macOS Ventura ha una falla che in 10 mesi non è ancora stata corretta

Lo sviluppatore Jeff Johnson ha scovato una nuova falla in macOS Ventura che consente di bypassare il sistema App Management, ma Apple non è ancora intervenuta a correggerla nonostante siano passati 10 mesi dalla segnalazione. Johnson ha quindi deciso di rendere la falla di pubblico dominio poiché l'azienda di Cupertino non ha rilasciato nessun aggiornamento risolutivo, nonostante le ripetute segnalazioni.

La vulnerabilità, che non richiede accesso completo al disco, è stata individuata nell'ottobre 2022 e prontamente comunicata al team Apple Product Security, da cui però non è arrivata alcuna risposta concreta nei mesi successivi. In questi casi le procedure standard di responsible disclosure lasciano un periodo tra i 60 e i 120 giorni di tempo affinché la società contattata sviluppi e distribuisca una patch di sicurezza, trascorsi i quali il ricercatore ha le "mani libere" per divulgare il problema.

Il problema risiede nella gestione della sandbox delle app, una scoperta che Johnson ha effettuato in maniera fortuita. Un'app in ambiente sandbox riesce infatti a modificare file al di fuori del suo limitato permesso di accesso al file system, aggirando così le protezioni di sicurezza.

Johnson ha inoltre rilasciato un codice appositamente creato per dimostrare l'entità del problema: il codice mostra come un'app in ambiente sandbox riesca a sovrascrivere contenuti che dovrebbero in realtà essere protetti da App Management in macOS 13.5.1. Lo sviluppatore evidenzia come il codice per effettuare il bypass sia anche piuttosto semplice da comporre.

Non è la prima volta che Johnson individua falle di questo tipo nel sistema operativo Apple e già nel corso del 2020 aveva creato un exploit in grado di bypassare protezioni privacy e sicurezza su macOS. Lo sviluppatore, divulgando la nuova vulnerabilità, ha affermato di aver perso fiducia nella capacità di Apple di risolvere tempestivamente il problema.

Johnson non avrà inoltre la possibilità di ottenere una ricompensa nel contesto del programma di bug bounty di Apple, dato che la società di Cupertino non corrisponde i premi quando le vulnerabilità vengono divulgate pubblicamente.