iOS, iPadOS, and watchOS

Die Schwachstelle steckt in WebKit, der Browser-Engine von Apple, die in iOS, iPadOS und watchOS für die Darstellung und Verarbeitung von Webinhalten zuständig ist. Ursache ist eine fehlerhafte Verwaltung der Lebensdauer von Objekten im Speicher. Verarbeitet das Gerät eine eigens präparierte Webseite, kann dies zu einem universellen Cross-Site-Scripting (Universal XSS) führen: Der Angreifer kann dabei eigenen Schadcode im Kontext beliebiger Webseiten ausführen und so die Trennung zwischen verschiedenen Webseiten aushebeln – etwa um an Sitzungsdaten oder Zugangsinformationen zu gelangen oder Aktionen im Namen des Nutzers auszulösen. Zum Auslösen genügt es, dass das Opfer eine manipulierte Seite öffnet. Betroffen ist nicht nur Apples eigener Browser Safari, sondern grundsätzlich jede Anwendung, die WebKit zur Verarbeitung von HTML nutzt – einschließlich Produkten anderer Anbieter, die auf diese Engine zurückgreifen.