Grave vulnerabilidad en OS X Yosemite

Se ha anunciado una nueva vulnerabilidad que afecta a la última versión

del sistema operativo de Apple OS X Yosemite (y versiones anteriores),
que podría permitir a usuarios sin privilegios conseguir permisos de
administración en los sistemas afectados.

El problema ha sido descubierto y anunciado por el investigador sueco
Emil Kvarnhammar (https://twitter.com/emilkvarnhammar) que siguiendo la
actual moda de bautizar las nuevas vulnerabilidades (Poodle, Heartbleed,
Shellshock…) le ha dado el nombre de “RootPipe”.

Tras el contacto inicial de Emil con Apple para informar de la
vulnerabilidad solo obtuvo silencio por parte de la compañía. Pero
después Apple solicitó más información y pudo comprobar que el problema
era real, por lo que pidió a Emil y TrueSec (su empresa) que no
revelaran ningún detalle hasta mediados de enero de 2015. Lo que podría
indicar que no habrá una corrección a este problema hasta esa fecha.

“El acuerdo actual con Apple es publicar todos los detalles a mediados
de enero de 2015. Esto puede parecer una larga espera, pero el tiempo
vuela. Es importante que tengan tiempo para parchear y que el parche
este disponible dentro de un tiempo”. (inglés) “The current agreement
with Apple is to disclose all details in mid-January 2015. This might
sound like a long wait, but hey, time flies. It’s important that they
have time to patch, and that the patch is available for some time.”

Mientras tanto Emil ha informado del problema a US-CERT y ha publicado
un vídeo de demostración de la vulnerabilidad.

Emil no ha facilitado más detalles sobre el problema, aunque todo indica
que el nombre que le ha dado puede tener alguna relación.

Como contramedidas se recomienda no usar la cuenta de administrador a
diario y activar FileVault. RootPipe actúa a través de la cuenta de
administrador, que es la que la mayoría de usuarios utilizan diariamente
en su sistema. Se recomienda crear una cuenta de administrador
secundaria que solo se utilizará para acciones concretas y no debe
usarse para el trabajo habitual diario. Luego, a través de esa nueva
cuenta se rebajarán los permisos de la cuenta de administrador principal
para el uso diario.

El peligro real no son los usuarios del sistema, debido a que el uso
típico de OS X no es el de un servidor. El verdadero problema, y
principal vector de ataque, se encuentra en la capacidad que tendrían
procesos no privilegiados de elevar permisos a través de esta
vulnerabilidad. Esto tendría consecuencias directas en exploits que
podrían tomar el control pleno del sistema o de todo el abanico de
malware que podría ampliar su infección hasta llegar al núcleo del
sistema en forma de rootkit. Recordemos que bajo el aspecto estilizado y
elegante de su interfaz se encuentra un sistema UNIX con usuario root,
con todas las consecuencias que conlleva obtener sus privilegios.

Según Emil la raíz del problema afecta a versiones anteriores de OS X, y
aunque ya existían algunas pruebas de concepto poco conocidas, la última
publicada afectaba a versiones de OS X anteriores a la 10.8.5. Y aunque
existen algunas diferencias, con unas pocas modificaciones el
investigador consiguió que la vulnerabilidad también pueda explotarse en
la versión 10.10 (Yosemite).

Si se cumplen las expectativas y Apple deja a sus usuarios sin parche
hasta enero va a exponerles a un invierno bastante crudo. Recordemos que
Emil puede ser un investigador responsable, pero la noticia ya ha calado
y su honradez no va a impedir que otro, sin su rectitud, recorra el
mismo sendero.

Ver mas informacion al respecto en Fuente:
http://unaaldia.hispasec.com/2014/11/grave-vulnerabilidad-en-os-x-yosemite.html