Aggiornamenti recenti Marzo 18th, 2024 2:00 PM
Dic 02, 2020 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0
Il meccanismo della cosiddetta “responsible disclosure” delle vulnerabilità software ha ormai regole condivise da ricercatori di sicurezza e sviluppatori, con la previsione di tempi certi (di solito 60 o 90 giorni) per la pubblicazione degli aggiornamenti e dei dettagli dei bug.
Ci sono casi, però, in cui le cose vanno in modo diverso e i ricercatori stessi accettano di garantire un periodo di “riservatezza” più lungo. È quanto è accaduto nel caso di un clamoroso bug di iOS che il ricercatore Ian Beer ha deciso di rendere pubblico quasi un anno dopo il rilascio della patch che lo ha corretto.
Il motivo? Molto semplice: la vulnerabilità avrebbe avuto effetti potenzialmente devastanti. Si tratta infatti di un bug nel protocollo AWDL, che nei dispositivi Apple gestisce le reti wireless peer to peer e avrebbe consentito di sviluppare exploit in grado di portare attacchi in grado di compromettere i dispositivi senza che sia necessaria alcuna interazione da parte degli utenti.
In sintesi: la vulnerabilità avrebbe consentito a un pirata informatico cdi creare un worm in grado di trasmettersi automaticamente attraverso il Wi-Fi.
Nel monumentale report pubblicato sul blog di Project Zero, il team di sicurezza targato Google di cui fa parte Beer, il ricercatore spiega tutti i dettagli della vulnerabilità, che come viene dimostrato nel video che ha pubblicato su YouTube consente di avviare l’esecuzione di codice (in questo caso l’avvio della calcolatrice) in remoto su un iPhone sfruttando il bug.
La pericolosità della falla della sicurezza, spiega Beer, dipende anche dal fatto che AWDL opera a livello di kernel e, di conseguenza, sfruttando il bug è possibile agire sul sistema operativo con privilegi elevati.
Nei sei mesi che il ricercatore ha dedicato allo studio della vulnerabilità, è riuscito a mettere a punto una serie di Proof of Concept (PoC) che hanno mostrato le potenzialità di un attacco di questo genere.
Beer è infatti riuscito a sviluppare prototipi di malware, tra cui uno in grado di accedere a qualsiasi tipo di informazione e documento memorizzati nello smartphone.
La vulnerabilità, comunicata ad Apple il 29 novembre 2019, è stata corretta con il rilascio della versione 13.1.1 del sistema operativo Apple il 28 gennaio 2020 e, successivamente, con un’altra patch in iOS 13.5 nel maggio scorso.
La scelta di non divulgare informazioni sul bug, probabilmente, è stata dettata dalla necessità di aspettare che un numero ragionevole di utenti effettuasse l’aggiornamento.
Gen 23, 2024 0
Gen 10, 2024 0
Dic 29, 2023 0
Nov 07, 2023 0
Mar 18, 2024 0
Mar 18, 2024 0
Mar 15, 2024 0
Mar 15, 2024 0
Mar 15, 2024 0
Dopo alcuni mesi dalla sua scoperta, Tomer Peled,...Mar 15, 2024 0
Sempre più aziende stanno scegliendo Kubernetes (K8s) per...Mar 13, 2024 0
Negli ultimi anni il ruolo del CISO (Chief Information...Feb 29, 2024 0
Secondo la ricerca “Connecting the future of...Feb 28, 2024 0
Secondo l’ultimo sondaggio di Check Point, fornitore...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Mar 18, 2024 0
F.A.C.C.T, agenzia russa di cybersecurity, ha denunciato...Mar 18, 2024 0
Il team di SonicWall Capture Labs ha scoperto di recente...Mar 15, 2024 0
Dopo alcuni mesi dalla sua scoperta, Tomer Peled,...Mar 14, 2024 0
I ricercatori di FortiGuard Labs hanno scoperto una...Mar 14, 2024 0
I ricercatori di SaltSecurity hanno individuato due...