macOS, falla di sicurezza nel kernel scoperta da Google Project Zero

04 Marzo 2019 217

macOS ha un bug nel kernel tramite il quale è possibile modificare il filesystem di un'immagine montata da un utente senza che il sottosistema di gestione virtuale se ne renda conto. In pratica, un attacco potrebbe copiare, cancellare o modificare qualsiasi file senza lasciare traccia.

Il bug, che secondo il team è a priorità "alta" (c'è ancora un livello superiore, che è "critica"), è stato scoperto da Project Zero, il team di sicurezza di Google che ricerca falle e vulnerabilità nei software di qualsiasi produttore (anche Google stessa). Apple sta preparando una patch correttiva, ma i dettagli del bug sono stati svelati al pubblico, perché Apple ci sta mettendo troppo tempo.

Project Zero generalmente rivela i dettagli pubblici del bug 90 giorni dopo averne notificato la scoperta (in privato) allo sviluppatore responsabile. Questa pratica, adottata anche da molti altri ricercatori di sicurezza, fa sì che lo sviluppatore lavori il più rapidamente possibile. Project Zero prevede un periodo di proroga di 14 giorni in alcuni casi, ma a quanto pare questa volta non era applicabile. Apple è stata informata della vulnerabilità a novembre 2018.

Non ci sono informazioni precise sui rischi pratici di essere colpiti da attacchi che sfruttano questa vulnerabilità. Google sta lavorando con Apple per preparare la patch, ma al momento non ci sono dettagli precisi sulle tempistiche.

Zero compromessi al miglior prezzo?? Samsung Galaxy S10 Plus, in offerta oggi da Gaming Pro a 649 euro oppure da ePrice a 723 euro.

217

Commenti

Regolamento Commentando dichiaro di aver letto il regolamento e di essere a conoscenza delle informazioni e norme che regolano le discussioni sul sito. Clicca per info.
Caricamento in corso. Per commentare attendere...
Cdd

Anche Android non scherza con la provaci (OS di Google dopotutto), due milanesi (poliziotti) hanno comprato due cellulari nuovi, non li hanno collegati ai loro account e hanno installato WhatsApp su due numeri (quelle SIM incluse al telefono).
Successivamente uno dei due ha mandato un audio all'altro dicendo di aver bisogno di un navigatore Garmin, hanno messo il telefono in stand by per un oretta circa, l'hanno ripreso e sono entrati su un sito a caso dove, coincidenza, hanno trovato una pubblicità di Garmin.

romeop

Colabrodo

franky29

Guarda che è un comportamento usato da tutti i ricercatori ed è fatto proprio per spronare a risolvere il bug non è un ricatto

franky29
Rudi Stival
Io267

Difende Apple, ovvio sia serio

f_f_f_f_t_t_t_t

Non vedo perché un'azienda come Google debba collaborare con una come Apple (nessuno fa la carità a nessuno).
In 90 giorni di tempo un'azienda come apple dovrebbe risolvere qualsiasi bug. Possono assumere mezzo mondo con tutti i soldi che hanno.
Il bello e quando leggi i commenti degli Apple fan boy che difendono i prezzi esorbitanti dei prodotti Apple con "eh, ma costa di piu per via del sistema operativo...". Si, lo paghi e loro con i tuoi soldi non fixano un bug pericoloso in 90 giorni.
La politica di Google sulle vulnerabilità sarà anche questionabile, ma questo non giustifica minimamente Apple.

PS: un team di ricerca di vulnerabilità costa e non poco. Ti assicuro che Google non fa questa cosa a gratis per aiutare gli altri produttori, ovviamente necessitano qualcosa in ritorno (money, oppure se ne hai l'occasione colpire Apple)

~benzo

ahahhahahah

E K

Scusami "Vittorio Di Battista".

Nembolo

Ah ah ah ah...
Certo detto da te è un complimento.

AbstractBit

Lui ha detto semplicemente che ci sono due modi di diffondere notizie di falle: la maniera civile e quella del tipo " adesso ti frego e ti sp...a.o", usata da Google e da altri "ricercatori".
Sì...Apple non l'ha corretta immediatamente per un paio di ragioni: l'Hacker maligno, il craker se non ha conoscenze adeguate non è in grado di sfruttare quella falla.
Quelli che ce l'hanno questa conoscenza, probabilmente sono pochi. La seconda ragione, che va a spasso con la prima è che, probabilemente, la falla si trova, se è vero quanto ho letto in giro, sull'interfaccia tra due dei svariati *nix alla base di Mac OS.
Correggere una falla simile è lungo, tedioso, difficile e occorre che sia trovata anche da Apple. Se esiste, in tutto e per tutto come è stata segnalata, bisogna correggerla e provare a vedere se le modifiche funzionano. In caso contrario bisogna ricominciare tutto da capo.
Anche in questo caso è una cosa lunga, tediosa e difficile da fare.
Infine ci sarebbe una terza ragione: dal prossimo anno dovrebbero arrivare le prime macchine basate su ARM ed è possibile che chi ha le conoscenze di sistemi operativi adatte a riparare questa falla sia "un po' impegnato" con il nuovo sistema operativo e faccia il riparatore di falle nei ritagli di tempo....
IMHO, ovviamente.

