Scoperte 8 vulnerabilità nelle app Microsoft per macOS

I ricercatori di Cisco Talos hanno scoperto 8 vulnerabilità in 6 app Microsoft per macOS che possono essere sfruttate per aggirare i permessi del sistema operativo. Ciò consente di accedere alle risorse ed eseguire varie attività, tra cui il furto di informazioni sensibili. L’azienda di Redmond ha rilasciato gli aggiornamenti per due app, mentre le altre quattro rimangono vulnerabili.

Descrizione delle vulnerabilità

Sfruttando le vulnerabilità individuate da Cisco Talos, i cybercriminali potrebbero ottenere privilegi elevati senza nessuna verifica e accedere a microfono, fotocamera e cartelle, registrare video e rubare dati senza l’interazione dell’utente. Le app interessate sono Microsoft Teams, Outlook, PowerPoint, OneNote, Excel e Word.

Una delle funzionalità usate da macOS per proteggere gli utenti da software infetti (malware) è denominata Transparency, Consent, and Control (TCC). Quando un’app chiede i permessi di accesso a fotocamera, microfono, contatti e altre risorse, l’utente vede un pop-up con i pulsanti “Consenti” e “Non consenti”. I permessi possono essere revocati nelle impostazioni.

Per le app pubblicate sullo store ufficiale è necessario utilizzare la sandbox, una protezione che evita l’accesso a risorse aggiuntive a quelle indispensabili. Ciò limita il rischio di iniettare codice nei processi per accedere alle risorse protette. Per le app controllate da Apple (anche quelle non distribuite tramite store) è obbligatorio attivare la funzionalità Hardened Runtime che blocca la compilazione JIT e l’uso di librerie non dichiarate mediante “entitlements”.

Le suddette app Microsoft supportano la funzionalità Hardened Runtime, ma consentono l’iniezione di codice (librerie) perché la corrispondente protezione è disattivata. Un cybercriminale può quindi iniettare una libreria nello spazio del processo di un’applicazione in esecuzione, ottenendo tutti i permessi già concessi. È possibile quindi accedere a fotocamera, microfono, contatti e altre risorse privilegiate.

Microsoft considera le vulnerabilità a basso rischio. Ha tuttavia rilasciato aggiornamenti per Teams e OneNote. Outlook, PowerPoint, Excel e Word rimangono vulnerabili.