Apple ha rilasciato un nuovo aggiornamento di sicurezza per iOS 18.0.1 e iPadOS 18.0.1, che riguarda la gestione delle password memorizzate nelle funzioni di accessibilità, dopo speculazioni su possibili perdite accidentali.
L'azienda di solito non condivide dettagli specifici sugli aggiornamenti di sicurezza e anche in questo caso non fa eccezione, quindi non abbiamo informazioni precise sulla vulnerabilità e sulla relativa patch. Tuttavia, si sospetta che il problema possa comportare la lettura ad alta voce delle password salvate dagli utenti, in un modo piuttosto imbarazzante.
VoiceOver e password
Entrando nel campo delle speculazioni, ci sono due aspetti da considerare. Apple ha una funzione di accessibilità chiamata VoiceOver, un lettore di schermo integrato in diversi prodotti Apple (come macOS e tvOS) che consente agli utenti di "parlare" al dispositivo e ricevere l'output. L'altro punto importante è che con iOS 18 e iPadOS 18 l'azienda ha introdotto un gestore di password nativo, chiamato app Passwords.
Pertanto, il bug potrebbe riguardare una di queste due funzioni, ma poiché Apple non ha fornito dettagli, è impossibile determinare con certezza la causa.
Ciò che sappiamo è che la vulnerabilità è classificata come CVE-2024-44204 e, al momento della scrittura, non aveva ancora un punteggio di gravità. È descritta come un "problema logico" risolto con un miglioramento della convalida. Il problema interessa i seguenti dispositivi:
- iPhone XS e successivi
- iPad Pro 13 pollici
- iPad Pro 12,9 pollici (terza generazione e successivi)
- iPad Pro 11 pollici (prima generazione e successivi)
- iPad Air (terza generazione e successivi)
- iPad (settima generazione e successivi)
- iPad mini (quinta generazione e successivi)
La comunità della sicurezza considera da tempo le password un metodo estremamente debole per proteggere i beni digitali, poiché gli utenti tendono a mantenere le impostazioni di fabbrica o a creare password deboli e facilmente craccabili. Si consiglia invece di utilizzare passphrase, biometria o autenticazione a più fattori (MFA).
Fonte: The Register
