L’aggiornamento iOS 15.3 di Apple risolve bug critici di sicurezza di Safari

Apple ha appena rilasciato iOS 15.3 e, sebbene questo ultimo aggiornamento non aggiunga nuove funzionalità significative, risolve almeno un difetto di sicurezza critico. All’inizio di questo mese, l’ingegnere del software Martin Bajanik di FingerprintJS ha rilevato una grave vulnerabilità in Safari 15, il browser incluso in iOS 15 e iPadOS 15 , che potrebbe far trapelare informazioni sulla cronologia di navigazione e persino credenziali dai servizi online che una persona sta utilizzando, come Google, YouTube, Amazon e siti che utilizzano WordPress.

Come spiega Bajanik, molti siti Web utilizzano un’API chiamata IndexedDB per richiedere che browser come Safari e Chrome memorizzino informazioni in un database locale sul dispositivo di una persona. In circostanze normali, un determinato sito Web dovrebbe essere in grado di richiedere informazioni solo sui database che ha creato, tutti gli altri dovrebbero essere invisibili.

Sfortunatamente, si scopre che il browser Safari in iOS 15 non rispettava esattamente quelle regole. Sebbene non fornisse alcuna informazione memorizzata in quei database, forniva felicemente un elenco completo di tutti i database locali a qualsiasi sito Web che richiedeva.

Anche se in apparenza può sembrare relativamente innocuo, il problema è che molti servizi utilizzano informazioni riservate per questi nomi di database. Ad esempio, Google utilizza un identificatore interno univoco e specifico dell’utente che consente a chiunque abbia effettuato l’accesso al proprio account Google di essere “identificato in modo univoco e preciso”. Bajanaik osserva che questo ID utente di Google può anche essere inserito nelle API di Google per recuperare informazioni pubbliche sul proprietario dell’account, come il nome e l’immagine del profilo.

A peggiorare le cose, questo non solo consente a un sito Web dannoso di conoscere l’identità di un utente, ma può anche essere utilizzato per ottenere un elenco di più account di proprietà della stessa persona. Ciò potrebbe creare una grave violazione della privacy in situazioni in cui qualcuno utilizza un account anonimo che non è in alcun modo legato alla propria identità personale. Un hacker che sfrutta questo difetto potrebbe stabilire una connessione scoprendo che la stessa persona aveva informazioni per entrambi gli account memorizzate nel proprio browser.

Il difetto sembra anche facile da sfruttare. Bajanaik spiega che “una scheda o una finestra che viene eseguita in background e interroga continuamente l’API IndexedDB per i database disponibili, può sapere quali altri siti Web visita un utente in tempo reale”, consentendo agli hacker di raccogliere dati sugli obiettivi semplicemente inserendo codice dannoso in un sito web apparentemente legittimo.

Correzioni di sicurezza in iOS 15.3

Rispetto alle interessanti funzionalità che sono arrivate nelle ultime due versioni principali di iOS, l’aggiornamento di iOS 15.3 di questa settimana potrebbe sembrare piuttosto noioso, ma non dovrebbe essere preso alla leggera. In effetti, è ancora più importante aggiornare a iOS 15.3 il prima possibile.

Non solo iOS 15.3 risolve questo buco di sicurezza particolarmente brutto in Safari, ma secondo le note di rilascio di Apple , ci sono altre nove importanti correzioni di sicurezza, inclusa una che secondo Apple “potrebbe essere stata attivamente sfruttata”.

Altre vulnerabilità di sicurezza risolte in iOS 15.3 includono un bug di iCloud che potrebbe consentire alle applicazioni di aggirare la sicurezza e accedere ai file di un utente, oltre a diversi altri scenari in cui le applicazioni dannose potrebbero trovare modi per ottenere i privilegi di root o eseguire arbitrariamente codice per fare cose che non dovrebbero essere permesso di fare.