Allarme Sicurezza, centinaia di app OS X a rischio per via di Sparkle

Molte centinaia di applicazioni per Mac sono a rischio sicurezza. La causa è un elemento comune utilizzato per gli aggiornamenti chiamato Sparkle. Ecco tutte le app coinvolte.

[related layout=”big” permalink=”https://www.melablog.it/post/187884/apple-ha-acquisito-legbacore-specializzata-in-sicurezza”]Come accade spesso in questi casi, scopriamo solo oggi che lo scorso novembre Apple ha acquisito una società votata di sicurezza chiamata LegbaCore e specializzata nella “costruzione di sistemi sicuri come solo noi sappiamo fare.”[/related]

[related layout=”right” permalink=”https://www.melablog.it/post/187385/gatekeeper-la-falla-nella-sicurezza-di-os-x-non-e-risolta-ma-solamente-ridotta”]Quando si parla di sicurezza informatica nei sistemi operativi Apple viene immediatamente in mente la solerzia con cui la società di Cupertino si attiva per eventuali falle e vulnerabilità; nel caso di una falla nella funzionalità Gatekeeper su OS X la cosa sembra però aver avuto qualche singhiozzo.[/related]

La vulnerabilità in questione è stata scoperta lo scorso gennaio. Da allora è stata già risolta, ma le modifiche non si sono ancora fatte strada nelle app stesse; si stima che la cosa possa riguardare quasi 800 titoli attualmente presenti sul Web, alcuni dei quali molto noti come Camtasia, Duet Display, uTorrent, Sketch e VLC. Il numero esatto non è conosciuto, ma potrebbe essere davvero “enorme.” Potete consultare una lista aggiornata in tempo reale su questa pagina Web.

Il problema risiede nel modulo Sparkle fallato utilizzato da tutti questi software per gli aggiornamenti automatici, e che potrebbe portare ad un attacco di tipo man in the middle, grazie al quale un hacker è in grado di leggere, inserire o modificare a piacere, messaggi tra due parti comunicanti tra di loro, nonché avviare software malevolo.

Chi se la sente può provare a usare il seguente comando nel Terminale, per avere la lista delle app affette dal problema presenti sul proprio Mac:

for a in ; do defaults read “/Applications//Contents/Info.plist” SUFeedURL 2>/dev/null | grep -v https >/dev/null && echo ; done

Nel nostro caso ne abbiamo trovate addirittura 11, compresi Skitch, NetNewsWire, Transmission, UnrarX e HandBrake. Da notare che alcune di esse, tipo Skitch, non verranno mai aggiornate per la semplice ragione che Evernote ne ha cessato lo sviluppo. Ed è probabile che ciò riguardi un elevato numero di app là fuori, quindi prestate attenzione.

Il consiglio, in attesa di un update risolutore, è di utilizzare esclusivamente connessioni sicure; niente network WiFi dove capita, e se accade almeno limitate i danni con una VPN. La falla non coinvolge le app del Mac App Store, visto che queste ultime utilizzano un sistema di update diverso messo a punto da Apple.