Apple revisa el mayor problema de seguridad de macOS Comprueba tus actualizaciones ahora

Un investigador de seguridad turco ha expuesto un error importante en macOS High Sierra. La falla hace posible que un atacante pueda ingresar a una máquina sin una contraseña, así como el acceso a poderosos derechos de administrador. Apple ha emitido un parche para corregir la vulnerabilidad que afecta a casi todos los sistemas macOS High Sierra.

Los sistemas no parcheados, sin embargo, siguen siendo inseguros ...

Que es el error?

La falla fue revelada por el desarrollador turco Lemi Orhan Ergan. Permitió que cualquiera obtuviera todos los derechos administrativos sobre una máquina macOS High Sierra simplemente escribiendo “raíz” como el nombre de usuario en el cuadro de diálogo de autenticación. Luego, dejando el campo de contraseña en blanco y haciendo clic en “desbloquear” botón dos veces, se concede acceso administrativo completo.

Puede acceder a él a través de Preferencias del sistema> Usuarios y grupos> Haga clic en el bloqueo para realizar cambios. Luego use "root" sin contraseña. Y probarlo varias veces. ¡El resultado es increíble! pic.twitter.com/m11qrEvECs

- Lemi Orhan Ergin (@lemiorhan) 28 de noviembre de 2017

En teoría, antes del parche, si dejaba tu Mac desatendida, alguien podría acceder fácilmente y destruir tu máquina. Por ejemplo, pueden instalar malware. 5 maneras sencillas de infectar tu Mac con malware. 5 formas sencillas de infectar tu Mac con malware. Puedes pensar que es bastante difícil infectar tu Mac con malware, pero siempre hay excepciones. Aquí hay cinco maneras en que puede ensuciar su computadora. Más información, captura de contraseñas 5 maneras fáciles de infectar tu Mac con Malware 5 formas fáciles de infectar tu Mac con Malware Puedes pensar que es bastante difícil infectar tu Mac con malware, pero siempre hay excepciones. Aquí hay cinco maneras en que puede ensuciar su computadora. Leer más usando Keychain Access ¿Debería usar iCloud Keychain para sincronizar contraseñas en Mac y iOS? ¿Debería usar iCloud Keychain para sincronizar contraseñas en Mac y iOS? Si utiliza principalmente productos Apple, ¿por qué no utilizar el administrador de contraseñas de la empresa de forma totalmente gratuita? Lea más, elimine o arruine su ID de Apple, y más.

Pero Apple ha solucionado el problema, ¿verdad??

Cuando escribí este artículo, Apple lanzó la actualización de seguridad para solucionar el problema. La declaración de actualización de contenido de seguridad de Apple dice “Un error lógico existía en la validación de credenciales. Esto fue abordado con la validación de credenciales mejorada.”

La solución ya está disponible en la Mac App Store. Además, la actualización se aplicará automáticamente a las Mac que ejecuten High Sierra 10.13.1 desde el miércoles 29^th Noviembre. Apple amplió la situación con la siguiente declaración:

“La seguridad es una prioridad para todos los productos de Apple, y lamentablemente nos topamos con esta versión de macOS.

“Cuando nuestros ingenieros de seguridad se dieron cuenta del problema el martes por la tarde, inmediatamente comenzamos a trabajar en una actualización que cierra el agujero de seguridad. Esta mañana, a partir de las 8 am, la actualización está disponible para descargar, y a partir de hoy, se instalará automáticamente en todos los sistemas que ejecuten la última versión (10.13.1) de macOS High Sierra.

“Lamentamos enormemente este error y pedimos disculpas a todos los usuarios de Mac, tanto por la liberación de esta vulnerabilidad como por la preocupación que ha causado. Nuestros clientes se merecen algo mejor. Estamos auditando nuestros procesos de desarrollo para evitar que esto vuelva a suceder..”

Pero ya lo sabían?

Desafortunadamente para Apple, este problema ya había surgido, pero no recibió ninguna acción. Un miembro del foro de soporte de Apple publicó detalles exactos del error hace más de dos semanas. La publicación y las respuestas originales parecen ver el error principal como una posible característica de solución de problemas, en lugar de una amenaza de seguridad crítica.

Qué hago ahora?

Bueno, lo primero que debe hacer es dirigirse a verificar la actualización del sistema. Apple estaba programado para implementar la actualización automática de parches en algún momento de las últimas 24 horas. Si la actualización automática no ha aparecido, debe dirigirse a la Mac App Store y buscar la actualización allí. Alternativamente, haga clic en este enlace.

Una vez descargada la actualización, instálala inmediatamente..

No esta funcionando

Si por alguna razón la actualización no se instala, primero apague y encienda su sistema, luego vuelva a intentarlo. Apple ha automatizado el proceso..

