Un numero elevato di applicazioni è a rischio hijacking.
[ZEUS News - www.zeusnews.it - 16-02-2016]
C'è una vulnerabilità in Sparkle che rende i Mac vulnerabili agli attacchi di tipo man-in-the-middle.
Sparkle è un framework - non prodotto da Apple, ma open source - che facilita il download e l'installazione degli aggiornamenti automatici dei software: per questa sua utilità, sono centinaia le applicazioni che si appoggiano a esso.
La falla in sé è già stata scoperta e corretta a gennaio, ma non tutte le applicazioni hanno integrato le modifiche e, considerato il loro numero elevato, le conseguenze possono essere molto serie.
Perché la falla possa essere sfruttata, il software preso di mira devo non soltanto fare uso di Sparkle ma anche utilizzare un canale HTTP non criptato per ricevere i dati dai server degli aggiornamenti: ciò riduce un po' il numero dei programmi coinvolti, ma non di molto.
Sfruttando la vulnerabilità si può intercettare e manipolare il traffico tra applicazione e server, ma anche aggiungere del codice alla comunicazione: in pratica ciò significa che un intruso potrebbe anche eseguire programmi pericolosi sul Mac della propria vittima.
Come dimostra l'esperto di sicurezza Simone Margaritelli (EvilSocket), è possibile per esempio far credere al Mac che è disponibile una nuova versione dell'applicazione, che verrà quindi (previo consenso dell'utente) scaricata e installata: se questa versione fasulla è farcita di malware, il gioco è fatto.
Tra i software che al momento in cui scriviamo non hanno ancora implementato una correzione ci sono diversi nomi noti come Camtasia, uTorrent, Sketch e Duet Display. VLC, fino a poco fa vulnerabile, con l'ultimo aggiornamento è tornato sicuro.
Ricordiamo che non sono afflitti dal problema le app del Mac App Store.
Password | ||
|
In attesa che tutte le applicazioni vengano aggiornate è importante che gli utenti di Mac usino sempre connessioni sicure e non si fidino delle reti Wi-Fi aperte.
Qui sotto, una dimostrazione di come è possibile sfruttare la falla in Sparkle per portare un attacco, usando come bersaglio l'applicazione Sequel Pro.
Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News
ti consigliamo di iscriverti alla Newsletter gratuita.
Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui
sotto, inserire un commento
(anche anonimo)
o segnalare un refuso.
© RIPRODUZIONE RISERVATA |
|
|
||
La startup che non parte | ||
|