Sommario
Apple ha recentemente rilasciato aggiornamenti cruciali per iOS e iPadOS al fine di risolvere alcune vulnerabilità di sicurezza che interessano vari dispositivi, inclusi gli ultimi modelli di iPhone e iPad. Contemporaneamente, è stata scoperta una grave falla nella sicurezza dell’applicazione ChatGPT per macOS: uno spyware persistente, in grado di sottrarre dati tramite prompt injection. Entrambe le situazioni evidenziano la necessità di un’attenzione costante alla sicurezza dei dispositivi e delle app.
Apple risolve problemi di sicurezza con VoiceOver e Audio su iPhone 16
Gli aggiornamenti di iOS 18.0.1 e iPadOS 18.0.1 correggono due vulnerabilità significative. La prima, CVE-2024-44204, coinvolge la funzionalità assistiva VoiceOver, che poteva consentire a un malintenzionato di leggere ad alta voce le password salvate dall’utente. Questa falla è stata segnalata dal ricercatore di sicurezza Bistrit Daha e riguardava un’ampia gamma di dispositivi, tra cui:
- iPhone XS e versioni successive
- iPad Pro da 13 pollici
- iPad Pro da 12,9 pollici (dalla terza generazione in poi)
- iPad Pro da 11 pollici (dalla prima generazione in poi)
- iPad Air (dalla terza generazione in poi)
- iPad dalla settima generazione in poi
- iPad mini (dalla quinta generazione in poi)
VoiceOver è una funzione di accessibilità che permette agli utenti di ascoltare il contenuto delle schermate, e questa vulnerabilità rappresentava un rischio significativo per la privacy degli utenti. Apple ha risolto il problema migliorando le procedure di validazione dei dati, impedendo la lettura delle password salvate.
Una seconda vulnerabilità, CVE-2024-44207, riguardava specificamente i modelli di iPhone 16 appena lanciati. La falla consentiva la registrazione dell’audio prima che l’indicatore del microfono si attivasse, sfruttando una componente chiamata “Media Session”. Questo problema permetteva la cattura di messaggi audio senza che l’utente ne fosse a conoscenza, creando così potenziali rischi per la sicurezza e la privacy. Michael Jimenez e un ricercatore anonimo hanno segnalato questa vulnerabilità, che è stata risolta da Apple con controlli più severi.
Gli utenti sono invitati ad aggiornare i propri dispositivi a iOS 18.0.1 e iPadOS 18.0.1 per evitare rischi legati a queste vulnerabilità. L’importanza di mantenere i sistemi aggiornati è fondamentale per proteggere le proprie informazioni da potenziali attacchi.
Spyware nella App ChatGPT per macOS: attacco tramite Prompt Injection
Un’analisi dettagliata ha scoperto un attacco legato alla versione macOS dell’app ChatGPT, che ha permesso l’iniezione di uno spyware persistente in memoria. Questo attacco, chiamato “spAIware”, sfruttava una funzionalità di ChatGPT nota come “Memorie”, che memorizzava informazioni a lungo termine, permettendo così all’attaccante di accedere costantemente ai dati dell’utente.
Meccanismo dell’attacco “spAIware”
L’attacco sfruttava una tecnica di “prompt injection” attraverso dati provenienti da siti web o documenti sospetti. Quando un utente interagiva con un documento non affidabile o visitava un sito compromesso, le istruzioni malevole venivano memorizzate all’interno di ChatGPT. Da quel momento in poi, qualsiasi nuova conversazione con l’app avrebbe trasmesso i dati dell’utente a un server controllato dagli attaccanti. La metodologia prevedeva la generazione di un’immagine nascosta che, tramite parametri URL, consentiva di esfiltrare dati sensibili, incluso il contenuto delle conversazioni future.
OpenAI, una volta venuta a conoscenza della falla, ha rilasciato un aggiornamento per la versione macOS di ChatGPT. Sebbene la funzione url_safe sia stata potenziata per prevenire il rendering di URL pericolosi, la vulnerabilità non è stata completamente eliminata. L’iniezione di prompt attraverso siti non affidabili resta una minaccia, ed è possibile che vengano aggiunte “memorie” non desiderate che contengono istruzioni malevole. Gli utenti sono quindi incoraggiati a controllare periodicamente le “memorie” salvate nella loro app ChatGPT, eliminando eventuali elementi sospetti.
OpenAI consiglia di seguire le proprie linee guida ufficiali per gestire le memorie: è possibile cancellarle, disattivare completamente la funzione o avviare chat temporanee che non utilizzano questa funzionalità.
L’attacco evidenzia i rischi legati alla memorizzazione automatica delle informazioni all’interno di ChatGPT, che può essere sfruttata per la sottrazione continua di dati personali. È essenziale aggiornare l’app ChatGPT all’ultima versione disponibile e rivedere regolarmente le informazioni memorizzate per garantire la sicurezza dei dati.
