Utenti iOS e Mac a rischio: state attenti a Safari!

Pawel Wylecial prova ad avvisare Apple il 17 aprile. Quattro giorni dopo ha la soddisfazione di sentirsi dire che ha ragione, ma la grande azienda non fa nulla per porre rimedio al “bug” che il co-fondatore della società di sicurezza polacca RedTeam PL ha diligentemente rappresentato.

In pratica un difetto nella programmazione del browser Safari potrebbe consentire ai pirati informatici di rubare i file degli utenti Apple che adoperano il celeberrimo software di navigazione online. Nonostante ogni comprensibile preoccupazione e a dispetto dei ripetuti inviti di Wylecial a fare qualcosa, Apple non avrebbe adottato alcuna iniziativa volta ad eliminare la segnalata vulnerabilità.

Le reiterate sollecitazioni – a quanto pare – sortiscono il solo effetto di chiedere al fastidioso informatico di farla finita e di tenere nascosti i dettagli della propria scoperta fino a quando “nella primavera del 2021” Apple distribuirà un aggiornamento salvifico in grado di tappare la pericolosa falla.

La mail inviata dal quartier generale in quel di Cupertino il 14 agosto lascia sbigottito Pawel Wylecial che non crede ai suoi occhi. Ci pensa qualche giorno e poi, il 24, decide di “sputare” sul web tutte le informazioni di cui era in possesso così da allertare la vasta platea di interessati.

Il tallone d’Achille risiederebbe nella API Web Share di Apple, un nuovo standard per la condivisione di testi, collegamenti, file e altri contenuti, e la dinamica di sottrazione dei file personali descritta da Wylecial nel suo post prevede che la vittima “collabori” con i malintenzionati. Allora non c’è da avere paura? Probabilmente – prima di alzare le spalle e pensare di potersene fregare – vale la pena fare qualche riflessione.

New blog post by our researcher @h0wlu where he demonstrates the possibility to steal local files from macOS/iOS using Safari Web Share API https://t.co/XvmwYw8P1a #safari #ios #macos #security #vulnerability

— REDTEAM.PL (@redteampl) August 24, 2020

E’ vero che la fuga di dati avviene solo a seguito dell’interazione dell’utente, ma sappiamo bene che chi naviga online o riceve messaggi in posta elettronica non ha alcuna ritrosia a fare clic seguendo le indicazioni che arrivano da un sito non affidabile o da un interlocutore sconosciuto. Non è poi così remota la facilità che si concretizzi il classico “clickjacking”, che dirotta l’utente a ad attivare una funziona indesiderata con la sventurata pressione del puntatore del mouse o del polpastrello sul touchscreen nel punto sbagliato…

Mentre gli smanettoni possono approfondire la questione leggendo le indicazioni tecniche che Pawel ha piazzato sul proprio blog, vale la pena informare gli utilizzatori di iPhone che attualmente il bug interessa le versioni 13.4.1 e 13.6 di iOS. Chi adopera altri apparati “Mac” deve sapere che il rischio incombe su macOS Mojave 10.14.16 con Safari 13.1 (14609.1.20.111.8) e macOS Catalina 10.15.5 con Safari 13.1.1 (15609.2.9.1.2).

Nel frattempo – siamo nella stagione della spasmodica ricerca di vaccini – se i signori della “Mela” trovano un rimedio, l’utenza non esiterà a mostrare la propria gratitudine per lo scampato pericolo.