Apple heeft op donderdagavond 25 augustus update 9.3.5 voor iOS vrijgegeven met belangrijke security-fixes. Die dichten gaten die al twee jaar lang gebruikt werden door spyware.
De spyware Pegasus is ontwikkeld door een Israëlisch bedrijf en maakt gebruik van drie bugs in de iOS-software: twee in de kernel en een in de browser-engine WebKit, waar Safari en andere iOS-browsers op draaien.
Via een geheugenfout is het volgens Apple in iOS 9.3.4 mogelijk code met kernelprivileges uit te voeren. De tweede bug betreft het geheugenbeheer: via een app kan er inbreuk op het kernelgeheugen gemaakt worden. Bovendien zit in WebKit een fout waarmee gemanipuleerde websites code kunnen laten uitvoeren.
Alle drie de bugs zijn door Citizen Lab van de universiteit van Toronto en het beveiligingsbedrijf Lookout samen ontdekt. De bugs kunnen direct gelinkt worden aan de commerciële spyware, die ook door regeringen in het nabije oosten gebruikt zou worden om burgers te bespioneren, aldus de New York Times.
Volgens Lookout kon de spy-software dankzij de drie bugs in iOS onder andere berichten en e-mails lezen, telefoonverkeer volgen, wachtwoorden onderscheppen, geluidsopnamen maken en de locatie van gebruikers volgen. Volgens de experts werd het programma ook tegen voorvechters van mensenrechten en journalisten gebruikt. Apple reageerde voorbeeldig snel op Pegasus en kwam binnen tien dagen met de update.
Met nieuwe versie 4.4.8 van de gratis beveiligings-app van Lookout moeten gebruikers kunnen controleren of Pegasus op hun iPhone zit. Die kans is niet groot, tot nu toe lijkt de software alleen rechtstreeks tegen bepaalde personen gebruikt te zijn.
