Nel proprio sito di supporto, il team di 1Password ha reso noto che è stato rilevato un problema in 1Password per Mac che riguarda le protezioni di sicurezza della piattaforma dell’applicazione. Questo problema consente a un processo dannoso in esecuzione localmente su un computer di aggirare le protezioni di comunicazione tra processi.
Questo problema di sicurezza (CVE-2024-42219) è stato comunicato in modo responsabile all’azienda dal Red Team di Robinhood dopo che questo aveva deciso di condurre una valutazione indipendente della sicurezza di 1Password per Mac. La società sviluppatrice di 1Password ha dichiarato di non aver ricevuto alcuna segnalazione che questo problema sia stato scoperto o sfruttato da altri.
Questa vulnerabilità della sicurezza riguarda tutte le versioni di 1Password 8 per Mac precedenti alla 8.10.36 (luglio 2024). Il problema è stato risolto nella versione 8.10.36 (luglio 2024) di 1Password per Mac. L’azienda raccomanda quindi agli utenti, se utilizzano una versione interessata dell’applicazione, di aggiornare quanto prima alla versione più recente.
Per sfruttare il problema, ha spiegato il team di sviluppo, un utente malintenzionato deve eseguire un software dannoso su un computer che ha come obiettivo specifico 1Password per Mac. Un utente malintenzionato è in grado di utilizzare in modo improprio le convalide interprocesso mancanti specifiche di macOS per dirottare o impersonare un’integrazione affidabile di 1Password, come l’estensione del browser o la CLI di 1Password.
Ciò consentirebbe al software dannoso di esfiltrare gli elementi della cassaforte e di ottenere i valori derivati utilizzati per accedere a 1Password, in particolare la chiave di sblocco dell’account.
Su macOS, ha inoltre messo in evidenza l’azienda, 1Password utilizza l’interfaccia XPC nativa del sistema per la comunicazione tra processi. XPC consente l’applicazione di protezioni aggiuntive, chiamate “hardened runtime“, che permettono ai processi con cui si comunica di avere protezioni aggiuntive contro la manomissione dei processi. Ciò impedisce la possibilità di alcuni attacchi locali.
Ulteriori informazioni sono disponibili sul sito di supporto di 1Password.
