Pronta la patch per le falle di Safari, Mail e Mac OS X

Questo articolo vi arriva grazie alle gentili donazioni di "giopa_p" e "luca.frago****".

Apple ha rilasciato la patch che corregge le gravi falle descritte nei giorni scorsi. La documentazione (piuttosto scarna, come al solito) delle falle turate è nelle pagine di sicurezza del sito Apple.

Ce n'è per tutti i gusti, ma le correzioni più importanti per l'utente comune sono quelle che riguardano Mail e Safari, che ora esaminano più a fondo i file ricevuti prima di dichiararli "sicuri", e quella che riguarda iChat, che ora non è più vulnerabile dall'attacco del virus/worm Leap.A.

L'invito per tutti gli utenti Mac è scaricare e installare subito gli aggiornamenti, usando l'apposita funzione di Mac OS X. Sarà necessario riavviare, e se avete rimosso dal Dock l'icona di iTunes, noterete che viene ripristinata: un fastidioso vezzo autopromozionale piuttosto ricorrente da qualche tempo in casa Apple.

Una volta installati gli aggiornamenti, il test della falla fornito da Heise.de (descritto nel mio articolo precedente sul tema), che prima funzionava anche se si usava Mail come utente non amministratore, visualizza ancora in Mail un'icona ingannevole (la vedete qui in alto a sinistra), ma quando si fa doppio clic sull'icona fa comparire un avviso che dice che l'allegato potrebbe contenere un'applicazione e chiede se annullare o aprire l'allegato. Se si clicca su Apri nonostante l'avviso, il test ha successo.

In altre parole, la correzione fatta da Apple richiede ancora la presenza di spirito dell'utente e non blocca automaticamente l'esecuzione del file-trappola. E' insomma un palliativo che non risolve alla radice il problema, anche se è certamente meglio di niente (considerato che sono passate solo due settimane dall'annuncio della falla).

Sul tema delle falle di Mac OS X a confronto con quelle di Windows, vale la pena di notare come i vari metodi di contare le falle portino a risultati opposti, per cui ognuno può scegliere il metodo che più giova alla propria campana: Paul Murphy ha scritto in proposito un articolo su ZdNet molto illuminante.

Murphy cita l'analisi fatta da George Ou, sempre di ZDNet, degli advisory di Secunia: da gennaio 2004, ci sono state circa 238 falle "serie" in Mac OS X e soltanto 95 in Windows. Da queste cifre Ou concludeva che Mac OS X è due volte e mezzo più fallato e vulnerabile di Windows.

Tuttavia gli advisory di Secunia nello stesso periodo sono stati 37 per Mac OS X e 151 per Windows XP. Con questo criterio, Mac OS X è quattro volte meno vulnerabile di Windows.

La ragione della discrepanza è che Apple indica tutti i programmi colpiti da una determinata falla, mentre Microsoft indica soltanto il prodotto che contiene la falla. L'articolo cita per esempio un caso in cui una singola falla Mac, presente in una parte di codice ampiamente condivisa, viene conteggiata quaranta volte, mentre ci sono falle Windows che colpiscono tutte le versioni del sistema operativo Microsoft e tutti i prodotti in esse integrati, da ME in poi, eppure vengono conteggiate una sola volta:

Thus, for example, advisory 16449 lists 40 CVEs for one actual Mac OS vulnerability in a piece of commonly called code while advisory 16210 lists only one CVE, but affects every Windows OS and integrated product released since ME.

L'articolo fa anche un'altra considerazione interessante: una falla senza un attacco (exploit) che la sfrutti non è in realtà grave quanto una falla per la quale esiste un attacco. Va turata lo stesso, ovviamente, ma a titolo preventivo. E se si usa questo criterio, le falle per Mac OS X gravi (quelle che consentono un attacco da remoto) si contano, finora, letteralmente sulle dita di due mani, secondo i dati di Metasploit. Confrontando questo dato con le migliaia di forme di attacco esistenti per Windows, il quadro risulta molto favorevole per il Mac.

All'atto pratico, insomma, un utente Mac non si deve confrontare quotidianamente con ondate di virus, worm, pagine Web trappola, e compagnia bella; un utente Windows sì. Le cose potrebbero cambiare in futuro, visti i casi recenti già raccontati, ma per il momento stanno così.