Zoom ha reparado una falla de seguridad grave que podría haber permitido a los piratas informáticos apoderarse de un dispositivo macOS que ejecuta el software de videoconferencia.
El movimiento se produjo después de que el especialista en seguridad de Mac, Patrick Wardle, demostrara cómo un actor de amenazas podría abusar de la forma en que macOS maneja los parches de software para desencadenar una escalada de privilegios y, esencialmente, apoderarse del dispositivo.
Inicialmente, dijo que la vulnerabilidad aprovechó múltiples fallas y que la compañía abordó la mayoría de ellas. Sin embargo, uno permaneció, y ese fue reparado en una fecha posterior para finalmente mitigar completamente el problema.
Engañar al actualizador
El problema radica en la forma en que macOS maneja las actualizaciones. Cuando un usuario intenta instalar por primera vez una aplicación o un programa en el punto final, debe ejecutarse con permisos de usuario especiales, a menudo otorgados mediante el envío de una contraseña. Después de eso, las actualizaciones automáticas se ejecutan indefinidamente, con privilegios de superusuario.
En el caso de Zoom, el actualizador verificaría primero si la empresa firmó criptográficamente el nuevo paquete y, de ser así, continuaría con la actualización. Sin embargo, si el actualizador obtiene algún archivo con el mismo nombre que el certificado de firma de Zoom, lo ejecutará. En otras palabras, un atacante podría introducir cualquier malware a través del actualizador, incluso si eso significaba dar acceso total al dispositivo a un tercero.
La falla se identificó más tarde como CVE-2022-28756 y se corrigió en la versión 5.11.5 de Zoom para macOS, que ya está disponible para descargar.
Aunque al principio Wardle describió la falla como relativamente fácil de solucionar, incluso él se sorprendió de la velocidad con la que Zoom abordó el problema: «¡Mahalos a Zoom para la solución (increíblemente) rápida!» Wardle tuiteó después. «Al invertir el parche, vemos que el instalador de Zoom ahora invoca lchown para actualizar los permisos de la actualización .pkg, evitando así la subversión maliciosa».
Vía: The Verge (se abre en una pestaña nueva)