Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Apple chiude due vulnerabilità zero-day usate in alcuni attacchi

Mag 18, 2021 Massimiliano Monti Hacking, Mercato, Minacce, News, Privacy 0

Continuano i problemi con le vulnerabilità zero-day per Apple. Questa volta le vulnerabilità sono legate a Webkit e coinvolgono praticamente tutti i dispositivi. L’azienda corre ai ripari con un aggiornamento di sicurezza.

Nel 2021 non sembra esserci pace per Apple che, dopo i problemi legati a MacOS di aprile e le vulnerabilità di iOS scoperte a marzo, questa volta si è trovata a dover affrontare due vulnerabilità zero-day legate a Webkit, il motore di rendering HTML predefinito dei vari sistemi operativi, purtroppo non nuovo a debolezze di vario tipo.

Le falle in questione, identificate con i codici CVE-2021-30665 e CVE-2021-30663 e CVE-2021-30661, permettevano l’esecuzione arbitraria di codice sui dispositivi attraverso l’apertura di un sito web maligno. Questo tipo di vulnerabilità, noto come RCE, Remote Code Execution è particolarmente insidioso perché permette ai malintenzionati di eseguire codice a proprio piacimento sui dispositivi attaccati.

La scoperta della vulnerabilità CVE-2021-30665 è stata rivendicata da Yang Kang dell’azienda di sicurezza Qihoo 360, mentre il ricercatore che ha identificato la CVE-2021-30663 preferisce rimanere anonimo.

La situazione è ancora più problematica se pensiamo che Webkit deve essere utilizzato da tutti i browser per iOS e in generale da tutte le App che visualizzano codice HTML, per esempio Apple Mail e l’App Store.

Inoltre Apple dichiara, in un bollettino di sicurezza ufficiale, che “questo problema potrebbe essere stato sfruttato attivamente” anche se ovviamente non si conosce la reale entità degli attacchi effettuati né la loro gravità.

Per sistemare queste due vulnerabilità zero-day Apple ha rilasciato diversi aggiornamenti per tutti i suoi sistemi operativi principali: iOS 14.5.1, iOS 12.5.3, macOS Big Sur 11.3.1 e watchOS 7.4.1.

I dispositivi coinvolti nel problema sono piuttosto numerosi: iPhone 6s e successivi, tutte le versioni di iPad Pro, iPad Air 2 e successivi, gli iPad a partire dalla 5° generazione, gli iPad mini a partire dalla quarta generazione e iPod touch di settima generazione. Oltre a questi, il sistema operativo macOS Big Sur e gli Apple Watch a partire dalla serie 3.

Il fatto che Apple abbia rilasciato un aggiornamento anche per la versione 12 di iOS dovrebbe darci un’idea dell’importanza della situazione, in particolare per i dispositivi più datati che, tipicamente, sono mantenuti con minore attenzione.

L’aggiornamento per iOS 14.5.1 ha anche risolto alcuni problemi relativi a Tracking Transparency, il sistema per il blocco del tracciamento dei dati a fini pubblicitari. In alcuni casi questo infatti smetteva di funzionare una volta disattivato e non mostrava più i prompt di sicurezza anche dopo essere stato riattivato.

Condividi l'articolo