Un ricercatore turco di sicurezza ha esposto un grosso problema a macOS High Sierra. La falla consente a un utente malintenzionato di accedere a una macchina senza password, nonché l'accesso a potenti diritti di amministratore. Apple ha rilasciato una patch per correggere la vulnerabilità che interessa quasi tutti i sistemi macOS High Sierra.
I sistemi senza patch, tuttavia, rimangono insicuri ...
Qual è il bug?
Il difetto è stato risolto dallo sviluppatore turco Lemi Orhan Ergan. Permetteva a chiunque di ottenere diritti amministrativi completi su una macchina macOS High Sierra semplicemente digitando "root" come nome utente nella finestra di dialogo di autenticazione. Quindi, lasciando vuoto il campo della password e facendo clic due volte sul pulsante "Unlock", viene concesso l'accesso amministrativo completo.
Puoi accedervi tramite Preferenze di Sistema> Utenti e Gruppi> Fai clic sul lucchetto per apportare modifiche. Quindi utilizzare "root" senza password. E provalo per diverse volte. Il risultato è incredibile! pic.twitter.com/m11qrEvECs
- Lemi Orhan Ergin (@lemiorhan), 28 novembre 2017
In teoria, prima della patch, se lasciavi il tuo Mac incustodito, qualcuno potrebbe facilmente accedere e distruggere la tua macchina. Ad esempio, potrebbero installare malware 5 semplici modi per infettare il tuo Mac con malware 5 semplici modi per infettare il tuo Mac con malware Potresti pensare che sia piuttosto difficile infettare il tuo Mac con malware, ma ci sono sempre delle eccezioni. Ecco cinque modi in cui puoi sporcare il tuo computer. Ulteriori informazioni, acquisizione di password 5 semplici modi per infettare il tuo Mac con malware 5 semplici modi per infettare il tuo Mac con malware Potresti pensare che sia piuttosto difficile infettare il tuo Mac con malware, ma ci sono sempre delle eccezioni. Ecco cinque modi in cui puoi sporcare il tuo computer. Maggiori informazioni sull'uso di un portachiavi Dovresti usare il portachiavi iCloud per sincronizzare le password su Mac e iOS? Dovresti usare il portachiavi iCloud per sincronizzare le password su Mac e iOS? Se utilizzi principalmente i prodotti Apple, perché non utilizzare il proprio gestore password della società completamente gratuito? Leggi di più, cancella o rovina il tuo ID Apple e altro ancora.
Ma Apple ha risolto il problema, giusto?
Mentre scrivo questo articolo, Apple ha rilasciato l'aggiornamento per la sicurezza per risolvere il problema. La dichiarazione sull'aggiornamento del contenuto di sicurezza di Apple dice "Un errore logico esisteva nella convalida delle credenziali. Questo problema è stato risolto con una convalida delle credenziali migliorata. "
La correzione è già disponibile sul Mac App Store. Inoltre, l'aggiornamento verrà applicato automaticamente ai Mac con High Sierra 10.13.1 da mercoledì 29 novembre. Apple ha ampliato la situazione con la seguente dichiarazione:
"La sicurezza è una priorità assoluta per ogni prodotto Apple e purtroppo ci siamo imbattuti in questa versione di macOS.
"Quando i nostri ingegneri della sicurezza sono venuti a conoscenza del problema martedì pomeriggio, abbiamo immediatamente iniziato a lavorare su un aggiornamento che chiude il buco della sicurezza. Questa mattina, a partire dalle 8 del mattino, l'aggiornamento è disponibile per il download e, a partire da oggi, verrà installato automaticamente su tutti i sistemi che eseguono l'ultima versione (10.13.1) di macOS High Sierra.
"Ci rammarichiamo molto di questo errore e ci scusiamo con tutti gli utenti Mac, sia per il rilascio di questa vulnerabilità che per la preoccupazione che ha causato. I nostri clienti meritano di meglio. Stiamo verificando i nostri processi di sviluppo per aiutare a prevenire che ciò accada di nuovo. "
Ma già lo conoscevano?
Sfortunatamente per Apple, questo problema era già emerso, ma non ha ricevuto alcuna azione. Un membro del forum di supporto di Apple ha pubblicato i dettagli esatti del bug più di due settimane fa. Il post originale e le risposte sembrano visualizzare il bug principale come una potenziale funzionalità di risoluzione dei problemi, piuttosto che una minaccia alla sicurezza critica.
"Il problema di sicurezza è stato originariamente descritto come una soluzione a un problema di accesso utente nel forum di supporto per sviluppatori Apple." Amico, l'exploit era sugli internet. Che ne dici di lasciare che tutto Twitter si protegga da questo bug impostando una password di root? https://t.co/sGLJW1pSOq
- elizabeth j allen (@ej_allen), 29 novembre 2017
Cosa faccio ora?
Bene, la prima cosa da fare è controllare l'aggiornamento del sistema. Apple ha deciso di implementare l'aggiornamento automatico delle patch ad un certo punto nelle ultime 24 ore. Se l'aggiornamento automatico non è apparso, dovresti andare al Mac App Store e cercare lì l'aggiornamento. In alternativa, fai clic su questo link.
Una volta scaricato l'aggiornamento, installalo immediatamente.
