macOS: bug di sicurezza permette di creare account root senza password

Nell’ultima versione del sistema operativo Apple, macOS High Sierra, è stato individuato un importante bug di sicurezza che permette la creazione di un account root sprovvisto di password utilizzando una procedura semplicissima.

Un aggressore che avesse a disposizione un sistema macOS altrui non deve fare altro che aprire la finestra delle preferenze (ad esempio quando il legittimo proprietario fosse lontano dalla scrivania), fare clic sull’icona Utenti e gruppi, sul lucchetto posto nell’angolo inferiore sinistro, portare il cursore nel campo password e premere ripetutamente il pulsante di sblocco.

Così facendo, l’utente malintenzionato può successivamente usare l’account root per effettuare il login sul dispositivo vulnerabile (anche in modalità remota).

L’esistenza del problema di sicurezza è stata rivelata quest’oggi dal ricercatore turco Lemi Orhan Ergin e confermata anche da Apple che sta lavorando per rilasciare, a breve, una patch.

Per proteggersi da eventuali attacchi, gli utenti di macOS possono creare manualmente un account root e assegnargli una password. In questo modo la creazione di un nuovo account root risulterà impossibile.

Dear @AppleSupport, we noticed a *HUGE* security issue at MacOS High Sierra. Anyone can login as “root” with empty password after clicking on login button several times. Are you aware of it @Apple?

— Lemi Orhan Ergin (@lemiorhan) 28 novembre 2017

Aggiornamento: Apple ha appena rilasciato l’aggiornamento correttivo per la risoluzione del problema legato alla creazione di un account root senza password.