La aplicación Calendario de Apple también es vulnerable
Un investigador de seguridad ha detallado un antiguo truco de macOS que daba a los piratas informáticos acceso completo al iCloud de un usuario con solo una invitación al calendario.
En 2022, el investigador de seguridad Mikko Kentara descubrió una vulnerabilidad de clic cero en macOS Calendar. Esta vulnerabilidad podría permitir a un atacante agregar o eliminar archivos en un entorno sandbox de calendario. Esta vulnerabilidad permitió a un atacante ejecutar código malicioso y acceder a datos confidenciales, como fotos de iCloud almacenadas en el dispositivo de la víctima.
La vulnerabilidad comienza cuando un atacante envía una invitación de calendario con un archivo adjunto malicioso. Debido a que los nombres de los archivos no se desinfectan adecuadamente, un atacante puede realizar un ataque de “recorrido de directorio”, lo que le permite manipular la ruta de un archivo y colocarlo en una ubicación no deseada.
Esta vulnerabilidad (CVE-2022-46723) permite a un atacante sobrescribir o eliminar archivos en el sistema de archivos de la aplicación Calendario. Por ejemplo, si un atacante envía un archivo llamado “FILENAME=../../../malicious_file.txt”, el archivo se mueve fuera del directorio previsto y se ubicará en una ubicación más peligrosa dentro del sistema de archivos del usuario.
Un atacante podría aprovechar las vulnerabilidades de escritura de archivos arbitrarios para intensificar aún más sus ataques. Un atacante podría inyectar un archivo de calendario malicioso diseñado para ejecutar código cuando macOS se actualiza específicamente de Monterey a Ventura.
cadena de explotación completa
Estos archivos contenían eventos con funcionalidad de alerta que se activaban cuando el sistema procesaba datos del calendario. Los archivos inyectados contienen código que inicia automáticamente archivos como imágenes .dmg y accesos directos .url, lo que en última instancia conduce a la ejecución remota de código (RCE).
Con el tiempo, un atacante podrá apoderarse completamente de su Mac sin su conocimiento ni intervención.
Afortunadamente, este truco no es nuevo. Apple solucionó este problema en varias actualizaciones desde octubre de 2022 hasta septiembre de 2023. Estas correcciones incluyeron reforzar los permisos de archivos dentro de la aplicación Calendario y agregar una capa adicional de seguridad para evitar ataques de cruce de directorios.
Cómo protegerse de los ataques sin clic
Para protegerse de vulnerabilidades sin hacer clic como la descubierta en macOS Calendar, es importante tomar varias medidas de protección. En primer lugar, mantenga actualizado su software.
Apple lanza parches con frecuencia para solucionar fallas de seguridad y habilitar las actualizaciones automáticas garantiza que reciba correcciones importantes. Finalmente, ajuste la configuración de seguridad de su dispositivo restringiendo el acceso de las aplicaciones a datos confidenciales como calendarios, fotos y archivos.
https://appleinsider.com/articles/24/09/13/now-patched-macos-calendar-exploit-let-hackers-steal-data-from-icloud
