Menú principal

martes, 12 de mayo de 2015

MacKeeper 0day: URL Handler Remote Code Execution

Esta semana ha aparecido una vulnerabilidad de ejecución de código remoto en MacKeeper, además de su prueba de concepto. Este 0day ha sido publicado en el propio blog de MacKeeper dando aviso de ello y detallando el problema de seguridad y las medidas que se deben adoptar para dar respuesta a esto. Los usuarios de MacKeeper deben actualizar a la última versión tan pronto como esta salga. Por defecto, MacKeeper comprueba automáticamente las actualizaciones, y los usuarios deben hacer clic en aceptar cuando se le solicita para finalizar la instalación.

El riesgo de esta vulnerabilidad es crítica, ya que se permite ejecutar código remoto. El fallo se encuentra en el handler URL de MacKeeper el cual permite la ejecución de código arbitrario cuando un usuario visita un sitio web malicioso. El investigador de seguridad Braden Thomas ha descubierto este grave fallo en la forma en la que MacKeeper gestiona las URL personalizadas. La ejecución de código se realiza como root, con poca o ninguna interacción por parte del usuario.

Figura 1: Security Advisory MacKeeper
El investigador Thomas ha lanzado una prueba de concepto que demuestra cómo visitando un sitio web especialmente creado con Safari el sistema afectado ejecuta ciertos comandos arbitrarios. En el caso de la prueba de concepto se utilizan comandos para desinstalar el propio MacKeeper. La falta de validación en los parámetros de entrada por MacKeeper hace que se provoque este fallo de seguridad. En su sitio web, la gente de MacKeeper indica que en su quinto aniversario han tenido más de 20 millones de descargas, por lo que este 0day afecta a muchos usuarios en el mundo Mac.

Algo que recalcar en este fallo es que si MacKeeper ya tiene el usuario y contraseña, porque el usuario la haya introducido previamente, no se pedirá contraseña antes de ejecutar el código arbitrario. Por otro lado, si el usuario no se autenticado previamente, se le solicitará que introduzca nombre de usuario y contraseña. Esto parece salvar "algo" la gravedad, pero el texto que se presenta al usuario en el cuadro de diálogo puede ser también manipulado. 

Figura 2: PoC 0day MacKeeper

En Exploit-DB podemos encontrar la prueba de concepto escrita en python, bastante sencilla de llevar a cabo. Se recomienda desactivar MacKeeper hasta que se tenga un parche para ello, ya que la vulnerabilidad es crítica y prácticamente no requiere de la interacción del usuario.

No hay comentarios:

Publicar un comentario

Entrada destacada

Proteger tu cuenta de Google y de Gmail con Latch Cloud TOTP #Latch #Gmail #Google

La semana pasada se liberó la nueva versión de Latch y nuestro compañero Chema Alonso hizo un repaso de todo ello en su artículo Latch...

Otras historias relacionadas

Entradas populares