Apple, finalmente la patch per i Dns al veleno

All’appello di coloro che hanno corretto il problema di Dns poisoning scoperto da Dan Kaminsky quasi un mese fa mancava, fino ad oggi, Apple: l’azienda di Cupertino vi ha posto rimedio rilasciando Security Update 2008-005, la quinta raccolta dell’anno in tema di correzioni per Mac OS X e le sue applicazioni.

Come spiega il bollettino dedicato, il Security Update contiene la nuova versione del server Dns Berkeley Internet Name Domain (Bind); ne beneficiano Mac OS X 10.4.11, Mac OS X Server 10.4.11, Mac OS X v10.5.4 e Mac OS X Server v10.5.4. La patch evita che una richiesta di risoluzione del nome di dominio porti come risultato a un reindirizzamento arbitrario, il che può prestare il fianco a un attacco orientato al phishing.

La tempistica di Apple ha suscitato le critiche di molti analisti ed esperti di sicurezza: altri vendor, da Cisco a Microsoft, avevano già pronte le correzioni quando la scoperta di Kaminsky è diventata di pubblico dominio. Il ricercatore, infatti, ha scelto la via della responsible disclosure, notificando la propria scoperta i vendor con un congruo anticipo, senza scendere in dettagli. Che invece sono stati resi pubblici per un errore poco meno di dieci giorni fa (con tanto di lettera di scuse da parte del maldestro autore del fatto): si può quindi pensare che i sistemi non corretti - e quelli Apple non potevano esserlo, giocoforza - siano stati in grave pericolo a partire da allora.

Per completezza di informazione, va riportato che alcuni provider e amministratori di rete hanno lamentato problemi di compatibilità una volta installate le patch rilasciate con tempestività: a mo’ di estrema difesa nei confronti di Apple, si può ipotizzare che in quel di Cupertino si sia scelta la strada della prudenza ad oltranza.

La danese Secunia considera “altamente critiche” le vulnerabilità corrette dal Security Update 2008-005: oltre al problema legato a Bind sopra esposto, vengono corrette altri dieci tasselli di Mac OS X, tra applicazioni e componenti di sistema. In tema di rilascio di patch, Apple ha scelto da tempo di non fissare un orizzonte temporale predefinito, al contrario della maggioranza dei concorrenti, Microsoft in testa. Security Update 2005-008 è, come al solito, disponibile come download manuale o come aggiornamento proposto da Apple Software Update.