Apple ha pubblicato
11 aggiornamenti per i sistemi operativi iOS e iPadOS che correggono altrettanti problemi di sicurezza di
iPhone, iPad e iPod. Tra le vulnerabilità più gravi c'è la CVE-2020-9992, che consente ai cyber criminali di
eseguire codice arbitrario.
Partiamo proprio da quest'ultima vulnerabilità. È stata identificata dai ricercatori di sicurezza di IBM X-Force e permette l'escalation di privilegi nei dispositivi con sistema operativo Apple iOS, iPadOS e tvOS fino alla versione 13.7. Benché sia stata classificata come grave, questa falla
richiede l'interazione dell'utente per poter essere sfruttata. Tuttavia, secondo X-Force l'attacco non è complicato da mettere in atto e ai cyber criminali bastano privilegi "bassi" per sfruttare il bug.
Nell'advisory infatti Apple spiega che i cyber criminali devono persuadere una vittima ad aprire un file infetto creato ad hoc. Solo ad azione avvenuta è possibile eseguire codice arbitrario "su un dispositivo accoppiato durante una sessione di debug in rete".
Da notare che Apple non assegna una scala di gravità ai bug che corregge, tuttavia secondo i ricercatori di IBM X-Force questo è uno dei bug più significativi corretti da Apple. La falla riguarda un componente IDE (Integrated Drive Electronics) non meglio identificato, ovvero una delle interfacce utilizzate per trasferire i dati dalla scheda madre al supporto di archiviazione del dispositivo. La patch introduce la codifica delle comunicazioni in rete, rendendo impossibile intercettarle.
A fornire qualche indicazione in più sono gli autori della scoperta, secondo i quali CVE-2020-9992 sarebbe da rincondurre al set di strumenti di sviluppo di Apple Xcode 11.7, che serve per creare app per Mac, iPhone, iPad, Apple Watch e Apple TV. Tale componente sarebbe presente in macOS Mojave versioni 10.15.4, 10.15.5 e 10.15.6.
Altri aggiornamenti
Gli altri bug corretti da Apple riguardano vari prodotti e componenti, tra cui AppleAVD, Apple Keyboard, WebKit e Siri. Il bug Siri consente a una persona con accesso fisico a un iPhone di visualizzare il contenuto delle notifiche dalla schermata di blocco. Un altro bug è legato a file Universal Scene Description (USD), che potrebbe consentire a un attaccante di
eseguire codice arbitrario su alcuni dispositivi iOS.
Interessante è anche la correzione CVE-2020-9958 che riguarda iPhone 6s e versioni successive, iPod touch di 7ma generazione, iPad Air 2 e successive e iPad mini 4 e successive. Sfruttandola, i cyber criminali potrebbero
bloccare il sistema o scrivere dati nella memoria del kernel.
Sfruttando la vulnerabilità CVE-2020-9773, i cyber criminali potrebbero
identificare l'elenco delle applicazioni installate. Interessa iPhone 6s e versioni successive, iPod touch di 7ma generazione, iPad Air 2 e successive, e iPad mini 4 e successive. Gli stessi prodotti sono afflitti anche dalla vulnerabilità CVE-2020-9976, che tramite un'applicazione dannosa consente a un attaccante di
prelevare informazioni riservate dell'utente.