O gerenciador de senhas e credenciais 1Password divulgou nesta semana que o seu aplicativo para macOS tinha uma vulnerabilidade de segurança — já corrigida na versão 8.10.36. A brecha foi descoberta pela equipe do aplicativo de investimentos e finanças Robinhood, comunicada à empresa e classificada como CVE-2024-42219.
A falha deixa os usuários vulneráveis a ataques incluindo o roubo de itens dos cofres do app. Essas são “pastas” que permitem separar as senhas e credenciais armazenadas — por exemplo, quando são usadas para diferentes propósitos ou compartilhadas com outras pessoas.
Segundo o 1Password, para explorar a vulnerabilidade, seria necessário desenvolver e instalar um programa específico no computador da vítima que tivesse como alvo o serviço. O processo poderia envolver engenharia social ou outros meios, para fazer o usuário baixar tal aplicação e dar acesso à máquina.
O cracker, então, teria de rodar o software malicioso no macOS tendo como alvo especificamente o gerenciador de senhas. Ele poderia, inclusive, contornar validações entre processos do sistema para sequestrar ou assumir o papel de uma integração do app que tenha a confiança do Mac, como a extensão do 1Password para navegadores.
Essa engenharia permitiria roubar itens dos cofres, bem como obter informações utilizadas para fazer o login no 1Password, como a chave para destravar a conta. No macOS, o app utiliza a interface nativa XPC para comunicações entre processos. Ela permite a inserção de proteções adicionais, de modo a aplicar processos que se comunicam com proteções adicionais contra comprometimento e, assim, prevenindo ataques locais.
Apesar de o serviço contar com milhões de usuários e mais de 150 mil empresas utilizando-o, não há evidências de que essa vulnerabilidade tenha sido explorada até então. Com a divulgação do problema, porém, o risco aumenta — de modo que é essencial atualizar o app para a versão mais recente a fim de não continuar sujeito ao risco. Todos os que estejam com compilações anteriores do app estão vulneráveis à brecha.
via The Register
