Punto informatico Network

20090109151513_252911772_20090109151434_1216792634_iPhone.jpg

Safari e PDF: combinazione letale per iPhone

05/08/2010
- A cura di
Zane.
Telefonia & Palmari - Il jailbreak di iOS ottenuto via web si basa su due pericolose falle di sicurezza nel software di iPhone e soci. Mentre il governo tedesco raccomanda la massima prudenza, una correzione non-ufficiale è pronta in anteprima, in anticipo su Apple.

Tag

Passa qui con il mouse e visualizza le istruzioni per utilizzare i tag!

iphone (1) , pdf (1) , safari (1) .

Valutazione

  •  
Voto complessivo 3.5 calcolato su 6 voti
Il pezzo che stai leggendo è stato pubblicato oltre un anno fa. AvvisoLa trattazione seguente è piuttosto datata. Sebbene questo non implichi automaticamente che quanto descritto abbia perso di validità, non è da escludere che la situazione si sia evoluta nel frattempo. Raccomandiamo quantomeno di proseguire la lettura contestualizzando il tutto nel periodo in cui è stato proposto.

Com'è possibile che, visitando semplicemente un sito con il browser web, possa essere eseguito automaticamente codice estraneo sul sistema operativo? questa domanda devono essersela posta in molti, dopo aver letto la notizia "Basta un tocco per ottenere il jailbreak di iOS 4".

La risposta è arrivata negli ultimi giorni: jailbreakme.com, spiegano gli esperti, fa leva su una gravissima debolezza di iOS per lanciare il programma di sblocco, in modo del tutto analogo (non fosse per gli scopi) a quanto cercano di fare i cybercriminali per installare malware sui tradizionali PC delle vittime.

I problemi, in realità, sono due. Il primo consiste in un errore nella gestione dei caratteri Compact Font Format incorporati nei documenti PDF: il visualizzatore adottato da iPhone e soci non valida correttamente il formato del file prima di caricarlo in memoria, scatenando così un'esecuzione di codice da remoto.

La responsabilità è comunque di Apple, e non di Adobe: il programma in questione è stato infatti realizzato internamente.

Il secondo difetto, sfruttato in coppia al primo, è invece a livello di kernel: il geniale team alle spalle di jailbreakme.com lo impiega per eseguire l'exploit con i massimi privilegi, scartando completamente i meccanismi restrittivi messi in gioco da iOS.

Il rischio per la sicurezza è quindi elevatissimo: così come jailbreakme.com è in grado di scaricare ed eseguire codice attivo in grado di sbloccare l'apparecchio, un sito ostile potrebbe utilizzare la stessa tecnica per installare malware assortito semplicemente inducendo la vittima a visualizzare una pagina web con il navigatore in dotazione ad iPhone, iPad o iPod Touch.

In caso l'attacco andasse a buon fine, il cracker sarebbe in grado di spiare ogni azione dell'utente (magari attivando microfono e cam) e sottrarre, in linea di massima, dati riservati a piacimento.

A rimarcare che non si tratti di un difetto da poco è stata anche Bundesamt für Sicherheit in der Informationstechnik (BSI). Il comunicato diramato dall'Ufficio Federale per la Sicurezza Informatica tedesco ha invitato tutti i possessori di un apparecchio basato su iOS a non aprire file PDF ed a navigare solamente su siti conosciuti e fidati.

È altamente probabile che Apple rilasci un aggiornamento in grado di correggere il tutto al più presto.

Nell'attesa però, è possibile tutelarsi parzialmente installando l'applicazione chiamata "PDF Loading Warner" da Cyndia, il negozio digitale alternativo ad App Store raggiungibile sugli iPhone sbloccati. Il programma, pur senza correggere le vulnerabilità alla radice, fa sì che l'apparecchio richieda un'esplicita conferma da parte dell'utente prima di aprire qualsiasi file PDF.

Iscriviti gratuitamente alla newsletter, e ti segnaleremo settimanalmente tutti i nuovi contenuti pubblicati su MegaLab.it!

 

Segnala ad un amico

Tuo nome Tuo indirizzo e-mail (opzionale)
Invia a:
    Aggiungi indirizzo email
    Testo

    megalab.it: testata telematica quotidiana registrata al Tribunale di Cosenza n. 22/09 del 13.08.2009, editore Master New Media S.r.l.; © Copyright 2017 Master New Media S.r.l. a socio unico - P.I. 02947530784. GRUPPO EDIZIONI MASTER Spa Tutti i diritti sono riservati. Per la pubblicità: Master Advertising

    • Gen. pagina: 0.45 sec.
    •  | Utenti conn.: 109
    •  | Revisione 2.0.1
    •  | Numero query: 19
    •  | Tempo totale query: 0.16