Anunciada nueva vulnerabilidad que afecta a
la última versión del sistema operativo de Apple OS X Yosemite (y versiones
anteriores), que podría permitir a usuarios sin privilegios conseguir permisos
de administración en los sistemas afectados.
El problema ha
sido descubierto y anunciado por el investigador sueco Emil Kvarnhammar que
siguiendo la actual moda de bautizar las nuevas vulnerabilidades (Poodle,
Heartbleed, Shellshock…) le ha dado el nombre de "RootPipe".
Tras el contacto
inicial de Emil con Apple para informar de la vulnerabilidad solo obtuvo
silencio por parte de la compañía. Pero después Apple solicitó más información
y pudo comprobar que el problema era real, por lo que pidió a Emil y TrueSec
(su empresa) que no revelaran ningún detalle hasta mediados de enero de 2015.
Lo que podría indicar que no habrá una corrección a este problema hasta esa
fecha.
"El acuerdo
actual con Apple es publicar todos los detalles a mediados de enero de 2015.
Esto puede parecer una larga espera, pero el tiempo vuela. Es importante que
tengan tiempo para parchear y que el parche este disponible dentro de un
tiempo". (inglés) "The current agreement with Apple is to
disclose all details in mid-January 2015. This might sound like a long wait,
but hey, time flies. It's important that they have time to patch, and that the
patch is available for some time."
Mientras tanto
Emil ha informado del problema a US-CERT y ha publicado un vídeo de
demostración de la vulnerabilidad. https://www.youtube.com/watch?v=fCQg2I_pFDk
Emil no ha
facilitado más detalles sobre el problema, aunque todo indica que el nombre que
le ha dado puede tener alguna relación.
Como
contramedidas se recomienda no usar la cuenta de administrador a diario y
activar FileVault. RootPipe actúa a través de la cuenta de administrador, que
es la que la mayoría de usuarios utilizan diariamente en su sistema. Se recomienda
crear una cuenta de administrador secundaria que solo se utilizará para
acciones concretas y no debe usarse para el trabajo habitual diario. Luego, a
través de esa nueva cuenta se rebajarán los permisos de la cuenta de
administrador principal para el uso diario.
El peligro real
no son los usuarios del sistema, debido a que el uso típico de OS X no es el de
un servidor. El verdadero problema, y principal vector de ataque, se encuentra
en la capacidad que tendrían procesos no privilegiados de elevar permisos a
través de esta vulnerabilidad. Esto tendría consecuencias directas en exploits
que podrían tomar el control pleno del sistema o de todo el abanico de malware
que podría ampliar su infección hasta llegar al núcleo del sistema en forma de
rootkit. Recordemos que bajo el aspecto estilizado y elegante de su interfaz se
encuentra un sistema UNIX con usuario root, con todas las consecuencias que
conlleva obtener sus privilegios.
Según Emil la
raíz del problema afecta a versiones anteriores de OS X, y aunque ya existían
algunas pruebas de concepto poco conocidas, la última publicada afectaba a
versiones de OS X anteriores a la 10.8.5. Y aunque existen algunas diferencias,
con unas pocas modificaciones el investigador consiguió que la vulnerabilidad también
pueda explotarse en la versión 10.10 (Yosemite).
Si se cumplen las expectativas y Apple deja a sus
usuarios sin parche hasta enero va a exponerles a un invierno bastante crudo.
Recordemos que Emil puede ser un investigador responsable, pero la noticia ya
ha calado y su honradez no va a impedir que otro, sin su rectitud, recorra el
mismo sendero.
Más información:
- Serious security flaw in OS X Yosemite 'Rootpipe'
http://www.zdnet.com/serious-security-flaw-in-os-x-yosemite-rootpipe-7000035372/
- OSX 10.10 hack - privilege escalation through
rootpipe https://www.youtube.com/watch?v=fCQg2I_pFDk
