Il team Microsoft Threat Intelligence ha reso nota oggi, attraverso un post sul proprio blog, la scoperta di una vulnerabilità legata alla funzione di ricerca Spotlight di Apple, soprannominata "Sploitlight". La falla, ora corretta da Apple, avrebbe potuto consentire a un malintenzionato di aggirare le protezioni della privacy del sistema e accedere a dati sensibili degli utenti.
La vulnerabilità consisteva in un bypass del TCC, il framework di Apple progettato per impedire alle app di accedere a informazioni personali senza il consenso esplicito dell'utente. Sfruttando i plugin di Spotlight, che permettono alle app di indicizzare i propri file per la ricerca, i ricercatori di Microsoft sono riusciti ad aggirare il sandbox in cui questi operano. Modificando i pacchetti delle app, sono stati in grado di estrarre dati sensibili memorizzati nella cache da Apple Intelligence.
Le informazioni potenzialmente a rischio includevano dati di localizzazione precisi, metadati di foto e video, dati di riconoscimento facciale dalla libreria di Foto, cronologia delle ricerche, riassunti di email generati da Apple Intelligence e preferenze dell'utente.
Seguendo le procedure di responsible disclosure, Microsoft ha condiviso i dettagli della falla con Apple, che ha prontamente risolto il problema. La correzione è stata inclusa negli aggiornamenti a macOS 15.4 e iOS 15.4, rilasciati lo scorso 31 marzo. Secondo la documentazione di sicurezza di Apple, il problema è stato risolto a, grazie a questa collaborazione, la vulnerabilità non è mai stata sfruttata attivamente per attacchi, poiché è stata corretta prima della sua divulgazione pubblica.
Nello stesso aggiornamento, Apple ha anche corretto altre due vulnerabilità, sempre accreditate a Microsoft, migliorando la validazione dei symlink e la gestione dello stato del sistema.
Online il trailer di Avatar Fuoco e Cenere, la CGI è semplicemente incredibile