Edoardo Motta

*sigh*

Ci voleva molto a capire che è scritto volontariamente in modo sgrammaticato?

sagitt

Ma linux è a parte

sagitt

Hahaha

vanadio

tra le due, linux!

ROY MUSTANG

sei serio?

Max

Appunto. Hai scritto una minkiata

vince

Riesci a capire che ti stai smentendo con le tue stesse parole o no?

Ma secondo te quando non è pubblica la falla non viene sfruttata in massa?
Un malware ci mette 1 settimana a fare il giro giro del mondo, facendo con calma...

sagitt

Non ho detto che non è rischiosa o che nessun altro la conosce... semplicemente che fino a quando non è pubblica l’utenza rischia 1/1000 e la fretta non c’è... che magari poi dalla fretta il bug viene risolto a caxxo

takaya todoroki

Apple sempre peggio!!!!!

vince
sagitt

Se prendi un pc di pari hw e ci metti macos e windows noterai la stessa cosa.

sagitt

2 aziende ci sono, ms e apple e tra i 2...

sagitt

Se non è divulgata la fretta non c’è

Non l'ha usata al posto di oppure. È evidente

La forma è corretta. Non ascoltare

SteDS

Noi non sappiamo i retroscena, in alcuni casi viene concessa la proroga in altri casi no, è probabile che in quei casi non vi sia una collaborazione attiva. Rendere pubblica la minaccia secondo me è utile, basta che venga fornita una informazione adeguata. La soluzione non è certo quella di aspettare i comodi dell'azienda X perché nel frattempo la minaccia mica scompare, anzi, è più pericolosa che mai e potrebbe fare grossi danni in modo silente.

rino1919

Non spenderei mai una cifra così folle per un computer sia esso Windows che Apple

Freerider

Secondo te rendere pubblica una vulnerabilità serve a rendere consapevole l'utente il quale sa come arginare il problema? Ovviamente serve a rendere consapevole l'utente ma non ad arginare il problema. Le persone normali non sanno distinguere una email di phishing da una reale e secondo te riuscirebbero ad arginare una vulnerabilità? Ma dai.. è fantascienza. Infatti quanto è stato noto che un ransomware utilizzava SMBv1 e, oltre alle patch, si sapeva benissimo come arginare il ransomware con due semplici passaggi, moltissimi reparti IT non hanno saputo prendere quelle contromisure trovandosi un sacco di client e di server criptati e te vuoi che un utente qualsiasi riesca in un impresa simile? Ovvio che le falle devono essere rese pubbliche e per questo ci sono i bollettini di sicurezza, ma pubblicare una falla mentre è IN ATTESA della patch per me è assurdo. Se non ci stanno lavorando allora sono d'accordo di esporli alla "gogna pubblica" ma se ci stanno lavorando e magari stanno trovando difficoltà per me rendere pubblica la falla serve solo a mettere a rischio gli utenti.

Francesco Salvatore

Aggiungo una piccola info a quanto hai già ben esplicato: Google lascia ai suoi diretti partner Android appena 30 giorni per applicare le patch prima di rendere pubblici i bollettini di sicurezza (che sono appunto mensili).
Quindi i 90 giorni tanto discussi non mi sembrano poi così restrittivi...

Mario&Luigi

Si ma è stata scoperta. Non è che ci han messo 20 anni per correggerla. L’han scoperta e affiggeva i pc da 95 a W10. Poi l’han corretta.

SteDS

Certo che ha senso, primo perché come la falla è stata scoperta dal team di ricercatori può essere già stata scoperta da altri, secondo perché dopo un tempo ragionevole è giusto che il pubblico venga messo al corrente in modo da poter evitare certe azioni o funzioni intaccate dal problema in attesa della patch.

Antares

In realtà ce ne sono diverse di dalle... una è questa:

https://www. techeconomy. it/2016/06/22/scoperta-grave-vulnerabilita- windows-presente-20-anni/

Freerider

Non sto criticando a prescindere, ripeto, ovviamente è giusto che chi sappia scovare i bug li cerchi e le segnali a chi di dovere, i team e ricercatori INDIPENDENTI fanno lo stesso lavoro ma sono molto più flessibili e hanno molto più "tatto" nella gestione della pubblicazioni delle falle. Ti sembra sicurezza per noi utenti pubblicare una vulnerabilità in attesa di una patch sulla quale ci stanno lavorando? Un conto se non stanno facendo niente allora ok dargli una strigliata, ma pubblicare una falla con la patch in arrivo mi sembra una grandissima str0nzat4. Se Apple, MS, o chi per esso sta facendo fatica a patchare quella falla, nel pubblicare la vulnerabilità cosa ottengono? Che la patch si crei magicamente da sola? O pubblicano i dettagli di una falla che potrebbe essere ancora sconosciuta dando spunto agli hacker per attaccare un sistema?

