Descubierta vulnerabilidad importante en Mac OS X Leopard

Miguel López 26 de junio de 2008 27 comentarios

Caballo de troya

Recientemente se ha descubierto una vulnerabilidad en Mac OS X Leopard, que permite que un intruso pueda ejecutar scripts con privilegios de root desde otro ordenador en la red local. Dicho de otro modo, alguien que esté en la misma red de ordenadores podría llegar a tomar el control de tu ordenador sin dificultades, pudiendo capturar una foto con la iSight o capturando una imagen de tu escritorio.

Sin embargo el problema se agrava, ya que aprovechando variantes de un Troyano llamado AppleScript-THT el intruso podría ser no sólo de la red local, sino de cualquier sitio con conexión. Hasta que Apple no resuelva el problema con una actualización, aconsejan abrir el terminal y escribir el siguiente comando:

osascript -e 'tell app "ARDAgent" to do shell script "chmod 0555 /System/Library/CoreServices/RemoteManagement/ARDAgent.app/Contents/MacOS/ARDAgent"'

Pulsando Intro después de escribir este comando, podemos verificar si todo ha ido bien escribiendo este otro comando:

osascript -e 'tell app "ARDAgent" to do shell script "whoami"'

Si al pulsar Intro no nos aparece la palabra “root”, ya estamos protegidos contra la vulnerabilidad. De momento, esperemos que Apple reaccione rápido ante la importancia de este fallo y publique una actualización de seguridad lo más pronto posible.

Vía | The Apple Blog
Imagen | Flickr de The Trojan Project

12 votos

Comentarios

1

polmc |

↓

Antes de preocuparme si el intruso puede acceder como root en mi ordenador, me preocuparía de que no se llevara lo que hay en mi nevera!

26 jun 2008 15:25
normal
2

Alberto.Mundi |

↓

en vez de salirme root, me sale mi nombre de usuario, esta protegido entonces??

26 jun 2008 15:32
normal
3

Zio |

↓

a mi en vez de ponerme root me sale mi nombre y el del ordenador ¿lo he hecho bien?

26 jun 2008 15:32
normal
4

Zio |

↓

a mi en vez de ponerme root me sale mi nombre y el del ordenador ¿lo he hecho bien?

26 jun 2008 15:32
normal
5

Malgusto.com |

↓

Pero supongo que antes de que te entren tendras que haber ejecutado el programa infectado, no?

26 jun 2008 15:33
normal
6

Mixalberto |

↓

Cuidado porque al hacer el paste del código que habéis puesto, no sale entero (por lo menos a mí); entero es el siguiente: osascript -e 'tell app "ARDAgent" to do shell script "chmod 0555 /System/Library/CoreServices/RemoteManagement/ARDAgent.app/Contents/MacOS/ARDAgent"';

26 jun 2008 15:33
normal
7

Pablo |

↓

A mi tb me sale mi nombre de usuario; entonces, lo hemos hecho bien???

26 jun 2008 15:40
normal
8

eltigle |

↓

cuidado que al reparar permisos se vuelve otra ves a la vulnerabilidad

26 jun 2008 15:50
normal
9

Zio |

↓

podeis ampliar la informacion para que lo hagamos bien este es un tema muy importante

26 jun 2008 15:53
normal
10

rauldm |

↓

lo acabo de hacer y me pone root??que significa eso?

26 jun 2008 15:56
normal
11

rauldm |

↓

es mas, vuelvo a poner la instruccion osascript -e 'tell app "ARDAgent" to do shell script "whoami"'; y ahora me sale mi nombre de usuario… alguien puede explicarmelo?

26 jun 2008 15:57
normal
12

Rubén T.F. |

↓

Vamos a leer: "Si al pulsar Intro no nos aparece la palabra “root”, ya estamos protegidos contra la vulnerabilidad."

Osea, que si sí aparece, sí somos vulnerables, simplemente…

26 jun 2008 15:58
interesante
13

Zio |

↓

esto no afectara a las utilidades de back to my mac y otras de .mac/mobile me no?

26 jun 2008 16:00
normal
14

rauldm |

↓

si yo también se leer Ruben..pero explicame porque si lo vuelvo a hacer ahora ya NO me aparece root peri SI mi usuario

26 jun 2008 16:01
normal
15

Rubén T.F. |

↓

Puede ser que el primer script haya tardado en cambiar los permisos, si sigues poniendo el segundo y no sale root: sin problemas.

Mi comentario era en respuesta a tu post #10, no al #11.

26 jun 2008 16:04
brillante
16

rauldm |

↓

Muchas gracias Ruben entonces. Un saludo

26 jun 2008 16:05
normal
17

Miguel López |

↓

Si al ejecutar el segundo comando no os sale root y os sale cualquier otra cosa (como vuestro nombre de usuario), lo habéis hecho bien.

