Gravísima vulnerabilidad de Mac OS X
Secunia había lanzado un informe de seguridad acerca de un fallo grave en la forma en que Mac OS X y Safari.app gestionan la recepción de ciertos archivos ZIP, cuya zona de metadatos se había alterado para hacer creer que un archivo ejecutable por Terminal.app —y potencialmente dañino— es un archivo de otra clase… y si además se tenía activa la apertura automática de archivos seguros, se podía ejecutar automáticamente. Si hacéis clic sobre el siguiente enlace (cortesía de Secunia), se abrirá la Calculadora al descargar el archivo.
Si no está activa la preferencia de apertura automática de contenido seguro en Safari, tendremos que descomprimir manualmente el zip, pero parecerá que contiene un archivo .mov, pero si hacemos doble clic sobre él en realidad estaremos ejecutando un script para Terminal.app.
El problema principal, por lo que este fallo de seguridad es crítico, es porque permite la ejecución remota de código arbitario sin intervención del usuario.
Actualización: Ahora, la gente de heise Security
ha encontrado que Mail.app también se ve afectada por el fallo. De
esta forma, un texto que indica que abramos una imagen JPEG adjunta
puede hacer que hagamos clic sobre lo que Mail nos muestra como imagen…
y en realidad es un script de Terminal.
También han dispuesto una página para introducir una dirección de correo, y comprobar si somos vulnerables:
La buena noticia es que la vulnerabilidad no está en las aplicaciones, sino que forma parte de la forma en que Mac OS X gestiona globalmente los metadatos relativos a las aplicaciones que deben abrir un determinado archivo, de modo que un único arreglo sirve para esas aplicaciones, y cualesquiera otras basadas en Webkit… La mala noticia es que, posiblemente, haya más aplicaciones afectadas. Una que no lo está, por ejemplo, es Thunderbird.
ps. Hay un artículo de Borja Marcos en Macuarium realmente bueno sobre el problema con Safari. Aún no incluye el de Mail.app…
Comentarios
7 respuestas a «Gravísima vulnerabilidad de Mac OS X»
ok, pero, ¿alguna solución?
Hola, j. El artículo de Borja lo explica perfectamente, pero lo resumo aquí:
* Ir a Safari, y en Preferencias > General, desactivar la casilla “Abrir “archivos seguros” al descargarlos”
* No dejar archivos descargados al azar en el escritorio, para evitar confusiones
* En Mail, la única forma de resolver el problema es no hacer doble clic sobre imágenes JPEG si sospechamos de quien las envía… Mejor guardarlas al disco duro, abrir Vista Previa, y abrir el JPEG con el comando Archivo > Abrir…
He usado la prueba de http://secunia.com/mac_os_x_command_execution_vulnerability_test/
como la de http://www.heise.de/security/news/meldung/69894 y no han funcionado ninguna, en la primera al ser un .mov ha intentado abrirla Quicktime y no ha podido, en la segunda era un .jpg y el mismo resultado con Vista Previa.
He tenido que abrirlos con el Teminal para que se ejecutaran.
Estoy usando MacOs X.4.2 , de todas maneras he tenido que descomprimir el fichero manualmente, puesto que nunca me han gustado las opciones automáticas de descarga, con la opción de descarga automática tampoco abre el terminal.
Así mismo el programa Terminal tampoco está en la ubicación por defecto con lo que en caso de intentar abrirlo, no hubiera podido, como comentan en http://arstechnica.com/news.ars/post/20060221-6225.html que se puede hacer como medida de seguridad.
bq. *juandesant*: Exacto, si tienes Terminal, Safari y Mail en ubicaciones no habituales, no hay peligro, puesto que el sistema codifica “a mano” en los metadatos el programa que debe abrir el archivo… y lo que hace es intentar abrirlo con la siguiente aplicación que debe abrir el archivo, y no puede.
De todas formas he observado que aparecen metadatos, creador y tipo, en los ficheros descomprimidos, son los que corresponden a la extensión.
bq. *juandesant*: Si hubieses tenido Terminal.app en su sitio, verías que el archivo aparece como “Documento Terminal.app”, en lugar de Imagen JPEG o Película QuickTime…
Suscribo lo que comenta Javier, la solucción “magistral” es cambiar de ubicacion la aplicacion de terminal, y como lo la localizan los metadatos, pues… no hay auto ejecucion de los archivos de terminal. Lo intenta hacer con quicktime y con terminal, respectivamente, pero no con terminal, asi que “muerto el perro, se acabo la rabia” y en este caso si que es asi.
Cambiar la terminal de sitio no es la solución más adecuada pero como parche temporal es útil. Esperemos que lo solucionen pronto porque es un problema realmente MUY grave.
No aconsejaría yo el cambiar el terminal de sitio o bien el cambiarle de nombre. Más que nada, porque habría que revertir las coas al estado original cuando quisiéramos instalar alguna actualización del sistema operativo para evitar problemas.
Mi solución provisional (parece ser que Apple está ya manos a la obra) es la de actuar a través de una cuenta de usuario gestionada, a la que previamente desde una cuenta de administrador le hemos quitado el permiso para utilizar el terminal. Toda ejecución de comandos unix vía archivos que simulan ser otra cosa, será denegada (igualmente no podremos, en buena lógica, lanzar el terminal, mal menor, hasta que haya parche). Puede que sea un poco “rollo” pero al menos quienes no requieran del uso frecuente del terminal estarán cubiertos de la ejecución maliciosa de scripts de Unix enmascarados como otro tipo de archivos.
Yo he probado el script de heise online y me ha funcionado. Tenía la aplicación terminal tal cual se instala por defecto. Evidentemente, tras probar el proceso que he relatado, al intentar ejecutar el archivo me sale, como era de esperar, un mensaje negándome el acceso al terminal.
De todas maneras, cualquiera sea la forma elegida, lo más prudente es que cuando vemos un archivo del cual desconocemos cómo y donde lo hemos bajado (si es que lo hemos hecho), o bien dudamos de su procedencia, tenemos que pedir información al sistema.Si no corresponde el icono, con el tipo de archivo que se nos presenta, entonces a la papelera (o papelera de reciclaje que dirían nuestros amigos de Windows) y…buen viaje!!
[…] La actualización de seguridad resuelve, aunque no de forma totalmente satisfactoria, el problema de los archivos que se presentan como contenido multimedia cuando en realidad son ejecutables Unix, y que constituían el principal componente del gravísimo fallo de seguridad de que hablamos la semana pasada. […]