La Vulnerabilidad de Día Cero en macOS Finder Permite la Ejecución Silenciosa de Código

Una vulnerabilidad de día cero recientemente descubierta en el componente Finder de macOS permite la ejecución de código y la ejecución silenciosa de comandos arbitrarios, revelaron los investigadores de seguridad. La divulgación se realizó a través de SSD Secure Disclosure, una plataforma destinada a informar y divulgar de manera responsable las vulnerabilidades a los proveedores.

Según los investigadores, la vulnerabilidad reside en la forma en que macOS Finder maneja los archivos .inetloc. Esos se parecen a los accesos directos web que se utilizan en las máquinas con Windows, pero tienen una funcionalidad algo más amplia. Un archivo .inetloc puede apuntar no solo a un sitio web o URL, sino también a fuentes de noticias o incluso ubicaciones de Telnet.

El problema proviene de una funcionalidad adicional que tienen los archivos .inetloc: pueden apuntar a documentos locales que residen en el disco duro de un usuario, utilizando el mismo formato de archivo. Esto funciona de manera similar a cómo funcionan los accesos directos a archivos en los sistemas Windows, donde la parte http: // del archivo .inetloc se reemplaza por file: //.

Un actor de amenazas solo necesitaría crear un archivo .inetloc malicioso y manipulado que contenga comandos incrustados en él. Una vez que se ha producido el archivo manipulado, solo es cuestión de difundirlo a suficientes víctimas, utilizando campañas de malspam e ingeniería social para que los usuarios abran el archivo adjunto malicioso.

Es importante destacar que el problema también afecta a macOS Big Sur, la versión actual del sistema operativo y no se limita a versiones antiguas o sin parches. El problema fue informado a la plataforma SSD Secure Disclosure por un investigador independiente llamado Park Minchan.

En respuesta, Apple emitió rápidamente un parche de revisión, pero no presentó una entrada CVE para el problema. Sin embargo, según los investigadores, la solución no resolvió completamente el problema.

La solución hizo que el prefijo file: // ya no funcionara, pero el parche distingue entre mayúsculas y minúsculas, lo que significa que File: // aún puede solucionar la solución.

ThreatPost informó que no hay información sobre la explotación activa de la vulnerabilidad en cuestión y declaró que no recibieron una respuesta cuando se comunicaron con Apple para obtener más comentarios.