Bug di sicurezza in Mac OS X, pericolo a tutto campo: ecco come difendersi

di |
logomacitynet696wide

Il bug di sicurezza scoperto due giorni fa in Mac OS X non riguarda solo i file scaricati da Safari e quelli ZIP ma può colpire a tutto campo. Ecco che cosa ha scoperto un giornale tedesco, come testare la vulnerabilità  del proprio sistema e come proteggersi in attesa che Apple ripari la falla con il periodico aggiornamento.

La falla nella sicurezza di Mac OS X segnalato due giorni fa da Secunia non è pericolosa solo nel caso di download di file compressi in ZIP, ma potrebbe essere sfruttato anche mediante file di altro tipo. A puntualizzare sull’argomento è il SANS Internet Storm Center, una realtà  che si occupa di sicurezza e di rischi connessi all’uso di Internet.

“Il rischio – si legge in una nota del Sans – va oltre i file Zip. Trattandosi di un sistema con cui il Finder tratta i file un attacco può partire anche da innocenti, apparentemente, file JPEG. Questo accade perché il sistema operativo assegna l’icona in base all’estensione, ma decide l’applicazione che apre il file in base ai metadata”. In pratica un pirata informatico potrebbe essere in grado di indurre a scaricare un file che l’icona presenta come un’immagine ma in realtà  è uno script che lancia il terminale, con conseguente potenzialmente devastanti. Questo è facilmente realizzabile mediante la creazione di uno shell script privo della cosiddetta “stringa shebang”, quale “#!/bin/bash”.

In pratica, poichè il Finder lancia l’applicazione in base all’icona rappresenta, ma solo se non c’è un eseguibile, un pirata potrebbe semplicemente indurre a scaricare un file di qualche tipo che in realtà  è uno script per il terminale. Una volta finito il download con Safari, se si ha attivata l’opzione “apri i file sicuri” verrebbe lanciato aautomaticamente e senza alcun intervento dell’utente il Terminale che potrebbe fare danni rilevanti, arrivando anche a distruggere file vitali.

Il giornale tedesco Heise, ad aggiungere preoccupazione, ha scoperto che il bug è sfruttabile non solo attraverso un download via Safari, ma anche via email. E’ sufficiente creare uno script mascherandolo da file JPG e inviarlo come allegato. Questo accade perché, spiega il giornale, il formato AppleDouble permette di allegare le resource fork al file inviato per posta elettronica e determina quale applicazione apre il file allegato.

Apple ha comunicato ad alcuni siti Internet che sta lavorando per chiudere il buco, giudicato da molte fonti davvero pericoloso. Al momento non ci sono però indicazioni su quando il patch verrà  rilasciato.

Fino a quel momento i consigli da seguire sono quelli noti: non scaricare file da siti non conosciuti e non aprile attachment di dubbia provenienza. Un altro modo per proteggersi è spostare l’applicazione terminale dalla cartella Applicazioni/Utilità , ad un’altra cartella a propria scelta. In questo modo non potrà  essere eseguito automaticamente nessuno script.

Lo stesso Heise ha messo on line alcuni test per verificare la vulnerabilità  del proprio sistema operativo. Si possono trovare in calce all’articolo sulla vulnerabilità  di Mail.