Apple e Google hanno messo fine alla una vulnerabilità nei loro browser Safari e Chrome da 18 annidopo il team di ricerca di Oligo Security, una società di sicurezza informatica, ha scoperto che era ancora attivo.
La vulnerabilità è nota come “0.0.0.0.0.0. Day” e, secondo Oligo Segurity, consente all’utente “.siti web dannosi di aggirare la sicurezza del browser e di interagire con i servizi in esecuzione sulla rete locale di un’organizzazione”.“. Questo, a sua volta, consente agli aggressori di ottenere un accesso non autorizzato ai servizi locali al di fuori della rete per attaccare i sistemi.
Questo problema sorge a causa di un IP innocuo: lo 0.0.0.0.0.0che i browser utilizzano in alcuni casi: ad esempio quando il browser deve assegnare un indirizzo IP per la prima volta finché non è disponibile l’indirizzo reale del dispositivo e della rete. Gli aggressori avrebbero sfruttato questa vulnerabilità per accedere ai servizi locali ed eseguire codice maligno, poiché gli indirizzi IP sono solitamente casuali, rendendo praticamente impossibile la corrispondenza della numerazione.
Quali sono i browser interessati e come proteggersi da questa vulnerabilità?
Oligo Security sostiene che si tratta di una vulnerabilità di vasta portata, che colpisce non solo le organizzazioni, ma anche i singoli utenti. I browser interessati sono Chromiumda Google; Firefoxdi Mozilla; e Safaridi Apple. Tuttavia, i sistemi operativi interessati sono solo due: macOS e Linux. Pertanto, gli utenti e le amministrazioni che utilizzano computer Windows possono stare tranquilli.
In ogni caso, sia Apple che Google hanno già confermato di essere al lavoro o di avere pronta una patch di sicurezza per risolvere questa vulnerabilità. Google, per esempio, blocca l’accesso all’IP 0.0.0.0.0 (Finch Rollout) in Chromium 128 e lo farà nelle versioni successive. Tra qualche settimana, l’IP sarà completamente bloccato per tutti gli utenti di Chrome e Chrimium.
Anche Apple, da parte sua, ha ha apportato modifiche a WebKit per bloccare l’accesso a 0.0.0.0. Inoltre, l’azienda bloccherà tutti i siti web che tentano di inviare richieste dannose tramite questo indirizzo. La patch dovrebbe arrivare con Safari 18, che sarà disponibile in iOS 18, una versione in arrivo a settembre. L’aggiornamento interesserà anche Safari per macOS e iPadOS. Mozzillaha finora confermato solo che sta indagando sulla vulnerabilità.