Microsoft Remote Desktop for Mac, il client per macOS che permette di collegarsi da remoto a un server Windows ed eseguirne le applicazioni, conteneva una vulnerabilità importante che permetteva, almeno in linea potenziale, di eseguire sul Mac codice qualsiasi. La vulnerabilità è stata eliminata con l’aggiornamento 8.0.37 che Microsoft ha da poco caricato sul Mac App Store.
Secondo quanto spiega il ricercatore italiano Filippo Cavallarin, che ha segnalato a Microsoft la vulnerabilità lo scorso luglio e l’ha resa pubblica dopo il rilascio dell’aggiornamento di Remote Desktop, era teoricamente possibile che il server a cui si connetteva il Mac potesse avere accesso in lettura e scrittura alla directory principale del Mac.
Questa forma di “attacco” non era del tutto trasparente perché richiedeva che l’utente del Mac-bersaglio cliccasse su un link, ma bastava questa piccola operazione per scrivere qualsiasi file nella directory e quindi, sempre in linea teorica, caricarvi anche degli eseguibili o degli script “malevoli” da eseguire in un secondo momento.
Per chi usa Remote Desktop for Mac l’aggiornamento è decisamente consigliato, anche perché Cavallarin ha pubblicato un esempio di come sfruttare la vulnerabilità della vecchia versione, esempio che probabilmente qualcuno deciderà di mettere prima o poi in pratica.
