Il ricercatore di sicurezza Lemi Orhan Ergin ha scoperto un importante bug di sicurezza in macOS High Sierra, grazie al quale è possibile avere accesso all’account di amministratore del sistema senza dover inserire alcuna password!
Questa pericolosa vulnerabilità richiede pochi passaggi per essere portata a termine, visto che basta sfruttare una sezione all’interno del menu Preferenze di Sistema.
Seguendo questi passaggi, è possibile disabilitare e abilitare l’account amministratore Root da cui partono i problemi. Il problema è presente su tutte le versioni di High Sierra, compresa la beta 5 rilasciata il 28 novembre.
L’attivazione all’accesso per l’account amministratore di sistema consente agli utenti di accedere liberamente al sistema operativo, con possibilità non solo di visualizzare tutti i file memorizzati sul computer, ma anche di modificare le credenziali degli altri utenti e le impostazioni generali.
In pratica, chiunque può accedere al Mac con funzionalità di amministrazione complete di root senza password. Come? Basta inserire “root” come nome utente, senza inserire alcuna password, per poter accedere al Mac con i privilegi di amministratore. Tale accesso può avvenire direttamente dalla schermata di accesso di macOS, dal Pannello delle Preferenze o anche tramite VCN e login remoto.
Nonostante si tratti di una vulnerabilità importante, è richiesto l’accesso al computer in locale o tramite connessione di accesso remoto. E’ anche necessario che un utente autorizzato effettui l’accesso per generare l’account Root senza password. La disattivazione dell’account Ospite fornisce un livello di protezione superiore, dato che richiede all’utente di avere una password per poter accedere a macOS.
L’utente Ospite può essere disabilitato in “Utenti e Gruppi” da Preferenze di Sistema. Per quanto riguarda l’utente root, se non lo avete abilitato il rischio è più alto.
Per sicurezza, seguite questi passaggi:
- Apri Spotlight e cerca “Utility Directory”
- Clicca su Modifiche disabilitate in basso a sinistra e inserisci la password di sistema
- Ora clicca su Modifica dal menu in alto e seleziona “Modifica la password dell’utente root” se abilitata
- Inserisci una nuova password e clicca su OK
- Se l’utente root non è abilitato, abilitalo dal menu Modifica cliccando su “Abilita utente root” e imposta una password
Apple ha confermato il problema e fa sapere che sta già lavorando ad un aggiornamento software per correggere il bug. Apple suggerisce di impostare una password di root (o di modificarla se già presente) per impedire l’accesso non autorizzato al computer e di disabilitare qualsiasi account Ospite.