Scoperta la prima falla nei chip M1 di Apple

Non si può correggerla senza riprogettare l'intero SoC.



[ZEUS News - www.zeusnews.it - 27-05-2021]

apple m1 falla

C'è stato un tempo in cui molti, ingenuamente, credevano che i bug e i problemi di sicurezza riguardassero soltanto il software, e che l'hardware dei computer fosse - per motivi non chiarissimi - a prova di errore.

Poi all'orizzonte sono apparse Spectre e Meltdown, e all'improvviso tutti si sono resi conto che anche i processori possono contenere delle falle.

Non dovrebbe quindi stupire che anche nel recente SoC Apple M1 sia presente una falla, sfuggita ai progettisti ma individuata da un programmatore che stava studiando il chip allo scopo di completare il porting di Linux.

Lo scopritore si chiama Hector Martin e la falla è stata da lui battezzata M1racles (M1ssing Register Access Controls Leak EL0 State), con un chiaro gioco di parole sul nome del chip.

I dettagli del problema, che è stato per tempo rivelato a Apple, sono descritti sul sito a esso dedicato, ma la parte più interessante è il modo in cui Martin ha deciso di rivelare la propria scoperta.

Ha infatti assegnato un nome alla falla, ha creato un sito a essa dedicato e poi... ha candidamente ammesso che le possibilità che sia usata per fare danni sono estremamente remote.

Certamente, in un computer già compromesso del malware può approfittare di M1racles ma, in condizioni normali, essa non facilita l'operato dei criminali informatici.

Perché quindi montare il caso? Per evidenziare come, almeno dall'apparizione delle falle nei processori Intel in avanti, si faccia a gara nell'annunciare pericoli terribili insiti nei processori, dando loro nomi evocativi e dedicando loro siti dettagliati, salvo poi scoprire che le possibilità di sfruttare sul serio tali pericoli sono minime.

Le falle non vanno sottovalutate, chiaramente. Ma non bisogna nemmeno mettere in piedi campagne terrorizzanti, soprattutto nel caso in cui sfruttarle sia complicato o addirittura quasi impossibile.

M1racles, per esempio, consente a due applicazioni - indipendentemente dal sistema operativo che le fa girare - di scambiarsi dati senza che il sistema se ne accorga, «senza adoperare memoria, socket, file, o altre normali caratteristiche del sistema operativo».

«Ciò può accadere anche tra processi che vengono eseguiti da utenti diversi e con diversi livelli di autorizzazione, creando un canale segreto per furtivi scambi di dati. La vulnerabilità fa parte dei chip Apple Silicon e non può essere corretta senza una revisione del silicio» spiega Martin.

Sebbene quindi un pericolo esista davvero, non si tratta di quel tipo di situazioni in cui la falla può consentire l'installazione di malware all'insaputa dell'utente. Per sfruttare M1racles, il malware deve arrivare per altri canali; se riesce a farsi installare, allora può comunicare con un altro malware senza farsi scoprire. Ma l'installazione non può avvenire attraverso M1racles.

«Mi aspetto che siano le aziende che si occupano di pubblicità a cercare di sfruttare questo tipo di cose per tracciare gli utenti su app diverse, più che i criminali. Apple potrebbe scoprirle se ci provassero, però, attraverso le app dell'App Store» ipotizza lo scopritore.

«Sul serio» - continua Hector Martin - «nessuno troverà un modo di usare questa falla in maniera pericolosa in circostanze reali. [...] I canali di comunicazione segreti sono del tutto inutili, a meno che il sistema non sia già compromessa».

