Una Full Chain Zero-Click RCE in macOS Calendar espone i dati di iCloud

Redazione RHC : 18 Settembre 2024 10:36

Una catena di tre vulnerabilità (rischio critico, medio e basso) in macOS ha permesso di aggirare i livelli di protezione del sistema operativo e ottenere l’accesso ai dati utente di iCloud. Il problema risiede nell’elaborazione insufficiente dei file allegati agli eventi nel calendario, l’applicazione “nativa” di macOS.

Come ha scoperto il ricercatore di sicurezza informatica Mikko Kenttälä, questa falla consente l’esecuzione remota di codice arbitrario, nonché l’accesso a dati sensibili. Durante i test, Kenttälä, ad esempio, ha raggiunto le foto archiviate su iCloud.

Il funzionamento della full-chain

Nessuno dei passaggi di questo vettore di attacco richiede l’interazione dell’utente ma, cosa ancora più importante, non può essere fermato dai sistemi di difesa Gatekeeper e TCC. La vulnerabilità più pericolosa in questo gruppo è il CVE-2022-46723, a cui è stato assegnato un punteggio CVSS di 9,8 e, di conseguenza, uno stato critico.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

La cosa peggiore è che il CVE-2022-46723 è abbastanza facile da usare in un attacco. Un criminale informatico opportunista potrebbe inviare all’utente preso di mira un invito di calendario contenente un file dannoso.

Poiché macOS non controlla il nome del file, un utente malintenzionato potrebbe nominarlo arbitrariamente. Inoltre, il CVE-2022-46723 ha creato anche un problema di path traversal, consentendo all’app Calendario di uscire dalla propria sandbox.

Un altro difetto, il CVE-2023-40344, che ha ricevuto un punteggio CVSS di 5,6 (rischio medio) ha funzionato bene insieme al CVE-2022-46723. La terza vulnerabilità – CVE-2023-40434 (rischio basso, punteggio CVSS 3,3) – ha aperto la possibilità di rubare foto dell’utente preso di mira.

Che cos’è una Full Chain RCE Zero-Click?

Una Full Chain Zero-Click RCE è un tipo di attacco informatico estremamente pericoloso che combina diverse vulnerabilità in una catena per ottenere il controllo completo di un dispositivo o sistema, senza richiedere alcuna interazione da parte della vittima.

Ecco una spiegazione dettagliata dei termini:

1. Full Chain: Indica che l’attacco utilizza una catena di vulnerabilità, ovvero una serie di exploit collegati tra loro. Ogni vulnerabilità sfruttata in questa catena permette all’attaccante di ottenere un controllo progressivo sul sistema target, fino a raggiungere l’obiettivo finale, come l’esecuzione di codice arbitrario.
2. Zero-Click: Significa che l’attacco non richiede alcuna interazione da parte della vittima (come cliccare su un link o aprire un allegato). La vittima può essere compromessa semplicemente ricevendo un messaggio o un file, sfruttando vulnerabilità nei software o nei servizi esposti, come le applicazioni di messaggistica o i protocolli di comunicazione.
3. RCE (Remote Code Execution): L’obiettivo finale di questo tipo di attacco è eseguire codice arbitrario da remoto. In pratica, l’attaccante può eseguire qualsiasi comando o programma sul dispositivo della vittima, ottenendo così il pieno controllo del sistema.

In un attacco Full Chain Zero-Click RCE, l’attaccante sfrutta una serie di vulnerabilità senza che la vittima faccia nulla, ottenendo il controllo completo del dispositivo, che può portare all’accesso a dati sensibili, installazione di malware o spyware, o l’esecuzione di altre operazioni malevole.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli