Recientemente se ha descubierto una vulnerabilidad en Mac OS X Leopard, que permite que un intruso pueda ejecutar scripts con privilegios de root desde otro ordenador en la red local. Dicho de otro modo, alguien que esté en la misma red de ordenadores podría llegar a tomar el control de tu ordenador sin dificultades, pudiendo capturar una foto con la iSight o capturando una imagen de tu escritorio.
Sin embargo el problema se agrava, ya que aprovechando variantes de un Troyano llamado AppleScript-THT el intruso podría ser no sólo de la red local, sino de cualquier sitio con conexión. Hasta que Apple no resuelva el problema con una actualización, aconsejan abrir el terminal y escribir el siguiente comando:
osascript -e 'tell app "ARDAgent" to do shell script "chmod 0555 /System/Library/CoreServices/RemoteManagement/ARDAgent.app/Contents/MacOS/ARDAgent"'
Pulsando Intro después de escribir este comando, podemos verificar si todo ha ido bien escribiendo este otro comando:
osascript -e 'tell app "ARDAgent" to do shell script "whoami"'
Si al pulsar Intro no nos aparece la palabra "root", ya estamos protegidos contra la vulnerabilidad. De momento, esperemos que Apple reaccione rápido ante la importancia de este fallo y publique una actualización de seguridad lo más pronto posible.
Vía | The Apple Blog Imagen | Flickr de The Trojan Project
Ver 27 comentarios
27 comentarios
Miguel López
Si al ejecutar el segundo comando no os sale root y os sale cualquier otra cosa (como vuestro nombre de usuario), lo habéis hecho bien.
Arcade Z
a mi en vez de ponerme root me sale mi nombre y el del ordenador ¿lo he hecho bien?
Arcade Z
a mi en vez de ponerme root me sale mi nombre y el del ordenador ¿lo he hecho bien?
Arcade Z
podeis ampliar la informacion para que lo hagamos bien este es un tema muy importante
Arcade Z
esto no afectara a las utilidades de back to my mac y otras de .mac/mobile me no?
neodata
.Mac y Mobileme lleva una conexión encriptada cuando utilizas el Back to my Mac, para poder acceder a una conexión Back to my Mac necesitas tener configurada la cuenta .Mac o Mobileme en el equipo, es decir hay que saber la contraseña, a parte de esto tiene que estar habilitado en los equipos el Back to my Mac, y hay que habilitar el control remoto y por si esto fuera poco también hay que saberse la clave de usuario para acceder al equipo. Es decir, si que a lo mejor vemos los equipos en Back to my Mac pero no podemos acceder si desconocemos el usuario y la contraseña.
Aunque habría un metodo que sería si te sabes la Cuenta .Mac sincronizar los Llaveros y si has memorizado la contraseña al utilizar alguna vez Back to my Mac el equipo podria sincronizar ese llavero y el "hacker" en cuestión no necesitar nada más que averiguar tu cuenta .Mac para poder acceder a tus equipos. Aunque no sabría la contraseña ya que los llaveros no la muestran a no ser que accedas con nombre de usuario y contraseña, simplemente al estar sincronizado el llavero no te la pide porque la tiene grabada.
Back to my Mac usa encriptación así que averiguar estos datos capturando trafico de una red va a ser como un poco dificil.
Respecto al Troyano este del ARD, uffff es lo de siempre, para ejecutar ese cambio te pide usuario y contraseña para acceder a los permisos y una vez accedes el ARD te sirve para atacar a la víctima pero estamos en lo mismo tienes que ejecutar tu el archivo y darle permisos, a parte de deshabilitar el Firewall.
Malgusto.com
Pero supongo que antes de que te entren tendras que haber ejecutado el programa infectado, no?
ivook
creo yo que la vulnerabilidad se agranda al publicarlo en la web. hace unas horas, lo sabia 1 persona, ahora lo saben miles… mmm… seria mucho mejor que apple se informe y haga los arreglos correspondientes y listo, no enterarnos todos. saludos!
