Una Full Chain Zero-Click RCE in macOS Calendar espone i dati di iCloud

Una catena di tre vulnerabilità (rischio critico, medio e basso) in macOS ha permesso di aggirare i livelli di protezione del sistema operativo e ottenere l’accesso ai dati utente di iCloud. Il problema risiede nell’elaborazione insufficiente dei file allegati agli eventi nel calendario, l’applicazione “nativa” di macOS.

Come ha scoperto il ricercatore di sicurezza informatica Mikko Kenttälä, questa falla consente l’esecuzione remota di codice arbitrario, nonché l’accesso a dati sensibili. Durante i test, Kenttälä, ad esempio, ha raggiunto le foto archiviate su iCloud.

Il funzionamento della full-chain

Nessuno dei passaggi di questo vettore di attacco richiede l’interazione dell’utente ma, cosa ancora più importante, non può essere fermato dai sistemi di difesa Gatekeeper e TCC. La vulnerabilità più pericolosa in questo gruppo è il CVE-2022-46723, a cui è stato assegnato un punteggio CVSS di 9,8 e, di conseguenza, uno stato critico.

Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected]. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

La cosa peggiore è che il CVE-2022-46723 è abbastanza facile da usare in un attacco. Un criminale informatico opportunista potrebbe inviare all’utente preso di mira un invito di calendario contenente un file dannoso.

Poiché macOS non controlla il nome del file, un utente malintenzionato potrebbe nominarlo arbitrariamente. Inoltre, il CVE-2022-46723 ha creato anche un problema di path traversal, consentendo all’app Calendario di uscire dalla propria sandbox.

Un altro difetto, il CVE-2023-40344, che ha ricevuto un punteggio CVSS di 5,6 (rischio medio) ha funzionato bene insieme al CVE-2022-46723. La terza vulnerabilità – CVE-2023-40434 (rischio basso, punteggio CVSS 3,3) – ha aperto la possibilità di rubare foto dell’utente preso di mira.

Che cos’è una Full Chain RCE Zero-Click?

Una Full Chain Zero-Click RCE è un tipo di attacco informatico estremamente pericoloso che combina diverse vulnerabilità in una catena per ottenere il controllo completo di un dispositivo o sistema, senza richiedere alcuna interazione da parte della vittima.

Ecco una spiegazione dettagliata dei termini:

1. Full Chain: Indica che l’attacco utilizza una catena di vulnerabilità, ovvero una serie di exploit collegati tra loro. Ogni vulnerabilità sfruttata in questa catena permette all’attaccante di ottenere un controllo progressivo sul sistema target, fino a raggiungere l’obiettivo finale, come l’esecuzione di codice arbitrario.
2. Zero-Click: Significa che l’attacco non richiede alcuna interazione da parte della vittima (come cliccare su un link o aprire un allegato). La vittima può essere compromessa semplicemente ricevendo un messaggio o un file, sfruttando vulnerabilità nei software o nei servizi esposti, come le applicazioni di messaggistica o i protocolli di comunicazione.
3. RCE (Remote Code Execution): L’obiettivo finale di questo tipo di attacco è eseguire codice arbitrario da remoto. In pratica, l’attaccante può eseguire qualsiasi comando o programma sul dispositivo della vittima, ottenendo così il pieno controllo del sistema.

In un attacco Full Chain Zero-Click RCE, l’attaccante sfrutta una serie di vulnerabilità senza che la vittima faccia nulla, ottenendo il controllo completo del dispositivo, che può portare all’accesso a dati sensibili, installazione di malware o spyware, o l’esecuzione di altre operazioni malevole.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La redazione di Red Hot Cyber è composta da professionisti del settore IT e della sicurezza informatica, affiancati da una rete di fonti qualificate che operano anche in forma riservata. Il team lavora quotidianamente nell’analisi, verifica e pubblicazione di notizie, approfondimenti e segnalazioni su cybersecurity, tecnologia e minacce digitali, con particolare attenzione all’accuratezza delle informazioni e alla tutela delle fonti. Le informazioni pubblicate derivano da attività di ricerca diretta, esperienza sul campo e contributi provenienti da contesti operativi nazionali e internazionali.