Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Cohesity Identity Resilience: da Cohesity e Semperis una soluzione per proteggere le infrastrutture di identità aziendali
MuddyWater si evolve: attacchi più sofisticati e infrastruttura più resiliente
Un attacco supply chain ha compromesso oltre 40 pacchetti NPM
TeamItaly, presentata la nuova squadra di giovani cyber defender
CERT-AGID 6-12 settembre: i ransomware mostrano una nuova tattica di ingegneria sociale

Errore negli SDK di Adobe. Le app non usano connessioni protette

Nov 08, 2019 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

I file di esempio usati nei kit di sviluppo usano una configurazione che lascia aperta la strada all’intercettazione dei dati trasmessi al cloud.

Per una volta i problemi di sicurezza di Adobe non riguardano Flash o Acrobat Reader. Malgrado le apparenze, però, la notizia non è affatto classificabile come “buona”. Questa volta, infatti, i problemi riguardano un numero potenzialmente elevatissimo di applicazioni.

Ad avere qualche problema, infatti, non è un software specifico, ma il kit di sviluppo (SDK) messo a disposizione da Adobe per i programmatori che vogliono creare applicazioni mobile in grado di dialogare con i suoi servizi cloud.

Come si legge nel report pubblicato dalla società di sicurezza Nightwatch Cybersecurity, a creare apprensione è un file chiamato ADBMobileConfig.json, fornito nel pacchetto di sviluppo. Il file, infatti, prevede una serie di configurazioni predefinite che vengono “riversate” nelle app.

Nel dettaglio, le impostazioni non prevedono l’utilizzo di una connessione protetta tramite SSL per alcuni tipi di informazioni, che di conseguenza potrebbero essere intercettate da chiunque potesse accedere al traccio Internet del dispositivo.

Si tratta principalmente dei dati di analisi del funzionamento, ma anche di informazioni che l’app invia eventualmente a terze parti. Insomma: informazioni potenzialmente sensibili, con maggiore o minore importanza a seconda del tipo di app di cui si parla.

Naturalmente gli sviluppatori potrebbero verificare le impostazioni in fase di programmazione e modificarle per fornire una connessione sicura, ma nella pratica questo avviene ben di rado. Anche perché i manuali d’uso e i tutorial in circolazione suggeriscono di utilizzare il file fornito da Adobe.

In seguito alla segnalazione, Adobe ha corretto le impostazioni del file, che è stato inserito nella nuova versione del Adobe Experience Platform mobile SDK.

Gli sviluppatori che volessero verificare l’appropriatezza delle impostazioni nelle loro app possono utilizzare uno strumento di analisi messo a punto da Nightwatch Cybersecurity e disponibile per il download all’indirizzo https://github.com/nightwatchcybersecurity/truegaze.

Condividi l'articolo