Archivio » 2004 » ottobre » martedì 5 »

Sicurezza: la nuova patch di Apple

Scritto da Guido Sintoni

Terza tornata di rimedi in un mese per Mac Os X. Stavolta i bug corretti riguardano software lato client e server, dal file sharing al sistema di stampa per finire al riproduttore multimediale Quicktime

Con il consueto bollettino, Apple ha annunciato un nuovo giro di patch relative alla sicurezza per i prodotti basati su Mac Os X 10.2.8 e successivi.

Il download può essere automatico, grazie al servizio Apple Software Update, o manuale. Otto sono le vulnerabilità corrette.
Due sono le correzioni per AFP Server (una unità AFP montata da un utente guest poteva essere usata per cancellare i mount compiuti dall’utente sullo stesso server; inoltre, alcuni permessi di sola lettura potevano essere aggirati); due per Cups (il sistema di stampa di Mac Os X: era esposto al denial of service e alla visualizzazione delle password locali) e una per NetInfoManager (l’utilità, per i soli sistemi Mac Os X 10.3, non gestiva correttamente alcune utenze privilegiate).

Sicurezza e antivirus

» Aiuto! proteggete il mio computer

Seguono correzioni per il server di posta Postfix (per evitare un possibile denial of service nell’uso dell’autenticazione su Smtp); per QuickTime (in maniera simile alle vulnerabilità appena scoperte nei lettori multimediali RealNetworks, passibile di sovrascrittura dei segmenti dinamici della memoria e - quindi - di esecuzione arbitraria di codice; il vettore di attacco è una immagine bitmap creata ad arte) e per ServerAdmin (la comunicazione client-server, pur se basata su Ssl, poteva essere intercetta). Non si tratta - a detta degli esperti - di vulnerabilità semplici da provocare e sfruttare: insomma, difficile pensare alla comparsa di toolkit quali quello per il bug delle librerie Microsoft Gdi+ in ambiente Macintosh. Per Apple si tratta del terzo rilascio di patch nel giro di un mese: tre bug riguardano componenti open source inclusi nel sistema, e cinque quelli proprietari.

Da ultimo, una curiosità: l’aggiornamento, inizialmente previsto per il 30 settembre, presenta un buco nero di alcuni giorni: la sua distribuzione è infatti iniziata nella prima settimana lavorativa di ottobre. Segno che - specie per i componenti server - in quel di Cupertino hanno lasciato il week-end libero da pensieri ai sistemisti che lavorano su piattaforma Macintosh.