Mixalberto
Cuidado porque al hacer el paste del código que habéis puesto, no sale entero (por lo menos a mí); entero es el siguiente: osascript -e 'tell app "ARDAgent" to do shell script "chmod 0555 /System/Library/CoreServices/RemoteManagement/ARDAgent.app/Contents/MacOS/ARDAgent"';
BarnsK
lo acabo de hacer y me pone root??que significa eso?
BarnsK
es mas, vuelvo a poner la instruccion osascript -e 'tell app "ARDAgent" to do shell script "whoami"'; y ahora me sale mi nombre de usuario… alguien puede explicarmelo?
BarnsK
si yo también se leer Ruben..pero explicame porque si lo vuelvo a hacer ahora ya NO me aparece root peri SI mi usuario
BarnsK
Muchas gracias Ruben entonces. Un saludo
polmc
Antes de preocuparme si el intruso puede acceder como root en mi ordenador, me preocuparía de que no se llevara lo que hay en mi nevera!
Alberto.Mundi
en vez de salirme root, me sale mi nombre de usuario, esta protegido entonces??
webgeda
A mi tb me sale mi nombre de usuario; entonces, lo hemos hecho bien???
Carlos Comendador
cuidado que al reparar permisos se vuelve otra ves a la vulnerabilidad
Rubén T.F.
Vamos a leer: "Si al pulsar Intro no nos aparece la palabra “root”, ya estamos protegidos contra la vulnerabilidad."
Osea, que si sí aparece, sí somos vulnerables, simplemente…
Rubén T.F.
Puede ser que el primer script haya tardado en cambiar los permisos, si sigues poniendo el segundo y no sale root: sin problemas.
Mi comentario era en respuesta a tu post #10, no al #11.
estevez.gonzalo
Creo que a mi me sucedió… encendí ayer la iSight y empezó el conteo: 3. 2, 1 y ¡bum! mi mac ya no encendió por el resto de la noche. Hoy en la mañana intenté volver a encenderla, y ésta vez si funcionó. Al rato al llegar a casa meteré el script y veremos si fué eso o mi mac (con 2 años de antigüedad) esta dando las últimas.
Mac Intel Core Duo 1GB RAM
polmc
A los que preguntan si es malo que whoami diga 'root'. Sí, puesto que el usuario root (superuser) tiene todos los privilegios sobre el sistema y sin ninguna restricción, con lo que pueden hacer cualquier cosa desde borrar un archivo hasta formatear el disco duro, etc.
Rub
:-D weeee por fin toca pagar el precio de la popularidad
escagedo
Uf rubdottocom, te van a acribillar el karma! XD
Si no aceptas el script troyano… la "vulnerabilidad" se queda en que alguien en mi red local (que no tengo) me pueda hacer capturas de pantalla o fotos con la iSight?
Porque si es así lo único que me preocuparía es salir guapo en esas fotos…
alex_dlc
si en leopard encuentran una vulnerabilidad, no creo que sea bueno ir hablando de ella por blogs y foros.
Rub
@escagedo:mac bueno… simplemente digo que ahora se está expandiendo tanto el mercado Mac, es normal que vayan saliendo vulnerabilidades, da = Mac, Windows o Linux, a más usuarios más vías de entrada se encontrarán, es un hecho. Lo importante es la velocidad con la que estas vías se detecten y resuelvan. Eso es lo que sí puede ser un talón de Aquiles.
TONY
hola funciona o no
P0L0
Segun las paginas de seguridad, es un fallo que solo se puede explotar localmente, es decir solo en la propia maquina, no remotamente (ni internet, ni LAN).
El problema radica en que si te descargas un script/programa que ejecute los comandos por medio de ARDAgent ejecutar cosas como root sin pedir contraseña, como el troyano que da vueltas por ahi, pero siempre que tengas cuidado con lo que ejecutas, no deberias tener problemas hasta que Apple saque un parche.