Trotz Gefahr für iPhone-Nutzer: Entwickler beliebter GPS-App lassen Sicherheitslücke monatelang offen
Normalerweise werden Anwendungen in Apples Store einem rigorosen Test unterzogen, um sicherzustellen, dass sie keine versteckten Hintertüren oder Schadcode mit sich bringen. Wenn allerdings unabsichtliche Sicherheitslücken tiefer im Code vergraben sind, können solche Apps dennoch auf zahlreichen iPhones landen. Das zeigt jetzt auch ein Fall, vor dem Cybernews warnt.
GPS-Daten von Hunderttausenden iPhone-Nutzer:innen liegen offen
Demnach gibt es eine beliebte GPS-App im App Store, die schon von mehr als 320.000 iPhone-User:innen heruntergeladen wurde. In der App haben die Sicherheitsexpert:innen eine freiliegende Firebase-Datenbank gefunden, auf die ohne Passworteingabe zugegriffen werden konnte. In der Datenbank konnten die GPS-Daten von User:innen aufgerufen und in Verbindung mit zahlreichen weiteren sensiblen Informationen gebracht werden.
So legt die Datenbank auch Telefonnummern, Namen der User:innen und Details über ihr Endgerät offen. Cyberangreifer könnten die Informationen von Programmen automatisch extrahieren lassen und hätten so dauerhaft Zugriff auf die Daten und die Standorte der User:innen. Neben dieser freiliegenden Datenbank hat Cybernews aber auch ein weiteres Problem in der GPS-App entdeckt.
Denn innerhalb des Codes werden ebenfalls sensible Informationen der Programmierer:innen als Klartext angezeigt. Dazu gehört etwa die Google-App-ID, die Client-ID und zugehörige API-Schlüssel. Laut Cybernews ist es nur eine Frage der Zeit, bis Cyberkriminelle diese Informationen sehen und ausnutzen, um Zugriff auf die Systeme der iPhone-App und auf die Daten der User:innen zu bekommen.
Die Sicherheitsexpert:innen haben die Sicherheitslücke schon Anfang Januar 2025 und Mitte des Monats an die Verantwortlichen herangetragen. Die Entwickler:innen der GPS-App haben sich aber seither nicht zu den Problemen geäußert oder Änderungen vorgenommen. Das ist auch der Grund, warum Cybernews den Namen der App geheim hält. Die Bekanntmachung würde Cyberkriminelle anlocken, die die Sicherheitslücke ausnutzen. Durch die anonymisierte Meldung der Sicherheitslücke werden die Entwickler:innen womöglich dazu angetrieben, die Probleme endlich zu beheben.
