C'è una vulnerabilità in Sparkle che rende i Mac vulnerabili agli attacchi di tipo man-in-the-middle.

Sparkle è un framework - non prodotto da Apple, ma open source - che facilita il download e l'installazione degli aggiornamenti automatici dei software: per questa sua utilità, sono centinaia le applicazioni che si appoggiano a esso.

La falla in sé è già stata scoperta e corretta a gennaio, ma non tutte le applicazioni hanno integrato le modifiche e, considerato il loro numero elevato, le conseguenze possono essere molto serie.

Proposte di lettura:

Google sanzionerà i siti che manipolano il tasto Indietro

Safari in tilt anche senza visitare Crashsafari?

Crashsafari.com manda in tilt Mac e iPhone

Falla in Mac OS X, per hackerarlo basta un tweet

Perché la falla possa essere sfruttata, il software preso di mira devo non soltanto fare uso di Sparkle ma anche utilizzare un canale HTTP non criptato per ricevere i dati dai server degli aggiornamenti: ciò riduce un po' il numero dei programmi coinvolti, ma non di molto.

Sfruttando la vulnerabilità si può intercettare e manipolare il traffico tra applicazione e server, ma anche aggiungere del codice alla comunicazione: in pratica ciò significa che un intruso potrebbe anche eseguire programmi pericolosi sul Mac della propria vittima.

Come dimostra l'esperto di sicurezza Simone Margaritelli (EvilSocket), è possibile per esempio far credere al Mac che è disponibile una nuova versione dell'applicazione, che verrà quindi (previo consenso dell'utente) scaricata e installata: se questa versione fasulla è farcita di malware, il gioco è fatto.

La dimostrazione preparata da EvilSocket

Tra i software che al momento in cui scriviamo non hanno ancora implementato una correzione ci sono diversi nomi noti come Camtasia, uTorrent, Sketch e Duet Display. VLC, fino a poco fa vulnerabile, con l'ultimo aggiornamento è tornato sicuro.

Ricordiamo che non sono afflitti dal problema le app del Mac App Store.

In attesa che tutte le applicazioni vengano aggiornate è importante che gli utenti di Mac usino sempre connessioni sicure e non si fidino delle reti Wi-Fi aperte.

Qui sotto, una dimostrazione di come è possibile sfruttare la falla in Sparkle per portare un attacco, usando come bersaglio l'applicazione Sequel Pro.