Sparkle è un componente software molto utilizzato su Mac OS X, anche se spesso gli utenti non sanno nemmeno della sua esistenza sul proprio computer. Lo scopo scopo è di permetterei aggiornamenti automatici, o su richiesta, delle applicazioni. Se siete utenti Mac avrete quasi sicuramente ricevuto sullo schermo un avviso di aggiornamento disponibile, subito dopo il lancio di un’applicazione. Il merito è dell’ottimo Sparkle.
Molte applicazioni, sia commerciali, sia gratuite o shareware, utilizzano Sparkle perché è un componente collaudato, funzionale e gratuito per usi non commerciali. Funziona e costa poco, per capirci, e ha un comportamento ormai familiare agli utilizzatori. Viene usato per esempio da Vlc, Adium, Evernote, Handbrake, Cyberduck, µTorrent e un altro centinaio di applicazioni molto diffuse.
Solo qualche giorno fa è emersa una potenziale vulnerabilità di Sparkle. La comunicazione tra l’applicazione da aggiornare e il server con gli aggiornamenti non avviene sempre attraverso il protocollo sicuro Https e questo permetterebbe a un malintenzionato di intromettersi nell’aggiornamento e installare codice malevolo sul Mac dell’utente inconsapevole. Qui c’è un video che mostra l’attacco. Le applicazioni scaricate dall’AppStore di Apple non sono soggette a questa vulnerabilità .
Lo sviluppatore di Sparkle ha immediatamente aggiornato il componente mettendolo in sicurezza, purtroppo all’interno delle applicazioni già installate sui nostri Mac rimane la versione ‘a rischio’.
Cosa si può fare? Aggiornare tutte le applicazioni che usano Sparkle, anche quelle che si usano meno frequentemente. Molte software house negli ultimi giorni hanno rilasciato aggiornamenti ad hoc che incorporano la versione sicura di Sparkle. La vulnerabilità rimane però aperta sulle applicazioni “abbandonate” che non ricevono da tempo aggiornamenti, e su quelle di cui non è stata ancora rilasciata la correzione.
L’aggiornamento di un’applicazione. Il motore di Sparkle viene corretto.
Come trovare le applicazioni Sparkle sul Mac
È semplice ma occorre utilizzare il programma Terminale di OS X. Potete cercarlo con Spotlight oppure trovarlo nella cartella Applicazioni/Utility.
Dopo averlo lanciato copiate con attenzione questa riga di codice e incollatela nel Terminale, poi premete Invio. (Non scrivete il comando a mano, ma eseguite un copia/incolla, basta un minimo errore perché non funzioni).
find /Applications -name Sparkle.framework | awk -F'/' '{print $(NF-3)}'
Sullo schermo vi apparirà l’elenco delle applicazioni presenti sul vostro disco fisso che utilizzano il framework Sparkle. Se la lista è vuota, non ne avete nessuna e non si pone il problema.
Se invece appaiono i nomi dei programmi, potete aprirli ed eseguire subito un aggiornamento o, ancora meglio se si vuole davvero sicuri, visitare i siti delle software house che li hanno sviluppati, verificare se esiste un aggiornamento, e scaricare dal sito ufficiale la versione corretta sostituendola a quella presente sul disco.
Solo ai più curiosi ed esperti proponiamo altri due comandi che si possono impartire da Terminale.
Il primo elenca quale versione di Sparkle utilizzano i programmi presenti nella cartella Applicazioni. La versione recente e corretta di Sparkle è la 1.13.1
find /Applications -path '*Autoupdate.app/Contents/Info.plist' -exec echo {} \; -exec grep -A1 CFBundleShortVersionString '{}' \; | grep -v CFBundleShortVersionString
Il secondo comando invece risponde alla domanda: “A quale server si collegano le mie applicazioni che usano Sparkle?”. Con questa riga lo scoprirete. Fate attenzione agli Url: se il protocollo è HTTPS siete tranquilli, se è HTTP andate in cerca di aggiornamenti.
for i in /Applications/*/Contents/Info.plist; do defaults read "$i" SUFeedURL 2>/dev/null; done