Los expertos revelan que hay un desbordamiento del búfer del kernel sin parchear en MacOS
El problema afecta a las herramientas de seguridad de endpoints para MacOS, e IBM lanzó un parche pero no logró abordar la vulnerabilidad dentro del período de divulgación de 120 días.
La herramienta de seguridad de endpoints IBM Trusteer Rapport es un componente de software liviano que bloquea los navegadores de los usuarios una vez que se conectan a sitios web confidenciales. Cualquier malware que intente ejecutarse en el navegador queda excluido del navegador bloqueado y no puede acceder a información ni transacciones confidenciales.
Los investigadores de Trustwave SpiderLabs descubrieron que el controlador utilizado por Trusteer Rapport en MacOS tiene un error de firma al manejar los buffers proporcionados por el usuario. Este error puede provocar una vulnerabilidad de corrupción de memoria en el kernel de Apple MacOS, lo que puede provocar la ejecución de código arbitrario en el kernel.
Esta vulnerabilidad es un error de firma que causa daños en la memoria de la pila del kernel cuando se llama a memcpy. IBM Trusteer Rapport es un software de seguridad que se promociona como una capa adicional de seguridad para el software antivirus. escribió un informe de análisis publicado por Trustwave SpiderLabs.
"La causa raíz del problema es que el usuario proporciona una cantidad de elementos proporcionados por el usuario en la estructura pasada a la función del controlador del kernel llamando al método de estructura exportado desde el controlador del kernel (IOService ' com_trusteer_rapportke_v2 ' ), validando los errores de firma proporcionados por el usuario. ””
IBM Trustee Rapport
Los expertos informaron por primera vez de la falla a IBM el 15 de agosto y ayudaron a la empresa a resolver el problema. política, esperaron 90 días antes de revelar la vulnerabilidad.
Trustwave le dio a IBM otros 30 días, y cuando pasó ese plazo sin publicar un parche, Trustwave reveló públicamente la falla.
Esta vulnerabilidad sólo puede ser aprovechada por ataques locales, pero los expertos señalan que encadenar esta vulnerabilidad con otros problemas podría permitir a los atacantes obtener la ejecución de código arbitrario en el contexto del kernel
"Si bien actualmente no existe ningún parche. , el riesgo de esta vulnerabilidad se reduce ligeramente debido al requisito de acceso local, por lo que se recomienda a los usuarios afectados que confirmen que solo los usuarios autorizados pueden iniciar sesión en estos sistemas. ", concluyó el análisis. La capacitación en concientización sobre seguridad también puede ayudar a prevenir malware local o ataques de ingeniería social. Finalmente, es posible que desee intensificar las inspecciones de los sistemas afectados en busca de signos de infección.
Aquí está la cronología de vulnerabilidades. :
15/08/2018 - Divulgación de vulnerabilidad al proveedor
13 de noviembre de 2018 - Se pasó el plazo de 90 días
14/11/2018 - Proporcionar 30 días de parches extendidos de proveedores
17/12/2018 - El proveedor confirma que no hay parches disponibles
20/12/2018 - Consultar publicación
Pierluigi Paganini
(Asuntos de Seguridad - IBM Trusteer Rapport, hacking)