CVE-2025-4960: falla high in InstallNavi EPSON

CVE-2025-4960 riguarda il componente com.epson.InstallNavi.helper, distribuito con l'installer del driver per stampanti EPSON su macOS. Secondo la descrizione ufficiale NVD, il tool non autentica correttamente i client che comunicano tramite il protocollo XPC e non applica in modo adeguato il modello di autorizzazione di macOS, esponendo funzionalità privilegiate a utenti non autorizzati.

Il problema nasce dall'uso dell'API AuthorizationCopyRights con diritti personalizzati troppo permissivi, registrati nel database di autorizzazione di sistema. Questi diritti possono essere concessi dal demone di autorizzazione a qualsiasi utente locale, consentendo comandi arbitrari o installazioni di sistema senza credenziali admin. Il CVSS dichiarato è 7,8, fascia high. Risulta segnalata l'esistenza di un repository pubblico che dichiara di contenere materiale relativo alla falla: è un segnale di interesse, non conferma di sfruttamento attivo.

Per le organizzazioni che usano stampanti EPSON con questo installer su endpoint macOS è opportuno verificare la presenza del componente e applicare tempestivamente eventuali aggiornamenti rilasciati dal produttore, se disponibili. In assenza di informazioni ufficiali su versioni corrette, si raccomanda di monitorare le comunicazioni EPSON, limitare i permessi degli account locali e controllare i log per attività anomale riconducibili a escalation di privilegi.