Alessio Ferri

L'accanimento è anche terapeutico nel nostro caso

Alessio Ferri

Non hai mai letto i commenti sotto gli aggiornamenti di Win 10.

Alessio Ferri

Caso 1) l'errore richiede di ripensare una parte integrante dell'architettura interna della parte interessata.
Caso 2) quel pezzo di codice non è documentato, ha una qualità molto bassa e non sono presenti test

Mario&Luigi

Comprati un paio di occhiali e entra nelle notizie di Android e Windows prima di uscire e sparar cavolate ..:

Mario&Luigi

Già pubblicata sul sito da un po’

SteDS

Io mi sono stancato di questa tendenza di fare sempre gli hater, il lavoro che fanno serve ovviamente a loro stessi e anche alle altre aziende. E' un "servizio" che va tutto a nostro vantaggio, indifferentemente dal fatto di essere utenti Apple, MS, Google, ecc. Più falle scovate più falle risolte, se ci fossero più team simili che indagano a 360 gradi sarebbe ancora meglio. No invece siete lì a parlare di str0nzate, fantomatici ricatti, gelosie da fanb0y perdendo il senso vero della questione.

Mario&Luigi

Non capisco il senso del tuo commento, stai sparando ad cavolum contro un’azienda che ha scoperto la falla, ha informato e sta cercando la patch per risolverla insieme ad Apple. Solo perché le linee guida dicono che se entro 90 giorni la patch non è stata effettuata viene dato il “go” per pubblicarla apertamente non mi vorrai venire a piangere dicendo che questa azienda è cattiva e malefica ... mi sembrano ragionamenti da bambini di 3/4 anni. L’han sempre fatto a prescindere che fossero Windows o macOS.

ghost

Sempre Windows da 2500 euro immagino...

Mario&Luigi

Postami la notizia allora di quel che dici...

Spider
Freerider

Secondo te MS e Apple non hanno team che cercano bug e falle? I bollettini di sicurezza mica esistono solo grazie a Google e a project zero. Secondo il tuo ragionamento android dovrebbe essere a prova di vulnerabilità visto che google a questo fantastico team che l'umanità dovrebbe ringraziare. Sia chiaro, ammiro il lavoro che fanno questi team e sono sempre stupito di come riescono a trovare falle e problemi vari, infatti non ho criticato che team terzi scovino falle di altri sistemi, ho criticato il comportamento di project zero che mi sembra "troppo aggressivo" rispetto ad altri ricercatori e guarda caso, è appunto l'unico team alle dipendenze di una grande software house. Mi sono stancato di questa tendenza di considerare Google come la soluzione alla fame nel mondo, a mio parare è forse l'azienda più subdola di tutto il panorama informatico (sia chiaro, non considero nessuno un santo, tutti hanno i loro interessi, ma google è forse peggio della peggiore wintel degli anni '90)

SteDS

Finalmente un commento sensato, sopra ho letto alcuni deliri tragicomici nei quali nemmeno si cita l'aspetto più importante.

vince

se il sistema è open, ci possono lavorare anche altri oltre al produttore...quindi i fix sono immediati.
Se parli del rilascio vero e proprio è un altro discorso..

Nembolo

Evidentemente ti è crollata una leggenda metropolitana in testa perchè io IOS nemmeno l'l'ho nominato.

rino1919

Uso un MacBook da 2 anni prima di aver usato windows per tanti anni. La differenza è notevole, macOS è più fluido e reattivo e non rallenta mai. Ha i suoi bug e difetti senza ombra di dubbio ma al momento mi sto trovando molto bene

SteDS

Incredibile, come se il nocciolo della questione non fossero le falle software trovate ma il nominare o meno l'azienda del cuore.
In realtà stanno facendo un favore grande come una casa ad Apple (o all'azienda di turno) comunicando falle che potrebbero avere conseguenze gravi per loro e per gli utenti. Se volessero solo sputt4nare i competitor potrebbero comunicare il problema al pubblico il giorno stesso, non c'è una legge che lo vieta. Avessero anche Apple e MS team simili ne gioveremmo noi utenti (tuttti!)e magari e i fan piagnucoloni starebbero più tranquilli, quindi, prendetevela con loro al limite.

Recensione iPad 10.2 (2019), iPadOS fa la differenza

MacOS Catalina disponibile al download: ecco cosa ha cambiato Apple | Video

Recensione iPhone 11 Pro: una conferma ma 64GB base non bastano

Apple iPhone 11: live batteria (3.100mAh) | Fine ore 21.20