Problemas de Seguridad en macOS Sequoia
Cuando Apple lanzó macOS Sequoia el mes pasado, introdujo nuevas características como el ajuste de ventanas y la posibilidad de controlar tu iPhone desde tu Mac. Sin embargo, además de estos cambios superficiales, la nueva actualización también presentó una serie extensa de parches para vulnerabilidades de seguridad. Una de estas vulnerabilidades fue descubierta por Microsoft y es bastante preocupante para los Macs utilizados dentro de organizaciones.
Cómo Funciona la Vulnerabilidad de TCC en Safari
Microsoft describió sus hallazgos en una entrada de blog el 17 de octubre, aproximadamente un mes después del lanzamiento de macOS Sequoia el 16 de septiembre. La compañía denomina a la vulnerabilidad “HM Surf”, en referencia a un movimiento enseñable de la serie Pokémon, que descubrieron permite a actores malintencionados eludir la plataforma de Transparencia, Consentimiento y Control (TCC) de Apple para Safari. TCC normalmente asegura que las aplicaciones sin el permiso adecuado no puedan acceder a servicios como tu ubicación, cámara o micrófono, lo que es esencial para preservar tu privacidad.
No obstante, Apple otorga a algunas de sus propias aplicaciones privilegios que les permiten eludir estos bloqueos de TCC. Después de todo, es una aplicación de Apple, por lo que la empresa sabe que no es maliciosa. En el caso de Safari, Microsoft encontró que la aplicación tiene acceso a la libreta de direcciones, la cámara y el micrófono de tu Mac, entre otros servicios, sin necesidad de pasar primero por las verificaciones de TCC. Aún así, sigues encontrando verificación de TCC al usar Safari en diferentes sitios web: eso es lo que sucede cuando cargas una página y un aviso te pregunta si permitirás que el sitio acceda a algo como tu cámara. Las configuraciones de TCC por sitio se guardan en un directorio en tu Mac bajo ~/Library/Safari.
Cómo Explota la Vulnerabilidad
Aquí es donde entra el exploit: Microsoft descubrió que puedes cambiar este directorio a otra ubicación, lo que elimina las protecciones de TCC. Luego, puedes modificar archivos sensibles en el directorio principal real y luego volver a cambiar el directorio, de modo que Safari utilice los archivos modificados que colocaste en su lugar. Felicitaciones: ahora puedes eludir las protecciones de TCC, hacer una foto con la webcam del Mac y acceder a información de ubicación de la máquina. Microsoft señala que hay varias acciones que actores maliciosos podrían potencialmente tomar a partir de esta situación, incluyendo guardar la imagen de la webcam en un lugar al que puedan acceder más tarde; grabar video desde tu webcam; transmitir audio desde tu micrófono hacia una fuente externa; y ejecutar Safari en una pequeña ventana, para que no notes su actividad. Es importante destacar que los navegadores de terceros no se ven afectados en este aspecto, ya que deben cumplir con los requisitos de TCC de Apple y no tienen los privilegios de Safari para eludirlos.
Limitaciones de la Vulnerabilidad
Después de leer el informe de Microsoft, podrías estar preocupado por la posibilidad de que actores maliciosos espíen tu Mac a través de Safari. Sin embargo, lo que no se menciona explícitamente es que esta vulnerabilidad solo afecta a Macs gestionados por MDM, es decir, Macs pertenecientes a organizaciones controladas por un servicio de TI centralizado. Esto incluye Macs proporcionados por tu trabajo o una computadora perteneciente a tu escuela.
Apple confirma esto en sus notas de seguridad para macOS Sequoia, en una entrada bastante breve considerando las implicaciones de privacidad y seguridad. Por supuesto, la vulnerabilidad sigue siendo seria, pero está mucho más limitada. No tienes que preocuparte de que Safari en tu Mac personal permita que los hackers accedan a tu webcam, micrófono y ubicación. Pero si tienes un Mac proporcionado por trabajo o escuela que está gestionado por MDM, eso es motivo de preocupación y debes instalar la actualización lo antes posible.
Parcheando la Vulnerabilidad en tu Mac Gestionado por MDM
Esta vulnerabilidad afecta a los siguientes Macs: Mac Studio (2022 y posteriores), iMac (2019 y posteriores), Mac Pro (2019 y posteriores), Mac Mini (2018 y posteriores), MacBook Air (2020 y posteriores), MacBook Pro (2018 y posteriores), e iMac Pro (2017 y posteriores). Es posible que tu organización ya haya emitido la actualización para tu Mac, si es elegible. Sin embargo, si tu máquina no está ejecutando macOS Sequoia, consulta con el departamento de TI de tu empresa o escuela para saber cuándo estará disponible una actualización.
Fuente y créditos: lifehacker.com
Cats: Tech
