Apple confirma que NO habrá parche para el bug en la Sandbox descubierto por Core Security en Mac OS X

Core Security Technologies es una de las empresas de seguridad ofensiva más famosa del mundo. Sus investigadores de seguridad se dedican al la búsqueda de vulnerabilidades en productos para proteger las tecnologías que utilizan sus clientes con el afán de que puedan disponer de un mejor conocimiento de los riesgos de seguridad asociados a ellas.

Core, al igual que la gran mayoría de empresas de seguridad ofensiva, practican lo que se denomina la publicación responsable (Responsible Disclosure) o coordinada (Coordinated Disclosure) - término que nos gusta más - tal y como han explicado en un post en su blog, en el que explican por qué han publicado una prueba de concepto de un bug en la Sandbox de Apple que no va a ser parcheado.

El bug en cuestión, publicado en el expediente Apple OS X Sandbox Predefined Profiles Bypass fue notificado a Apple el 20 de Septiembre de 2010, es decir, hace más de un año, y afecta a la configuración por defecto de uno de los perfiles de trabajo de la Sandbox del sistema en Mac OS X Leopard, Mac OS X Snow Leopard y Mac OS X Lion. En concreto al perfil de aislamiento de trabajo sin red ni Internet, (kSBXProfileNoNetwork, kSBXProfileNoInternet).

En dicho pérfil, el sistema debe garantizar que la aplicación no pueda trabajar con ningún socket de conexión de red, sin embargo, los investigadores de Core han sido capaces de hacer que una apliación aislada bajo ese perfil trabaje con la red medidante el uso de eventos del sistema. Apple, un año después, contestó que no pensaba arreglar ese fallo, y que haría notar esta posibilidad en la documentación de la Sanbox para que se conociera la limitación de la funcionalidad.

Figura 1: Sección del POC publicado por Core para saltarse la Sandbox

Sin embargo, tras el anuncio de que Apple exigiría a los desarrolladores que todas las aplicaciones de la Mac App Store funcionaran con Sandbox, y esta demostración de que puede ser saltado este perfil de aislamiento, ha levantado ciertas ammpollas, ya que una aplicación instalada desde la Mac Store, y supuestamente aislada de la red e Internet podría seguir comunicandose con un servidor para enviar datos, creando una falsa sensación de seguridad en el usuario.

Además, como reportan en el expediente, un fallo similar publicado por Charlie Miller en la BlackHat Japan de 2008 que permitía saltarse la Sandbox en Mac OS X en su charla "Owning the Fanboys: Hacking Mac OS X" generó cambios en el sistema para parchearlo, y ahora Apple ha decidido no hacerlos.

En cualquier caso, los investigadores de Core han dejado publicado en el expediente de seguridad toda la información, incluyendo el time-line de notificaciones de a Apple y la Prueba de Concepto, lo que sin duda hará que muchos aprendan a saltarse esa protección de la Sandbox. ¿Crees que Apple debería parchear esta característica?