Sta facendo molto discutere in queste ore una nuova vulnerabilità legata a CoreText che sarebbe stata riscontrata nelle versioni pubbliche di iOS e OS X e che porterebbe al crash di alcune applicazioni. Tale vulnerabilità potrebbe essere attivata in remoto tramite SMS/iMessage, Safari o anche tramite l’ESSID di una rete WiFi durante la ricerca. iMore, grazie all’aiuto di Nick Arnott, ha cercato di fare chiarezza sull’argomento.
Secondo quanto riportato dall’esperto di sicurezza di iMore, il problema con CoreText si verificherebbe nei seguenti casi:
- OS X 10.8.4 – Ricevendo la stringa tramite iMessage, l’app Messaggi crasha. Si può riattivare iMessage senza che crashi e quindi cancellare la conversazione.
- OS X Mavericks: non si segnalano crash di iMessage o Safari.
- iOS 7 – non si segnalano crash di iMessage o Safari.
- iOS 6 – il sistema crasha dopo la ricezione di un messaggio. Dopo aver riavviato il sistema, Messaggi crasherà ogni volta che si tenterà di lanciare l’app.
iOS 6 è quindi il sistema operativo su cui il problema si manifesta in modo più intenso. Un possibile fix è quello che descriviamo di seguito, specifico, appunto, per iOS 6 e le successive versioni.
Se ricevete un messaggio da qualcuno (che non vi invia il testo pericoloso) potete premere sul messaggio ed aprirlo per rispondere alla persona che l’ha inviato. Se la persona che ha inviato il messaggio ha incluso il testo pericoloso, sarete comunque in grado di aprire il messaggio ma scorrendo nella conversazione (verso l’alto) l’app crasherà e continuerà a crashare anche se cercherete di tornare indietro. A questo problema si può ovviare solo disattivando iMessage dal proprio account, collegandosi con un nuovo Apple ID e quindi eseguire il logout e collegarsi nuovamente con l’Apple ID originale. In questo modo tutti i messaggi scambiati con l’account “colpito” dalla vulnerabilità verranno automaticamente eliminati dal dispositivo.
Apple sarebbe al corrente di questo problema e infatti sembra che sia già stato risolto in OS X Mavericks e in iOS 7. Per iOS 6 sembra in arrivo, inoltre, una patch su Cydia (solo per device jailbroken quindi). Tuttavia, esattamente come nel caso di altri exploit di questo tipo, l’utente finale non dovrebbe avere particolari problemi nell’utilizzo quotidiano del suo dispositivo, dato che si tratta di una vulnerabilità che, per quanto effettivamente presente, non reca danno grave agli utilizzatori ed è comunque difficile da sfruttare.