Non funziona
Se per qualche motivo l'aggiornamento non viene installato, prima spegnere e riaccendere il sistema, quindi riprovare. Apple ha automatizzato il processo.
In caso contrario, attenersi alla seguente procedura per proteggere il sistema nel frattempo:
- Apri Spotlight, cerca Utility Directory, seleziona l'opzione corrispondente
- Fare clic sul lucchetto per apportare modifiche; inserisci il tuo nome utente e password per l'account amministrativo
- Vai a Menu> Modifica
- Seleziona Abilita utente root ; crea una password e verifica
Questo è, tuttavia, uno stop-gap. Si prega di tentare di installare l'aggiornamento ufficiale.
Occhi sulla fonte
Mentre Apple ricopre il bug, gli occhi si girano verso Lemi Orhan Ergan. L'autodidatta "artigiano del software" sta ricevendo critiche per non aver aderito alle linee guida di divulgazione responsabile. Informativa completa o responsabile: come vengono scoperte le vulnerabilità di sicurezza. Divulgazione completa o responsabile: come vengono scoperte le vulnerabilità di sicurezza Le vulnerabilità di sicurezza nei pacchetti software popolari vengono scoperte continuamente, ma come vengono segnalati agli sviluppatori e in che modo gli hacker vengono a conoscenza delle vulnerabilità che possono sfruttare? Leggi di più . La divulgazione responsabile richiede ai ricercatori di sicurezza di informare le aziende sulle minacce alla sicurezza per consentire il tempo di correggere il problema. Dopo che il difetto è stato corretto, il ricercatore è libero di presentare i risultati al pubblico.
QUESTO NON È INFORMATO RESPONSABILE. Questo è estremamente irresponsabile, specialmente per una vulnerabilità di questa portata. Apple ha un eccellente sistema di divulgazione e il loro team è eccezionalmente reattivo. PER FAVORE, non fare cose come questa https://t.co/E6iOX5A43C
- Johnny Xmas (@ J0hnnyXm4s), 28 novembre 2017
Naturalmente, questo sistema non funziona sempre come previsto. Le aziende non rispondono e i ricercatori di sicurezza diventano impazienti. In questi casi, la creazione di un problema pubblico costringe la mano della società, costringendoli a correggere la minaccia alla sicurezza.
Dopo aver ricevuto una quantità significativa di critiche, Ergan ha postato una risposta su Medium. Spiega che "non è né un hacker né uno specialista della sicurezza", continua "Mi concentro esclusivamente su pratiche di codifica sicure durante la programmazione, ma non posso mai definirmi uno specialista della sicurezza".
Caro @ AppleSupport, abbiamo notato un problema di sicurezza * ENORME * su MacOS High Sierra. Chiunque può accedere come "root" con la password vuota dopo aver fatto clic sul pulsante di accesso più volte. Ne sei consapevole @ Apple?
- Lemi Orhan Ergin (@lemiorhan), 28 novembre 2017
In tutta onestà, il bug è stato discusso nel forum di supporto Apple. Inoltre, Ergan afferma che i suoi colleghi della ditta di pagamenti Iyzico hanno rivelato la minaccia ad Apple il 23 novembre - ma non hanno mai ricevuto risposta.
Occhi sulla palla
Dalla fonte, alla compagnia. Apple ha lasciato che questo passasse attraverso la rete? In una parola, sì: soprattutto se erano a conoscenza del bug come sostiene Ergan. Sfortunatamente, non conosciamo la verità, quindi non possiamo fare una valutazione solida della situazione.
Anche dopo aver subito il secondo aggiornamento forzato in un anno (ancora solo il loro secondo aggiornamento di sicurezza forzato di sempre), Apple non dovrebbe preoccuparsi. Le istanze di macOS e malware iOS stanno aumentando gli aumenti di malware mirati a Apple - Ecco cosa guardare nel 2016 Aumenta il malware mirato a Apple - Ecco cosa guardare fuori per il 2016 L'hardware Apple non è più un rifugio sicuro da hacker, malware, ransomware e altre minacce informatiche. La prima metà del 2016 dimostra che senza le giuste precauzioni, i tuoi dispositivi possono diventare rischi .... Ulteriori informazioni, ma Windows e Android rimangono gli obiettivi principali Qual è il sistema operativo mobile più sicuro? Qual è il sistema operativo mobile più sicuro? In lotta per il titolo di più sicuro sistema operativo mobile, abbiamo: Android, BlackBerry, Ubuntu, Windows Phone e iOS. Quale sistema operativo è il migliore per difendersi dagli attacchi online? Leggi di più . Inoltre, Apple ha un record di sicurezza stellare per la maggior parte The Ultimate Mac Security Guide: 20 modi per proteggersi La migliore guida alla sicurezza Mac: 20 modi per proteggersi Non essere una vittima! Proteggi il tuo Mac oggi con la nostra esauriente guida alla sicurezza di High Sierra. Leggi di più, come dimostra il loro rapido ed efficace aggiornamento per sopprimere la crescente minaccia.
Sei stato colpito dal difetto di sicurezza di Apple? O l'aggiornamento è arrivato abbastanza velocemente da impedirti di preoccuparti? Fateci sapere i vostri pensieri qui sotto!