Una Full Chain Zero-Click RCE in macOS Calendar espone i dati di iCloud

Una catena di tre vulnerabilità (rischio critico, medio e basso) in macOS ha permesso di aggirare i livelli di protezione del sistema operativo e ottenere l’accesso ai dati utente di iCloud. Il problema risiede nell’elaborazione insufficiente dei file allegati agli eventi nel calendario, l’applicazione “nativa” di macOS.

Come ha scoperto il ricercatore di sicurezza informatica Mikko Kenttälä, questa falla consente l’esecuzione remota di codice arbitrario, nonché l’accesso a dati sensibili. Durante i test, Kenttälä, ad esempio, ha raggiunto le foto archiviate su iCloud.

Il funzionamento della full-chain

Nessuno dei passaggi di questo vettore di attacco richiede l’interazione dell’utente ma, cosa ancora più importante, non può essere fermato dai sistemi di difesa Gatekeeper e TCC. La vulnerabilità più pericolosa in questo gruppo è il CVE-2022-46723, a cui è stato assegnato un punteggio CVSS di 9,8 e, di conseguenza, uno stato critico.

La cosa peggiore è che il CVE-2022-46723 è abbastanza facile da usare in un attacco. Un criminale informatico opportunista potrebbe inviare all’utente preso di mira un invito di calendario contenente un file dannoso.

Poiché macOS non controlla il nome del file, un utente malintenzionato potrebbe nominarlo arbitrariamente. Inoltre, il CVE-2022-46723 ha creato anche un problema di path traversal, consentendo all’app Calendario di uscire dalla propria sandbox.

Un altro difetto, il CVE-2023-40344, che ha ricevuto un punteggio CVSS di 5,6 (rischio medio) ha funzionato bene insieme al CVE-2022-46723. La terza vulnerabilità – CVE-2023-40434 (rischio basso, punteggio CVSS 3,3) – ha aperto la possibilità di rubare foto dell’utente preso di mira.

Che cos’è una Full Chain RCE Zero-Click?

Una Full Chain Zero-Click RCE è un tipo di attacco informatico estremamente pericoloso che combina diverse vulnerabilità in una catena per ottenere il controllo completo di un dispositivo o sistema, senza richiedere alcuna interazione da parte della vittima.

Ecco una spiegazione dettagliata dei termini:

1. Full Chain: Indica che l’attacco utilizza una catena di vulnerabilità, ovvero una serie di exploit collegati tra loro. Ogni vulnerabilità sfruttata in questa catena permette all’attaccante di ottenere un controllo progressivo sul sistema target, fino a raggiungere l’obiettivo finale, come l’esecuzione di codice arbitrario.
2. Zero-Click: Significa che l’attacco non richiede alcuna interazione da parte della vittima (come cliccare su un link o aprire un allegato). La vittima può essere compromessa semplicemente ricevendo un messaggio o un file, sfruttando vulnerabilità nei software o nei servizi esposti, come le applicazioni di messaggistica o i protocolli di comunicazione.
3. RCE (Remote Code Execution): L’obiettivo finale di questo tipo di attacco è eseguire codice arbitrario da remoto. In pratica, l’attaccante può eseguire qualsiasi comando o programma sul dispositivo della vittima, ottenendo così il pieno controllo del sistema.

In un attacco Full Chain Zero-Click RCE, l’attaccante sfrutta una serie di vulnerabilità senza che la vittima faccia nulla, ottenendo il controllo completo del dispositivo, che può portare all’accesso a dati sensibili, installazione di malware o spyware, o l’esecuzione di altre operazioni malevole.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks