Se
ha anunciado una nueva vulnerabilidad que afecta a la última versión del
sistema operativo de Apple OS X Yosemite (y versiones anteriores), que podría
permitir a usuarios sin privilegios conseguir permisos de administración en los
sistemas afectados.
Tras el contacto inicial de Emil
con Apple para informar de la vulnerabilidad solo obtuvo silencio por parte de
la compañía. Pero después Apple solicitó más información y pudo comprobar que
el problema era real, por lo que pidió a Emil y TrueSec (su empresa) que no
revelaran ningún detalle hasta mediados de enero de 2015. Lo que podría indicar
que no habrá una corrección a este problema hasta esa fecha.
"El acuerdo actual con Apple es publicar todos los detalles a mediados de enero de 2015. Esto puede parecer una larga espera, pero el tiempo vuela. Es importante que tengan tiempo para parchear y que el parche este disponible dentro de un tiempo". (inglés) "The current agreement with Apple is to disclose all details in mid-January 2015. This might sound like a long wait, but hey, time flies. It's important that they have time to patch, and that the patch is available for some time."
Mientras tanto Emil ha informado
del problema a US-CERT y ha publicado un vídeo de demostración de la vulnerabilidad.
Emil no ha facilitado más detalles sobre el problema, aunque
todo indica que el nombre que le ha dado puede tener alguna relación.
Como contramedidas se recomienda no
usar la cuenta de administrador a diario y activar FileVault. RootPipe actúa a
través de la cuenta de administrador, que es la que la mayoría de usuarios
utilizan diariamente en su sistema. Se recomienda crear una cuenta de administrador
secundaria que solo se utilizará para acciones concretas y no debe usarse para
el trabajo habitual diario. Luego, a través de esa nueva cuenta se rebajarán
los permisos de la cuenta de administrador principal para el uso diario.
El peligro real no son los
usuarios del sistema, debido a que el uso típico de OS X no es el de un
servidor. El verdadero problema, y principal vector de ataque, se encuentra en la capacidad que tendrían procesos no
privilegiados de elevar permisos a través de esta vulnerabilidad. Esto tendría
consecuencias directas en exploits que podrían tomar el control pleno del
sistema o de todo el abanico de malware
que podría ampliar su infección hasta llegar al núcleo del sistema en forma de
rootkit. Recordemos que bajo el aspecto estilizado y elegante de su
interfaz se encuentra un sistema UNIX con usuario root, con todas las
consecuencias que conlleva obtener sus privilegios.
Según Emil la raíz del problema
afecta a versiones anteriores de OS X, y aunque ya existían algunas pruebas de
concepto poco conocidas, la última publicada afectaba a versiones de OS X anteriores
a la 10.8.5. Y aunque existen algunas
diferencias, con unas pocas modificaciones el investigador consiguió que la
vulnerabilidad también pueda explotarse en la versión 10.10 (Yosemite).
Si se cumplen las expectativas y Apple deja a sus usuarios sin parche
hasta enero va a exponerles a un invierno bastante crudo. Recordemos que
Emil puede ser un investigador responsable, pero la noticia ya ha calado y su
honradez no va a impedir que otro, sin su rectitud, recorra el mismo sendero.
Más información:
Serious security flaw in OS X Yosemite
'Rootpipe'
OSX 10.10 hack - privilege escalation through
rootpipe
Antonio Ropero
Twitter: @aropero
