Vulnerabilidad en SoftwareUpdate de MacOS X

Una utilidad incluida en el sistema operativo MacOS X, SoftwareUpdate,
puede permitir la instalación de software no autorizado en las máquinas
de los usuarios.
El sistema operativo Mac OS X de Apple incluye una herramienta
denominada SoftwareUpdate pensada para realizar la actualización, de
forma automática y desatendida, de los diversos componentes del sistema
operativo.

SoftwareUpdate se conecta periódicamente -cada semana, en la configuración
por defecto- para determinar si existe alguna actualización. Para ello,
realiza una conexión HTTP con swscan.apple.com. Esta es una conexión sin
ningún tipo de autenticación, ya que únicamente descarga un archivo XML
que contiene la relación de los diversos componentes, con su nivel de
versión.

Con esta relación, el sistema operativo construye una lista del software
instalado en la máquina y la envía, también mediante HTTP sin
autenticación, a swquery.apple.com. En el caso de existir una nueva
versión para alguno de los componentes, el servidor de Apple responde
con la ubicación del nuevo software, su tamaño y una breve descripción.
En caso de no existir ninguna actualización, el servidor responde con
una página en blanco con el comentario de “No hay actualizaciones”.

Debido a la inexistencia de negociación de autenticación durante esta
comunicación, un atacante puede hacerse pasar por los servidores de
Apple. Con esto puede conseguir la instalación, automáticamente, de
cualquier software, en los sistemas de la víctima. Además esta
instalación se realiza con privilegios de root, por lo que el atacante
dispone de un control completo sobre la víctima.

En el momento de redactar este boletín, Apple no ha publicado todavía
ninguna actualización de SoftwareUpdate que elimine esta vulnerabilidad.

Existen diversas páginas dedicadas a la seguridad de Mac OS X que han
publicado los detalles concretos de cómo aprovechar esta vulnerabilidad.

Apple ha publicado la actualización SoftwareUpdate, que puede descargarse
desde la dirección:
http://download.info.apple.com/Mac_OS_X/061-0074.20020712/2z/SecurityUpdate7-12-02.dmg.bin