De lo contrario, siga estos pasos para proteger su sistema mientras tanto:

1. Abrir Spotlight, buscar Utilidad de directorio, seleccione la opción correspondiente
2. Haga clic en el bloqueo para hacer cambios; Ingrese su nombre de usuario y contraseña para la cuenta administrativa
3. Dirigirse a Menú> Editar
4. Seleccionar Habilitar usuario root; crear una contraseña y verificar

Esto es, sin embargo, una brecha. Por favor, intente instalar la actualización oficial.

Ojos en la Fuente

Cuando Apple resuelve el problema, los ojos se vuelven hacia Lemi Orhan Ergan. El autodescrito “software artesano” está recibiendo críticas por no adherirse a las pautas de divulgación responsable. Divulgación completa o responsable: cómo se revelan las vulnerabilidades de seguridad. Divulgación completa o responsable: cómo se divulgan las vulnerabilidades de seguridad. ¿Y cómo aprenden los hackers sobre las vulnerabilidades que pueden explotar? Lee mas . La divulgación responsable les pide a los investigadores de seguridad que informen a las compañías sobre las amenazas de seguridad para dar tiempo a solucionar el error. Una vez que se soluciona la falla, el investigador tiene claro presentar sus conclusiones al público.

ESTA NO ES LA DIVULGACIÓN RESPONSABLE. Esto es extremadamente irresponsable, especialmente para una vulnerabilidad de esta magnitud. Apple tiene un excelente sistema de divulgación y su equipo es excepcionalmente receptivo. POR FAVOR no hagas cosas como esta. https://t.co/E6iOX5A43C

- Johnny Xmas (@ J0hnnyXm4s) 28 de noviembre de 2017

Por supuesto, este sistema no siempre funciona según lo previsto. Las empresas no responden, y los investigadores de seguridad se vuelven impacientes. En esos casos, la creación de un problema público fuerza la mano de la empresa, obligándola a solucionar la amenaza de seguridad..

Después de recibir una cantidad significativa de críticas, Ergan publicó una réplica en Medio. Explica que el “no es un hacker, ni un especialista en seguridad,” continuo “Solo me enfoco en las prácticas de codificación segura durante la programación, pero nunca puedo llamarme un especialista en seguridad.”

Estimado @AppleSupport, notamos un problema de seguridad * ENORME * en MacOS High Sierra. Cualquiera puede iniciar sesión como "root" con una contraseña vacía después de hacer clic en el botón de inicio de sesión varias veces. ¿Eres consciente de ello @Apple??

- Lemi Orhan Ergin (@lemiorhan) 28 de noviembre de 2017

Para ser justos, el error fue discutido en el foro de soporte de Apple. Además, Ergan afirma que sus colegas de la firma de pagos Iyzico revelaron la amenaza a Apple el 23^rd Noviembre - pero nunca recibió una respuesta..

Ojos en la pelota

De la fuente, a la empresa. ¿Apple dejó que éste se deslizara por la red? En una palabra, sí: especialmente si estaban al tanto del error como afirma Ergan. Desafortunadamente, no sabemos la verdad, por lo que no podemos hacer una evaluación sólida de la situación.

Incluso después de sufrir su segunda actualización forzada en un año (todavía es la segunda actualización de seguridad forzada), Apple no debería preocuparse. Aumentan las instancias de macOS y el malware de iOS Aumento de malware orientado a Apple: esto es lo que debe tener en cuenta en 2016 Aumento de malware orientado a Apple: esto es lo que debe buscarse en 2016 El hardware de Apple ya no es un refugio seguro contra hackers, malware, ransomware , y otras amenazas cibernéticas. La primera mitad de 2016 demuestra que sin las precauciones adecuadas, sus dispositivos pueden convertirse en riesgos ... Leer más, pero Windows y Android siguen siendo los principales objetivos ¿Cuál es el sistema operativo móvil más seguro? ¿Cuál es el sistema operativo móvil más seguro? Luchando por obtener el título de SO móvil más seguro, tenemos: Android, BlackBerry, Ubuntu, Windows Phone e iOS. ¿Qué sistema operativo es el mejor para defenderse de los ataques en línea? Lee mas . Además, Apple tiene un registro de seguridad estelar en su mayor parte La Guía de seguridad de Ultimate Mac: 20 maneras de protegerse La guía de seguridad de Ultimate Mac: 20 formas de protegerse ¡No sea una víctima! Asegure su Mac hoy con nuestra exhaustiva guía de seguridad de High Sierra. Lea más, como lo demuestra su rápida y efectiva actualización para sofocar la creciente amenaza.

¿Te ha afectado la falla de seguridad de Apple? ¿O llegó la actualización lo suficientemente rápido como para dejar de preocuparte? Déjanos saber tus pensamientos abajo!

Explorar más sobre: ​​Seguridad informática, macOS High Sierra.