26 jun 2008 16:05
normal
18

stvz |

↓

Creo que a mi me sucedió… encendí ayer la iSight y empezó el conteo: 3. 2, 1 y ¡bum! mi mac ya no encendió por el resto de la noche. Hoy en la mañana intenté volver a encenderla, y ésta vez si funcionó. Al rato al llegar a casa meteré el script y veremos si fué eso o mi mac (con 2 años de antigüedad) esta dando las últimas.

Mac Intel Core Duo 1GB RAM

26 jun 2008 16:17
normal
19

neodata |

↓

.Mac y Mobileme lleva una conexión encriptada cuando utilizas el Back to my Mac, para poder acceder a una conexión Back to my Mac necesitas tener configurada la cuenta .Mac o Mobileme en el equipo, es decir hay que saber la contraseña, a parte de esto tiene que estar habilitado en los equipos el Back to my Mac, y hay que habilitar el control remoto y por si esto fuera poco también hay que saberse la clave de usuario para acceder al equipo. Es decir, si que a lo mejor vemos los equipos en Back to my Mac pero no podemos acceder si desconocemos el usuario y la contraseña.

Aunque habría un metodo que sería si te sabes la Cuenta .Mac sincronizar los Llaveros y si has memorizado la contraseña al utilizar alguna vez Back to my Mac el equipo podria sincronizar ese llavero y el "hacker" en cuestión no necesitar nada más que averiguar tu cuenta .Mac para poder acceder a tus equipos. Aunque no sabría la contraseña ya que los llaveros no la muestran a no ser que accedas con nombre de usuario y contraseña, simplemente al estar sincronizado el llavero no te la pide porque la tiene grabada.

Back to my Mac usa encriptación así que averiguar estos datos capturando trafico de una red va a ser como un poco dificil.

Respecto al Troyano este del ARD, uffff es lo de siempre, para ejecutar ese cambio te pide usuario y contraseña para acceder a los permisos y una vez accedes el ARD te sirve para atacar a la víctima pero estamos en lo mismo tienes que ejecutar tu el archivo y darle permisos, a parte de deshabilitar el Firewall.

26 jun 2008 16:33
normal
20

polmc |

↓

A los que preguntan si es malo que whoami diga 'root'. Sí, puesto que el usuario root (superuser) tiene todos los privilegios sobre el sistema y sin ninguna restricción, con lo que pueden hacer cualquier cosa desde borrar un archivo hasta formatear el disco duro, etc.

26 jun 2008 16:58
normal
21

rubdottocom |

↓

:-D weeee por fin toca pagar el precio de la popularidad

26 jun 2008 17:24
interesante
22

escagedo |

↓

Uf rubdottocom, te van a acribillar el karma! XD

Si no aceptas el script troyano… la "vulnerabilidad" se queda en que alguien en mi red local (que no tengo) me pueda hacer capturas de pantalla o fotos con la iSight?

Porque si es así lo único que me preocuparía es salir guapo en esas fotos…

26 jun 2008 19:15
normal
23

alex_dlc |

↓

si en leopard encuentran una vulnerabilidad, no creo que sea bueno ir hablando de ella por blogs y foros.

26 jun 2008 19:27
flojo
24

rubdottocom |

↓

@escagedo:mac bueno… simplemente digo que ahora se está expandiendo tanto el mercado Mac, es normal que vayan saliendo vulnerabilidades, da = Mac, Windows o Linux, a más usuarios más vías de entrada se encontrarán, es un hecho. Lo importante es la velocidad con la que estas vías se detecten y resuelvan. Eso es lo que sí puede ser un talón de Aquiles.

26 jun 2008 20:57
normal
25

ivook |

↓

creo yo que la vulnerabilidad se agranda al publicarlo en la web. hace unas horas, lo sabia 1 persona, ahora lo saben miles… mmm… seria mucho mejor que apple se informe y haga los arreglos correspondientes y listo, no enterarnos todos. saludos!

26 jun 2008 22:23
normal
26

TONY |

↓

hola funciona o no

27 jun 2008 06:45
normal
27

P0L0 |

↓

Segun las paginas de seguridad, es un fallo que solo se puede explotar localmente, es decir solo en la propia maquina, no remotamente (ni internet, ni LAN).

El problema radica en que si te descargas un script/programa que ejecute los comandos por medio de ARDAgent ejecutar cosas como root sin pedir contraseña, como el troyano que da vueltas por ahi, pero siempre que tengas cuidado con lo que ejecutas, no deberias tener problemas hasta que Apple saque un parche.

27 jun 2008 08:55
normal