C'è una vulnerabilità in Sparkle che rende i Mac vulnerabili agli attacchi di tipo man-in-the-middle.

Sparkle è un framework - non prodotto da Apple, ma open source - che facilita il download e l'installazione degli aggiornamenti automatici dei software: per questa sua utilità, sono centinaia le applicazioni che si appoggiano a esso.

La falla in sé è già stata scoperta e corretta a gennaio, ma non tutte le applicazioni hanno integrato le modifiche e, considerato il loro numero elevato, le conseguenze possono essere molto serie.

Proposte di lettura:

Safari in tilt anche senza visitare Crashsafari?

Crashsafari.com manda in tilt Mac e iPhone

Falla in Mac OS X, per hackerarlo basta un tweet

MacKeeper sfruttato dai criminali informatici per infettare i Mac

Perché la falla possa essere sfruttata, il software preso di mira devo non soltanto fare uso di Sparkle ma anche utilizzare un canale HTTP non criptato per ricevere i dati dai server degli aggiornamenti: ciò riduce un po' il numero dei programmi coinvolti, ma non di molto.

Sfruttando la vulnerabilità si può intercettare e manipolare il traffico tra applicazione e server, ma anche aggiungere del codice alla comunicazione: in pratica ciò significa che un intruso potrebbe anche eseguire programmi pericolosi sul Mac della propria vittima.

Come dimostra l'esperto di sicurezza Simone Margaritelli (EvilSocket), è possibile per esempio far credere al Mac che è disponibile una nuova versione dell'applicazione, che verrà quindi (previo consenso dell'utente) scaricata e installata: se questa versione fasulla è farcita di malware, il gioco è fatto.

La dimostrazione preparata da EvilSocket

Tra i software che al momento in cui scriviamo non hanno ancora implementato una correzione ci sono diversi nomi noti come Camtasia, uTorrent, Sketch e Duet Display. VLC, fino a poco fa vulnerabile, con l'ultimo aggiornamento è tornato sicuro.

Ricordiamo che non sono afflitti dal problema le app del Mac App Store.

In attesa che tutte le applicazioni vengano aggiornate è importante che gli utenti di Mac usino sempre connessioni sicure e non si fidino delle reti Wi-Fi aperte.

Qui sotto, una dimostrazione di come è possibile sfruttare la falla in Sparkle per portare un attacco, usando come bersaglio l'applicazione Sequel Pro.