Una vulnerabilità nel WebKit, il “motore” della versione mobile di Safari e altri browser per iOS, ha consentito a due ricercatori olandesi che si occupano di sicurezza di individuare un exploit con il quale prendere controllo di un iPhone 4S e aggiudicarsi il premio da 30.000$ nel corso della competizione per hacker Pwn2Own che si è svolta ad Amsterdam. La vulnerabilità è stata mostrata in pochi minuti ma è ovviamente il frutto di mesi di preparazione. Il problema è ancora presente in iOS 6.
Dopo aver individuato la vulnerabilità zero-day nel WebKit, Pol e Daan Keuper hanno dovuto sfruttare varie tecniche per corrompere la memoria del browser e iniettare istruzioni sfruttando un sito creato ad hoc. L’hack bypassa la necessità di eseguire codice firmato e consente di accedere a foto, video, contatti e alla cronologia del browser. Email e SMS non sono visibili – dicono i due esperti – poiché sono cifrati e isolati contro la corruzione della memoria.
I due hanno sottolineato che, nonostante l’hack individuato, iOS rimane senza dubbio la piattaforma mobile più sicura. Poiché l’exploit individuato potrebbe essere usato per scopi malevoli, hanno deciso di eliminare il codice utilizzato ma è probabile che altri hacker s’interesseranno alla tecnica. Apple ovviamente non starà a guardare (la vulnerabilità è stata già segnalata a Cupertino) e un update per il sistema sarà probabilmente disponibile a breve.
Nel corso dell’evento è stato attaccato anche un Galaxy S III, sfruttando una vulnerabilità che ha a che fare con il software per la gestione della connettività wireless NFC (Near Field Communication). L’hack ha mostrato la possibilità di prendere pieno controllo dello smartphone e accedere ai dati semplicemente puntando un altro SIII.
[A cura di Mauro Notarianni]
