Ο ερευνητής ασφαλείας Radoslaw Karpowicz ανακάλυψε ένα ελάττωμα στον τρόπο με τον οποίο μεταδίδει τις ενημερώσεις των εφαρμογών το Sparkle Updater framework, στους χρήστες λειτουργικού Mac.
Το Sparkle Updater framework είναι ένα δημοφιλές χαρακτηριστικό που χρησιμοποιείται στο εσωτερικό πάρα πολλών δημοφιλών εφαρμογών του Mac. Οι προγραμματιστές χρησιμοποιούν Sparkle για την αυτοματοποίηση της διαδικασίας αναβάθμισης της εφαρμογής τους, και να μην έχουν οι χρήστες να ελέγχουν τον υπολογιστή τους σε καθημερινή βάση.
Η ρύθμιση του Sparkle Updater περιλαμβάνει την εφαρμογή ενός προγράμματος-πελάτη στο εσωτερικό κάθε εφαρμογής, μια σχετικά απλή υπόθεση για τους περισσότερους προγραμματιστές εφαρμογών Mac, αλλά και τη δημιουργία ενός διακομιστή ενημέρωσης του Sparkle, που ονομάζεται διακομιστής AppCast.
Το AppCast φαίνεται να μοιάζει πολύ με το πρωτόκολλο RSS που εκπέμπει τις ειδοποιήσεις των ενημερώσεων των εφαρμογών αλλά και τις σημειώσεις εγκαινιάζει έκδοσης, όταν ο κάθε προγραμματιστής κυκλοφορήσει μια νέα έκδοση. Όλα αυτά τα δεδομένα αποστέλλονται μέσω μηνυμάτων XML.
Ο κ Karpowicz ανακάλυψε ότι όλες αυτές οι πληροφορίες για τις ενημερωμένες εκδόσεις αποστέλλονται μέσω HTTP. Στις εφαρμογές που δοκίμασε και περιλαμβάνουν το σφάλμα είναι οι: Adium, Coda, iTerm, Facebook Origami, Pixelmator, SequelPro, Tunnelblick, και VLC. Φυσικά ο ερευνητής είναι σίγουρος ότι θα υπάρχουν και άλλες σε αυτές που δεν έχει δοκιμάσει.
Όπως ο ίδιος περιγράφει στο blog του, ότι ήταν σε θέση να δημιουργήσει επιθέσεις MITM (Man-in-the-middle) παρακρατώντας τις ειδοποιήσεις των ενημερώσεων στον διακομιστή Appcast. Στη συνέχεια τροποποιούσε το αίτημα στο XML και πρόσθετε το δικό του κακόβουλο κώδικα.
Ο ερευνητής έχει έρθει σε επαφή με τους προγραμματιστές του Sparkle Updater, που κυκλοφόρησε την έκδοση 0.13.1 για την αντιμετώπιση αυτού του ζητήματος.
Ο κ Karpowicz δημοσίευσε ένα PoC για να αποδείξει τη συγκεκριμένη ευπάθεια.
