Escaladas de privilegios y fallos en el kernel de macOS en abril

El interés por descubrir vulnerabilidades y formas de explotar fallos en los sistemas Apple ha crecido, de eso no cabe la menor duda. Si nos fijamos en sitios como Exploit-db o 0day.today podemos ir encontrando diferentes vulnerabilidades a lo largo del tiempo. El mes de abril y el final del mes de marzo está siendo especialmente duro para los sistemas de Apple ya que, además de un gran número de actualizaciones y despliegues de urgencia, tenemos una serie de vulnerabilidades publicadas, algunas a la espera de exploit. En el artículo de hoy hablaremos de las diferentes vulnerabilidades que podemos encontrar visitando estos bancos de vulnerabilidades.

En Exploit-db podemos encontrar 6 vulnerabilidades para sistemas macOS en lo que llevamos de mes de abril. Sin duda, interesante. Algunas de las vulnerabilidades permiten la ejecución de código y la escalada de privilegios dentro del sistema. La mayoría de las vulnerabilidades que se pueden encontrar en la plataforma afectan al kernel del sistema operativo.

Figura 1: Vulnerabilidades de macOS en abril en Exploit-db

No dudes en actualizar tu sistema operativo cuando tengas actualizaciones. El riesgo cada vez es mayor y cada vez existen un mayor número de vulnerabilidades, lo cual es interesante e importante, ya que hay una mayor investigación y protección para el usuario final. Si no has actualizado a la última versión de macOS, hazlo lo antes posible.

Escalada de privilegios en OS X 10.11.6 vía Pegasus

Pegasus es una de esas noticias que salen una vez al año, y nos estamos acostumbrando en este mundo a que salgan. El impacto mediático de este malware fue enorme y ver como afectaba tanto a iOS como a OS X, era sencillamente tremendo. El investigador Min Zheng del equipo OverSky, ha publicado un exploit compilable que permite elevar privilegios en sistemas OS X 10.11.6. Por recopilar un poco, hay que recordar que existían tres vulnerabilidades, CVE-2016-4657, CVE-2016-4655 y CVE-2016-4656 que permitían el acceso remoto y con privilegio al terminal. 

Posteriormente, los investigadores Stefan Esser y el equipo de Pangu encontraron las vulnerabilidades CVE-2016-4655 y CVE-2016-4656 todavía operativas, con lo que se pueden utilizar para elevar privilegios en OS X 10.11.6 y realizar un Jailbreak a iOS 9.3.4. En la siguiente imagen podemos ver como el exploit publicado permite elevar el privilegio del usuario que ejecuta el terminal para ser root.

Figura 1: Elevación de privilegio en OS X 10.11.6

Min Zheng ha publicado el detalle de las acciones que ha llevado a cabo para realizar la explotación y la escalada de privilegios. Hay que recordar que OS X 10.11.6 es la última versión del sistema operativo El Capitan por lo que este código es crítico. En pocos días veremos una actualización para tapar los agujeros que provocan que este exploit funcione. Estaremos atentos desde el blog para contarlo.

Escalada de privilegios en OS X: Apple Intel HD 3000 Graphics driver

Hoy traemos uno de esos artículos tipicos que salen de vez en cuando: una escalada de privilegios en OS X. La vulnerabilidad CVE-2016-1743 ha sido publicada por los investigadores Piotr Bania y Cisco Talos. Apple ha proporcionado un sitio web dónde consultar los detalles de la vulnerabilidad y en qué versión del Security Update se ha solucionado. La vulnerabilidad afecta a la versión del sistema operativo OS X 10.11.3 y anteriores, los cuales cuenten con el driver de Intel HD 3000 Graphics. 

La prueba de concepto se encuentra disponible en Internet y el exploit lo podemos encontrar en sitios como exploit-db o  oday.today. La vulnerabilidad permitía a un potencial atacante ejecutar código arbitrario en un contexto privilegiado, como es el contexto dónde ejecuta el driver de Intel. Además, y como es lógico, también puede causarse la denegación de servicio del driver produciendo un memory corruption.

Figura 1: Exploit para driver en OS X 10.11.3

El exploit ha sido liberado el pasado 8 de Abril, una vez que Apple e Intel han solucionado los problemas que tenía respecto al driver. Recomendamos que actualicéis vuestros equipos Mac a la última versión de El Capitan, la cual es la versión 10.11.4. De esta forma solventaréis el riesgo que supone este driver. Es cierto que para que se puede lograr explotar la vulnerabilidad se tiene que estar físicamente delante de la máquina o una sesión no privilegiada en remoto, por la que se pueda lanzar el exploit como si se estuviera en local. Este tipo de ejemplos los hemos visto en otras ocasiones, por ejemplo el caso del bypass del sudo o el caso de DYLD_PRINT.