Tutte le versioni iOS inferiori alla 12.4 sono estremamente vulnerabili.
Al 1° agosto, solo il 9,6% dei dispositivi aziendali era stato aggiornato.

Project Zero di Google ha scoperto sei bug in iOS che possono essere sfruttati da remoto senza alcuna interazione da parte dell’utente, tramite il client iMessage. Apple ha reso disponibili le patch per cinque dei sei difetti con l’aggiornamento iOS 12.4.

I più spaventosi di questi bug (CVE-2019-8624 e CVE-2019-8646) consentono ad un utente malintenzionato di leggere i file da un dispositivo iOS da remoto, senza alcuna interazione da parte della vittima. L’exploit avvia un dump del database iMessage della vittima e compromette la sandbox di iOS mettendo a rischio i file sul dispositivo.

Il codice per sfruttare queste vulnerabilità è ora disponibile al pubblico ed è molto facile da eseguire per qualsiasi malintenzionato. A differenza della recente vulnerabilità di WhatsApp, chiunque abbia competenze informatiche intermedie o avanzate può utilizzare questo codice per hackerare qualsiasi iPhone che non sia stato aggiornato.

Oltre il 90% degli utenti iPhone è ancora vulnerabile. Invitiamo tutti gli utenti iPhone ad aggiornarsi immediatamente.

“Non ho bisogno di software di sicurezza perché iOS è sicuro” – Sbagliato

Questa vulnerabilità mette in discussione l’integrità della sandbox di iOS, che è uno dei fondamenti più significativi dell’intero modello di sicurezza iOS. Esiste una mentalità generale secondo cui i dispositivi iOS sono sicuri, per cui il software di sicurezza non è necessario, ma la realtà è diversa.

La sandbox è progettata per salvaguardare app e dati sensibili assicurando che ciascuna app venga eseguita nel proprio spazio privato, ma questa difesa può essere compromessa nel caso improbabile in cui un dispositivo iOS venga sottoposto a jailbreak. Questo exploit di iMessage ha implicazioni simili a un jailbreak in quanto la debolezza di iMessage espone lo spazio dei file sul dispositivo, che potrebbe includere immagini, video, note, pdf, ecc.

Nei nostri test (vedere il video seguente), i risultati dell’exploit variano e i dati compromessi dipendono  dallo stato del dispositivo della vittima. Per un malintenzionato che conosce bene il file system iOS e sa cosa sta cercando, è probabile che possa accedere a file sensibili al di fuori di iMessage a causa della sandbox compromessa.

 

E’ da Pegasus che non vediamo una vulnerabilità così grave che colpisce i dispositivi iOS. Questo attacco è simile a Pegasus in quanto viene eseguito in remoto e non richiede che la vittima clicchi su qualche cosa affinché l’attacco funzioni. Inoltre, influisce sull’app di messaggistica nativa di Apple che è installata su ogni singolo iPhone, rendendo immenso il numero di potenziali vittime.

“Qualsiasi sviluppatore di app potrebbe rilasciare un’app di messaggistica scarsamente codificata che può essere sfruttata in modo malevolo, ma qui stiamo parlando dell’app di Apple, quindi ogni utente iPhone che non ha aggiornato il proprio software è a rischio.” DAN CUDDEFORD, SENIOR DIRECTOR OF SYSTEMS ENGINEERING DI WANDERA.

“Se il problema è così grave, sarei stato informato della patch” – Sbagliato

La patch per iOS è stata lanciata il 22 luglio nella versione 12.4. Ma non c’era nessuna notifica all’interno di iOS per informare gli utenti che era disponibile. Questo evidenzia l’inefficienza dei metodi di patch di sicurezza di Apple.

A volte i rilasci delle funzionalità Android possono essere rallentati dai fornitori di hardware e dagli operatori, ma le sue patch di sicurezza vengono rilasciate come aggiornamenti separati e installate automaticamente sui dispositivi.

Apple funziona in modo diverso. Gli aggiornamenti delle funzioni e le patch di sicurezza di Apple sono integrati in aggiornamenti software ed è l’utente che deve eseguirli.

“Gli utenti iOS potrebbero vedere una nuova funzionalità in un aggiornamento iOS che non vogliono, quindi potrebbero scegliere di non aggiornare il proprio dispositivo e andare avanti senza un’importante patch di sicurezza che era inserita nello aggiornamento stesso.” DAN CUDDEFORD, SENIOR DIRECTOR OF SYSTEMS ENGINEERING DI WANDERA.

“Ho già visto le vulnerabilità di iOS in passato, ma gli hacker non mi colpiscono” – Sbagliato

I ricercatori di Google hanno concesso ad Apple un periodo di tempo adeguato (90 giorni) per rilasciare una patch prima di rivelare pubblicamente la vulnerabilità. Ma hanno anche pubblicato il codice necessario per eseguire l’exploit.

Secondo i dati della nostra rete di dispositivi aziendali, solo il 9,6% dei dispositivi è stato aggiornato a iOS 12.4 al 1° agosto – 10 giorni dopo che la patch è stata rilasciata, il 22 luglio, e tre giorni dopo che la vulnerabilità è stata resa pubblica il 29 luglio.

“Forse sono le vacanze estive, forse è lo stranamente silenzioso rilascio di Apple 12.4, o forse perché la gente pensa che questi exploit non siano accessibili. Questo è, sono quindi scioccato che non si sia vista una più rapida diffusione di iOS 12.4.” DAN CUDDEFORD, SENIOR DIRECTOR OF SYSTEMS ENGINEERING DI WANDERA.

Con lo script dell’exploit pubblicamente disponibile per il download, tutto ciò di cui avete bisogno è un dispositivo MacOS e il numero di telefono o i dettagli dell’account di iMessage di una vittima per effettuare l’attacco.

I responsabili della sicurezza devono lavorare insieme per garantire la presenza di patch prima che gli exploit facilmente eseguibili siano resi disponibili al pubblico.

Cosa devo fare ora?

Imprese – per proteggere i file locali dei propri dipendenti sui loro dispositivi, che potrebbero potenzialmente contenere dati aziendali sensibili e dati personali, è necessario sollecitare/forzare tutti gli utenti iPhone ad effettuare l’aggiornamento alla ver. 12.4.

Clienti Wandera – accedere a RADAR, andare su Security > Threat View e premere su Outdated OS per capire la propria esposizione al rischio e gestire la risposta.

Utenti iPhone – assicurarsi di essere aggiornato ad iOS 12.4 per essere sicuri che le patch di sicurezza siano attive.

Per ulteriori informazioni leggete gli articoli di  Threatpost e ZDNet su questa vulnerabilità.

Fonte: Wandera