In sostanza, quindi, possiamo dire che la prima falla nell'Apple M1 è stata scoperta, e che speriamo che Apple decida di chiuderla, anche se il lavoro da per arrivare a quel risultato non sembra poco. Per correttezza, però, dobbiamo anche precisare che in sé è scarsamente pericolosa, posto che l'utente non si faccia infettare in qualche altro modo.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Approfondimenti
Apple, in autunno i Mac Mini con chip M1X
Se l'FBI, zitta zitta, si mette a patchare i server altrui
Bug nelle Gpu Adreno di Qualcomm
Falla spettacolare negli iPhone
Il bug più serio mai scoperto in Windows
Red Hat: Non installate quella patch
Falla nel bootloader di Linux vanifica il Secure Boot
Falla in 45 prodotti Netgear. La patch non arriverà mai
100.000 dollari per un bug di Apple
Altro che Immuni: il Bluetooth va tenuto spento!
Se Linux ha più falle di Windows
Intel, nelle Cpu c'è una falla che non è possibile sanare
La TV smart non è mica tanto smart
La NSA: fate come dice Microsoft e installate la patch per EternalBlue
Falla nella serratura smart: chiunque può aprire le porte a distanza
Intel, le patch per le nuove falle danneggiano seriamente le prestazioni
Falla videocitofono Amazon: audio e video a disposizione degli hacker
La rivolta delle stampanti a sostegno di PewDiePie
La falla che trasforma i cavi USB per la ricarica in veicoli per il malware
Internet of Things, dispositivi usati per perpetrare abusi domestici
Falla critica nei processori Intel, la patch rallenterà tutti i Pc

Commenti all'articolo (2)

Francamente non mi pare che al giorno d'oggi compromettere un sistema - in particolar modo se ce lo si pone come obiettivo per poterlo poi sfruttare (intendo quindi non tramite metodi di attacco massivi ma con un attacco mirato) - sia poi così difficile, se l'unica cosa che limita la pericolosità di questa falla è la non compromissione,... Leggi tutto
4-6-2021 14:48

{pewpew}
Mi sfugge qualcosa: dato che non facilita l'installazione di malware, questa falla non è considerata molto pericolosa? E' come dire che dato che non facilita l'entrata del ladro, l'assenza di porte interne e sistemi di allarme interni ad una azienda non è considerata pericolosa. Un pensiero che definirei... Leggi tutto
28-5-2021 11:55

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Quali sono i rischi maggiori del cloud computing?
Distributed Denial of Service (DDoS): cresce l'impatto dei tempi di indisponibilità di un sito web, che possono costare perdite di milioni di euro in termini di introiti, produttività e immagine aziendale.
Frode: perpetrata da malintenzionati con l'obiettivo di trafugare i dati di un sito e creare storefront illegittimi, o da truffatori che intendono impadronirsi di numeri di carte di credito, la frode tende a colpire - prima o poi - tutte le aziende.
Violazione dei dati: le aziende tendono a consolidare i dati nelle applicazioni web (dati delle carte di credito ma anche di intellectual property, ad esempio); gli attacchi informatici bersagliano i siti e le infrastrutture che le supportano.
Malware del desktop: un malintenzionato riesce ad accedere a un desktop aziendale, approfittandone per attaccare i fornitori o le risorse interne o per visualizzare dati protetti. Come il trojan Zeus, che prende il controllo del browser dell'utente.
Tecnologie dirompenti: pur non essendo minacce nel senso stretto del termine, tecnologie come le applicazioni mobile e il trend del BYOD (bring-your-own-device) stanno cambiando le regole a cui le aziende si sono attenute sino a oggi.

Mostra i risultati (1291 voti)
Settembre 2021
Microsoft cede: Windows 11 si installa anche su hardware incompatibile
Windows 10, l'update di settembre impedisce di stampare
Truffatori scavalcano le difese informatiche nella maniera più semplice
Apple svela gli iPhone “più Pro” di sempre
Ripristinare il vecchio menu Start in Windows 11
Uno spot mette Windows 11 KO
L'auto elettrica di Apple
Microsoft non bloccherà Windows 11 sui PC non supportati
Windows 11, svelata la data di lancio
Agosto 2021
La barra di Windows 11 è di proposito peggiore di quella di Windows 10
Violati i server TIM, password degli utenti a rischio
Windows 11, disponibile la prima ISO ufficiale
Microsoft: disabilitate il sistema di stampa di Windows (di nuovo)
Google taglia gli stipendi a chi sceglie il telelavoro
Gli iPhone scansioneranno tutte le foto alla ricerca di pedopornografia
Tutti gli Arretrati
Accadde oggi - 28 settembre


web metrics