El instalador de Zoom permite a un investigador piratear el acceso a la raíz en macOS

Un investigador de seguridad encontró una manera para que un atacante use la versión macOS de Zoom para obtener acceso a todo el sistema operativo.

Los detalles del exploit fueron revelados en una presentación del experto en seguridad de Mac Patrick Wardle en la conferencia de piratería Def Con en Las Vegas el viernes. Zoom ya ha reparado algunos de los errores incluidos, pero el investigador también reveló una vulnerabilidad sin parchear que aún afecta a los sistemas.

El exploit funciona apuntando al instalador de la aplicación Zoom, que debe ejecutarse con permisos de usuario especiales para instalar o desinstalar la aplicación Zoom principal de una computadora. Aunque el instalador requiere que el usuario ingrese su contraseña cuando agrega la aplicación por primera vez al sistema, Wardle descubrió que la función de actualización automática se ejecuta continuamente en segundo plano con privilegios de superusuario.

Cuando Zoom lanzó una actualización, el actualizador instalaría el nuevo paquete después de verificar que Zoom lo haya cifrado. Pero un error en la implementación del método de verificación hizo que darle al actualizador un archivo con el mismo nombre que el certificado de firma de Zoom sería suficiente para pasar la prueba, por lo que un atacante podría sustituir cualquier tipo de malware y ejecutarlo. actualización con alto privilegio.

El resultado es ataque de escalada de privilegios, que supone que el atacante ya obtuvo acceso inicial al sistema de destino y luego usa un exploit para obtener un mayor nivel de acceso. En este caso, el atacante comienza con una cuenta de usuario limitada, pero evoluciona al tipo de usuario más poderoso conocido como «superusuario» o «raíz», que le permite agregar, eliminar o modificar cualquier archivo en la máquina.

Wardle es el fundador de Objective-See Foundation, una organización sin fines de lucro que crea herramientas de seguridad de código abierto para macOS. Previamente, en la conferencia de seguridad cibernética Black Hat, que tuvo lugar la misma semana que Def Con, Wardle detalló el uso no autorizado de algoritmos extraídos de su software de seguridad de código abierto por parte de empresas con fines de lucro.

Siguiendo los protocolos de divulgación responsable, Wardle notificó a Zoom sobre la vulnerabilidad en diciembre pasado. Para su consternación, dice, la solución original de Zoom contenía otro error que significaba que la vulnerabilidad aún podía explotarse de una manera un poco más indirecta, por lo que reveló este segundo error a Zoom y esperó ocho meses antes de investigarlo y publicarlo.

«Fue un poco problemático para mí porque no solo informé errores a Zoom, sino que también informé errores y cómo corregir el código», dijo Wardle. el borde Llamar antes de la conversación. «Así que fue realmente frustrante esperar seis, siete, ocho meses, sabiendo que todas las versiones de Zoom para Mac eran vulnerables en las PC de los usuarios».

Unas semanas antes del evento Def Con, Wardle dice que Zoom lanzó un parche que solucionó los errores que descubrió inicialmente. Pero en un análisis más detallado, otro pequeño error significaba que el error aún era explotable.

En la nueva versión del instalador de actualizaciones, el paquete que se instalará primero se mueve a un directorio propiedad del usuario «raíz». En general, esto significa que ningún usuario que no tenga permiso de root puede agregar, eliminar o modificar archivos en este directorio. Pero debido a una peculiaridad de los sistemas Unix (de los cuales macOS es uno), cuando un archivo existente se mueve de otra ubicación al directorio raíz, conserva los mismos permisos de lectura y escritura que tenía antes. Entonces, en este caso todavía puede ser modificado por un usuario normal. Y dado que se puede modificar, un usuario malintencionado aún puede reemplazar el contenido de ese archivo con un archivo de su elección y usarlo para convertirse en root.

Si bien este error está actualmente activo en Zoom, Wardle dice que es muy fácil de solucionar y que espera que hablar de él públicamente «engrase las ruedas» para que la empresa lo aborde antes.

en el comunicado dirigido a el bordeMatt Nagel, jefe de relaciones públicas de seguridad y privacidad de Zoom, dijo: «Somos conscientes de una vulnerabilidad recientemente informada en la actualización automática de Zoom para MacOS y estamos trabajando diligentemente para abordarla».

Actualización 12 de agosto, 11:09 p. m. ET. Artículo actualizado con la respuesta de Zoom.