Para todos aquellos que no conozcáis Sparkle, simplemente aclarar que es un framework que utilizan algunas aplicaciones de terceros en los updater para actualizar a nuevas versiones periódicamente. Sin embargo se ha descubierto que versiones antiguas de este framework pueden ser potencialmente inseguras debido a una vulnerabilidad descubierta recientemente.
El martes de esta misma semana salió a la luz el problema de seguridad que afecta a algunas aplicaciones descargadas de Internet, afortunadamente esto no ocurre con aquellas descargadas desde la Mac App Store por motivos evidentes, ya que estas últimas se actualizan a través de la propia tienda usando su red segura. La raíz del problema parece radicar en la falta de una conexión cifrada y segura a la hora de actualizar pudiendo dejar hueco a un ataque man-in-th-middle.
La pregunta ahora es ¿que aplicaciones se ven afectadas?. Aunque no podamos saber a priori que aplicaciones utilizan este framework, en GiHub se ha creado una lista con aplicaciones que los usuarios están confeccionando que están desarrolladas incluyendo esta versión insegura del updater y que pueden ser propensas a ataques, lo que al menos nos da un punto de vista general sobre si nuestro equipo puede estar afectado.
Aún así no hay que ser alarmistas ya que muchas de estas aplicaciones solo utilizan Sparkle como framework para sus actualizaciones pero no significa que todas ellas estén afectadas por la vulnerabilidad, solo aquellas que usen una versión obsoleta debido a que realizan la búsqueda a través de un canal HTTP en vez de HTTPS.
La forma más sencilla de protegerse de esta vulnerabilidad es que si se nos indica que hay una nueva actualización, no proceder a descargarla directamente desde el actualizador sino que podremos ir directamente a la web del desarrollador y descargarla manualmente nosotros mismos, con lo que podremos ahorrarnos un disgusto hasta que sepamos de forma segura que la aplicación no está afectada.
Da error el enlace al intentar consultar la lista de apps afectadas en GiHub 404 page no found
El enlace para ver la lista de aplicaciones afectadas no funciona
Corregido el enlace. Gracias por el aviso.