Le app di Microsoft per macOS presentano alcune falle di sicurezza

Un’analisi condotta da Cisco Talos ha rilevato la presenza di otto vulnerabilità all’interno delle app di Microsoft per macOS. Queste falle permetterebbero ad hacker e malintenzionati di aggirare le protezioni del sistema operativo, utilizzando le autorizzazioni già presenti nelle app senza richiedere ulteriori conferme da parte degli utenti.

In parole povere, un criminale informatico potrebbe facilmente avere accesso alle applicazioni di Microsoft e inviare autonomamente email, registrare audio, scattare foto o video senza che l’utente ne dia il permesso. Per sfruttare queste vulnerabilità, l’hacker sfrutterebbe una tecnica chiamata iniezione del codice, in cui del codice dannoso viene inserito in processi legittimi per accedere ad informazioni protette.

Come potrebbero essere sfruttate le vulnerabilità delle app di Microsoft

Anche se macOS dispone già di strumenti di sicurezza come Hardened Runtime per proteggersi dalle intrusioni desiderate, le app di Microsoft per questo sistema operativo hanno disattivato alcune di queste protezioni, creando spazi per attacchi informatici. Il sistema di protezione messo a punto da Apple impedisce ad un’applicazione di caricare framework, plugin o librerie a meno che questi non siano firmati dalla stessa Apple o con lo stesso ID del team che ha sviluppato l’applicazione.

È a discrezione dello sviluppatore decidere se tenere attiva o meno questa impostazione, che nel caso delle app di Microsoft è stata disattivata per permettere di utilizzare più facilmente plugin, anche di terze parti. Per difendersi, infatti, è necessario che le app distribuite tramite l’App Store siano sandboxed: questo significa che l’app deve chiedere esplicitamente l’autorizzazione per accedere a determinate risorse, come la fotocamera o il microfono. Se non ha queste autorizzazioni, l’app non potrà accedervi mantenendo al sicuro la privacy dell’utente.

Interrogata sulla questione, Microsoft ha dichiarato che non interverrà per correggere questa falla di sicurezza, considerata a basso rischio. L’azienda preferisce lasciare all’utente la possibilità di caricare facilmente librerie non firmate per supportare i plugin, che rappresentano una parte importante del pacchetto di Office. Alcune applicazioni che non supportano nativamente i plugin, come Microsoft Teams e Microsoft OneNote, sono state tuttavia aggiornate per correggere il problema.

Altre applicazioni importanti presenti nel pacchetto Office come Microsoft Excel, Microsoft Outlook, Microsoft PowerPoint e Microsoft Word, restano e resteranno vulnerabili per permettere di sfruttare appieno le loro potenzialità. Se da un lato questa decisione può risultare comprensibile da un punto di vista tecnico, è necessario che le aziende lavorino per trovare un equilibrio tra funzionalità e sicurezza: resta da vedere come Apple deciderà di intervenire, se interverrà, per proteggere la propria piattaforma.