Vulnerabilidade em sistema de updates põe inúmeros apps para Mac sob risco

Quando você baixa algum aplicativo da Mac App Store, tem a tranquilidade de ele ter sido verificado pela Apple e de usar os próprios servidores e sistema de autenticação dela para realizar a instalação inicial e futuros updates. Por fora da loja, inúmeros apps utilizam um prático sistema de updates chamado Sparkle.

Pois o blog Vulnerable Security destacou recentemente uma grave falha de segurança no Sparkle que atinge inúmeros apps para Mac, incluindo nomes conhecidos como Adium, Camtasia, Coda, Duet Display, Sequel Pro (demonstrado no vídeo abaixo), Sketch e VLC.

Conforme mostra a captura de tela, a brecha permite ataques do tipo MITM (man-in-the-middle) na framework de atualizações do Sparkle. Com isso, crackers podem executar códigos maliciosos remotamente no momento em que o usuário busca por updates de um desses apps — tanto no OS X Yosemite quanto no El Capitan, por sinal.

A boa notícia é que nem todos os apps que utilizam o Sparkle estão sucetíveis à vulnerabilidade, apenas os que buscam por updates via HTTP (e não via HTTPS, com conexão criptografada). Além disso, com a descoberta da brecha vários desenvolvedores já correram para disponibilizar novas versões corrigidas. Neste caso, o recomendável é baixá-las diretamente pelos sites oficiais dos aplicativos a fim de não correr nenhum risco.

Lembrando que não há com o que se preocupar caso você só baixe updates diretamente da Apple, via Mac App Store.

[via Ars Technica]

Posts relacionados

Comentários