhone 6s“. Mein eigenes Zweitgerät, ein iPhone 7, und mein iPad mini werde ich vorerst übrigens nicht aktualisieren, weil ich wegen möglicher Jailbreak-Auswirkungen vorsichtig bin
  • Wahrscheinlich hat der Artikel einfach exemplarisch das älteste Gerät genannt. Ich sehe darin kein großes Problem
• In dieser Situation riecht wirklich alles nach einem Angriff auf staatlichem Niveau
  • Ich vermute, dass ein einzelner Staat dahintersteckt
• Apple unterstützt Phones tatsächlich ziemlich lange. Aber von 10 Jahren Support kann man nur sprechen, wenn man das iPhone 6s direkt zum Verkaufsstart teuer gekauft hat. Das iPhone 7 (Plus) wurde noch bis 2019 verkauft und hat dieselbe OS-Version. Streng genommen sind es eher etwa 3 Jahre OS-Upgrades und 6 Jahre Security-Patches
  • Wenn man die Support-Dauer ab dem Ende des Herstellerverkaufs misst, könnten manche Android-Geräte sogar auf negative Jahre kommen. Und diese 6 Jahre laufen ja „immer noch“
• Gut, dass Apple das Update ausgeliefert hat. Aber wenn damit sogar Remote Code Execution (RCE) möglich ist, frage ich mich, ob das auch bedeutet, dass immer noch genug iPhone 6s aktiv genutzt werden, damit Angreifer großflächige Attacken fahren könnten
• „iOS 18.6.1 0-click RCE POC“, 50 Kommentare, verwandter Link
  • Erwähnenswert ist auch die WhatsApp Security Advisory, die im vorherigen Thread anscheinend nicht genannt wurde. Dieser Exploit scheint mit dem WhatsApp-Problem zusammenzuhängen und bösartige DNG-Daten per „Zero Click“ in WhatsApp einzuschleusen. Ob dabei auch ein Sandbox-Escape oder eine Kernel-Schwachstelle verkettet wurde, ist nicht klar. Möglicherweise beschränkte sich der Angriff auch nur auf das Auslesen von WhatsApp-Nachrichten. Normalerweise braucht man zum Umgehen der iOS-Sicherheit mehrere verkettete Schwachstellen, aber wenn auf diese Weise schon die Ziel-App selbst verwundbar ist, wird der Angriff erheblich einfacher