Pueden controlar tu Mac a través de GarageBand

macOS  tiene un parche para paliar y solucionar un defecto crítico en la aplicación de música conocida como GarageBand. Apple ha publicado que tiene un agujero de seguridad en la aplicación GarageBand, el cual podría permitir a un potencial atacante ejecutar código de forma remota en un Mac. La actualización de GarageBand 10.1.6 está siendo enviada a todos los equipos que ejecutan OS X Yosemite y posteriores. Esto es debido a que la aplicación tiene dicha vulnerabilidad, por lo que se debe prestar especial atención en este hecho. 

El fallo, el cual se aborda en el CVE-2017-2374, permite, a través de un fileformat, a un atacante ejecutar código remoto, cuando la víctima ejecuta el archivo creado de forma maliciosa, es decir, que contiene el exploit en su interior. Apple utiliza el formato .band para todos los archivos del proyecto GarageBand. En otras palabras, un atacante podría convencer a un usuario para que ejecute un archivo con extensión .band, el cual al ser abierto con la aplicación vulnerable proporcionase el control de la máquina al atacante. El investigador que se encuentra detrás de la investigación que ha dado como resultado este fallo, publicó hace muy poco tiempo otra vulnerabilidad relacionada. En la ocasión anterior, se encontró el CVE-2017-2372, solucionado en una actualización anterior.

Figura 1: GarageBand vulnerable a fileformat

Esta vulnerabilidad es el resultado de una mala gestión y validación a la hora de analizar el formato y la composición del archivo, según indica el investigador. El formato se divide en trozos con un campo longitud para cada uno. Esta longitud es controlada por el usuario y puede ser utilizada para crear una condición explotable. Apple no ha comunicado que esta vulnerabilidad se pueda estar utilizando en alguna campaña de malware, aunque podría llegar a ser un vector para infectar multitud de equipos. Se recomienda parchear la vulnerabilidad lo antes posible, llevando a cabo una actualización de GarageBand.

Escalada de privilegios en OS X 10.11.6 vía Pegasus

Pegasus es una de esas noticias que salen una vez al año, y nos estamos acostumbrando en este mundo a que salgan. El impacto mediático de este malware fue enorme y ver como afectaba tanto a iOS como a OS X, era sencillamente tremendo. El investigador Min Zheng del equipo OverSky, ha publicado un exploit compilable que permite elevar privilegios en sistemas OS X 10.11.6. Por recopilar un poco, hay que recordar que existían tres vulnerabilidades, CVE-2016-4657, CVE-2016-4655 y CVE-2016-4656 que permitían el acceso remoto y con privilegio al terminal. 

Posteriormente, los investigadores Stefan Esser y el equipo de Pangu encontraron las vulnerabilidades CVE-2016-4655 y CVE-2016-4656 todavía operativas, con lo que se pueden utilizar para elevar privilegios en OS X 10.11.6 y realizar un Jailbreak a iOS 9.3.4. En la siguiente imagen podemos ver como el exploit publicado permite elevar el privilegio del usuario que ejecuta el terminal para ser root.

Figura 1: Elevación de privilegio en OS X 10.11.6

Min Zheng ha publicado el detalle de las acciones que ha llevado a cabo para realizar la explotación y la escalada de privilegios. Hay que recordar que OS X 10.11.6 es la última versión del sistema operativo El Capitan por lo que este código es crítico. En pocos días veremos una actualización para tapar los agujeros que provocan que este exploit funcione. Estaremos atentos desde el blog para contarlo.

Un email puede dar acceso total a la red interna en un bug crítico de FireEye

Investigadores del equipo de seguridad de Google denominado Project Zero han encontrado una vunerabilidad crítica en el kit de FireEye que permite a los atacantes acceder a las redes corporativas con el envío de un solo correo electrónico. La vulnerabilidad ha sido calificada como "666". El reputado investigador Tavis Ormandy describe la vulnerabilidad como un escenario de pesadilla. 

Los parches por parte de FireEye no se han hecho esperar, y han lanzado actualizaciones para NX, FX y AX que son las cajas de FireEye. Estas soluciones de monitorización de tráfico se colocan a la salida de la red corporativa. Ormandy y su compañero de Google encontrar el defecto como parte de una investigación. El exploit es muy peligroso ya que el kit es vulnerable en su estado predeterminado. Según informa FireEye están prestando apoyo, incluso a los clientes cuyos contrados han vencido. ¿Cuál es el vector de ataque? Un atacante podría enviar un correo electrónico a un usuario de la organización protegida con esta solución y tener acceso a toda la red interna. El destinatario no tendría que leer el correo electrónico, simplemente recibiéndolo sería suficiente. 

Figura 1: Esquema de los dispositivos FireEye que monitorizan tráfico

Para explicar brevemente, el detalle puede visualizarse en un artículo publicado por la gente de Project Zero, decir que una organización instala un dispositivo FireEye en su red interna y se conecta a un puerto espejo en el punto de salida. Éstos están monitorizando puertos de los equipos de la red. El dispositivo FireEye monitoriza todo el tráfico de la red de forma pasiva. El seguimiento de protocolos comunes, como HTTP, FTP, SMTP, etcétera. Si se detecta una transferencia de archivos, por ejemplo un archivo de correo adjunto o una descarga HTTP, FireEye extrae el archivo y lo analiza en busca de malware.

En principio, si el usuario recibe un correo electrónico o visita un sitio web malicioso, el dispositivo de FireEye observa el tráfico y avisa al administrador de la red. La vulnerabilidad descubierta puede ser explotada a través de la interfaz de monitoreo pasivo, es decir, un atacante solo tiene que enviar un correo electrónico a un usuario para acceder a la red. En concreto se puede acceder a un tap de la red, que es una de las máquinas más privilegiadas de la red, ya que tiene acceso a correo de empleados, contraseñas, descargas, historial de navegación, archivos adjuntos confidenciales, es decir, todo lo importante de la organización.

Figura 2: Explotación de vulnerabilidad

En algunas configuraciones, un atacante podría manipular el tráfico, o incluso, insertar puertas traseras. En los dispositivos vulnerables, se suele tener una interfaz secundaria conectada a Internet para las actalizaciones y la gestión, la cuestión es que podría ser una vía para propagar gusanos a través de Internet.