Feb 11, 2025 Marina Londei Attacchi, In evidenza, Minacce, News, RSS, Vulnerabilità 0

Ieri Apple ha rilasciato un fix urgente per un bug 0-day che, come riportato dalla compagnia stessa, sarebbe già stato sfruttato dagli attaccanti. “Apple è a conoscenza del fatto che questa vulnerabilità potrebbe essere stata sfruttata in un attacco estremamente sofisticato contro specifici individui” si legge sull’advisory ufficiale.

La vulnerabilità, tracciata come CVE-2025-24200, consente a un attaccante di disabilitare USB Restricted Mode su un dispositivo per scaricare le informazioni dell’utente.

La funzionalità di sicurezza impedisce a chiavette USB e altri strumenti di accedere a un iPhone o a un iPad bloccato e ottenere i dati salvati sul dispositivo. La feature disabilita le connessioni dati dopo 60 minuti di inattività del dispositivo, rendendo di fatto la porta per il connettore Lightning un’interfaccia di solo caricamento della batteria e non di comunicazione.

Evidentemente però gli attaccanti sono riusciti a bypassare questo meccanismo di sicurezza per scaricare i dati dal dispositivo. A scoprire la vulnerabilità è stato Bill Marczak, ricercatore del The Citizen Lab presso la University of Toronto’s Munk School, che ha avvisato gli utenti con un post su X:

Update your iPhones.. again! iOS 18.3.1 out today with a fix for an ITW USB restricted mode bypass (via Accessibility) https://t.co/jcrsab7RGu pic.twitter.com/ER42QQcsLj

— Bill Marczak (@billmarczak) February 10, 2025

La vulnerabilità colpisce l’iPhone XS e i modelli successivi, l’iPad Pro da 13 pollici, iPad Pro da 12.9 pollici di terza generazione e successiva, l’iPad Pro da 11 pollici di prima generazione e successive, l’iPad Air di terza generazione e successive, l’iPad di settima generazione e successive e l’iPad mini di quinta generazione e successive.

Apple non ha rilasciato dettagli tecnici sul bug, né informazioni sull’exploit o sulle vittime colpite. Vista la natura della funzionalità, gli attaccanti sono riusciti a ottenere accesso fisico ai dispositivi colpiti.

La compagnia ha invitato tutti gli utenti con device vulnerabili ad applicare la patch il prima possibile, disponibile nella versione 18.3.1 di iOS e iPadOs.