[macnv] IlSoftware.it - iOS 4.0.2: Apple mette in sicurezza i suoi dispositivi

From: mario bonomi <mario_bonomi@xxxxxx>
To: Macnv <macnv@xxxxxxxxxxxxx>
Date: Thu, 12 Aug 2010 14:30:28 +0200
http://www.ilsoftware.it/articoli.asp?id=6469

iOS 4.0.2: Apple mette in sicurezza i suoi dispositivi

Nei giorni scorsi abbiamo dato notizia della pericolosissima doppia 
vulnerabilità individuata in iOS, il sistema operativo che funge da "cuore 
pulsante" per gli iPhone, gli iPad e gli iPod Touch (ved., in proposito, questo 
articolo).
I tecnici di Apple si sono immediatamente attivati per inibire le metodologie 
di attacco recentemente illustrate in Rete ed hanno provveduto a rilasciare iOS 
4.0.2, nuovo aggiornamento per il sistema operativo (ved. questa pagina). 
Sfruttando le falle emerse nei giorni scorsi, un hacker noto con lo pseudonimo 
di "comex" è riuscito a mettere a punto una procedura, del tutto automatizzata, 
che permetteva agli utenti - collegandosi dal proprio dispositivo ad una 
semplice pagina web - di effettuare il "jailbreaking" ossia lo "sblocco" del 
dispositivo.

Marco Giuliani, malware technology specialist per Prevx, sottolinea come la 
pagina web allestita dall'hacker aprisse un documento PDF contenente del codice 
arbitrario. Questo veniva posto in esecuzione sull'iPhone sfruttando una falla 
insita nel motore di rendering dei documenti in formato PDF. "Non c'entra nulla 
Adobe", aggiunge Giuliani. "Apple utilizza un proprio engine per la resa dei 
file PDF" chiarendo che, nello specifico, la lacuna di sicurezza riguarda una 
non corretta gestione di alcune fonti di carattere CFF. La seconda 
vulnerabilità, considerata più grave, è strettamente legata al funzionamento 
del sistema operativo: "sfrutta una falla nel framework "IOSurface", utilizzato 
per condividere interfacce grafiche tra le varie applicazioni e gestito 
interamente dal kernel", spiega Giuliani. "Alcuni parametri degli oggetti 
creati non vengono correttamente validati dal framework causando un errore di 
integer overflow. Essendo il codice gestito nel kernel, l'errore permette di 
eseguire codice con privilegi di root". La conseguenza è che il codice riesce 
così ad evadere al controllo operato all'interno della "sandbox".

Dopo il rilascio della patch 4.0.2 da parte di Apple, l'hacker autore della 
scoperta ha pubblicato i dettagli tecnici del suo "exploit" rendendo così la 
vita molto più semplice ai malintenzionati che volessero sfruttare la lacuna di 
sicurezza. Per mettersi al riparo da qualunque rischio, quindi, tutti i 
possessori di iPhone ed iPod Touch è bene si affrettino ad installare iOS 
4.0.2. Per quanto riguarda gli iPad, vulnerabili sono tutti i dispositivi che 
impiegano un qualsiasi firmware con versione inferiore alle 3.2.2.
[macnv] IlSoftware.it - iOS 4.0.2: Apple mette in sicurezza i suoi dispositivi

Other related posts:
