Descoberta uma vulnerabilidade que deixa expostas a ataques aplicações populares no OS X

Algumas das aplicações mais populares usadas no OS X estão expostas a ataques devido a uma falha de segurança no Sparkle, o sistema de atualização que essas aplicações utilizam.

Para citar algumas das aplicações expostas, podemos mencionar uTorrent, Camtasia, VLC ou Sketch.

O problema do sistema de atualização destas aplicações e de muitas outras, o Sparkle, está em que utiliza um protocolo de transferência HTTP para as atualizações, em vez do HTTPS seguro para transferências encriptadas. O facto de o HTTP ser baseado em texto simples permite que o código seja manipulado e explorado depois de ser alojado no Mac, o que daria o controlo remoto do equipamento.

A boa notícia desta história é que a última versão do Sparkle já utiliza apenas canais HTTPS. A má é que cada aplicação tem de ser adaptada a este protocolo, tarefa muito árdua para os programadores, que não verão os seus frutos até que as respetivas aplicações sejam atualizadas. O trabalho a dedicar a cada app depende da sua própria complexidade e tamanho. Por isso, muitos programadores não querem ou não podem atualizar as suas aplicações através do Sparkle.

Não se sabe quantos utilizadores podem estar afetados pela vulnerabilidade, mas, tendo em conta as aplicações afetadas, calcula-se que o número não seja pequeno, nem de longe. Por outro lado, a única coisa que se pode fazer é esperar.

Via | Ars Technica