Vulnerabilidade dá acesso quase total a qualquer Mac

60 Comentários

A Apple lançou recentemente o OS X 10.11.4, que corrige um conjunto vasto de vulnerabilidades do sistema. Mas, segundo uma noticia recente, a gigante de Cupertino parece ter-se esquecido de outras versões do sistema, permitindo que os hackers tenham acesso quase total a qualquer Mac.

Esta vulnerabilidade “Zeroday” foi descoberta por investigadores da SentinelOne.

sentinel_00


Apesar de ser considerado um dos sistemas operativos mais seguros, foi agora descoberto que o OS X tem uma vulnerabilidade que permite aos hackers executar código malicioso, mesmo estando o sistema protegido pelo SIP (System Integrity Protection), um nível de segurança ao nível do Kernel.

O SIP é uma tecnologia que foi lançada com o OSX El Capitan e na prática ajuda a prevenir que software malicioso proceda à alteração de ficheiros e pastas protegidas do sistema.

System Integrity Protection is a security technology in OS X El Capitan that’s designed to help prevent potentially malicious software from modifying protected files and folders on your Mac.

In OS X, the “root” user account previously had no permission restrictions and could access any system folder or application on your Mac. Software gained root-level access when you entered your administrator name and password to install it and could then modify or overwrite any system file or application.
System Integrity Protection restricts the root account and limits the actions that the root user can perform on protected parts of OS X.

close-up-macbook-keyboard

Nos slides agora disponibilizados pela SentinelOne pode conhecer-se, em detalhe, como pode ser feito o ataque. Depois do hacker conseguir fazer o contorno ao SIP, facilmente terá acesso quase total a qualquer Mac.

A Apple já foi notificada deste problema e diz que já está a trabalhar no respectivo patch. Espera-se por isso uma nova actualização do OSX nos próximos dias

Comentários

60

Deixe um comentário

O seu endereço de email não será publicado. Campos obrigatórios marcados com *

  1. Avatar de Dreamliner
    Dreamliner

    Vira o disco e toca a mesmo… O que é verdade é que até hoje ainda não fui infectado com nada, nem eu nem ninguém.

    1. Avatar de nt
      nt

      ???
      O computador está vulnerável não significa que tenha que ser atacado. Tipo também és vulnerável a uma serra circular, isso não significa que sejas cortado por uma. O mesmo se passa aqui. Uma vulnerabilidade não é um vírus.
      E já agora se fores ao site…
      “This vulnerability not only reveals a major security flaw in OS X, but also provides further evidence that exploits can be extremely stealthy, and at times, virtually impossible to detect. The nature of this particular exploit enables it to evade defenses by utilizing very reliable and stable techniques that traditional detection mechanisms, looking for more obvious warning signs, would miss. ”
      Mas ao mesmo tempo estou de acordo… Muitas das vulnerabilidades que têm sido descobertas fazem o ‘filme’ como sendo o fim do mundo e todos os computadores irão se desligar à meia noite…

    2. Avatar de miguel
      miguel

      HAHAHA pensas mesmo que ficas a saber que estas infectado??? O mais certo é estares com bichos na maquina é nem imaginas.

    3. Avatar de vc89
      vc89

      Tens noção que existe mais macs no mundo, certo?

    4. Avatar de Ragnar
      Ragnar

      E achas que se o teu computador estivesse afetado que sabias? Ou és mais sabichão que os hackers?

    5. Avatar de Daniel
      Daniel

      Também nunca fui infetado com nada nem no meu Windows nem no meu Android, é sempre relativo ao utilizador.

    6. Avatar de ppfoasld.1
      ppfoasld.1

      eu tb nunca apanhei cancro, por isso deve ser uma doença imaginaria 😀

    7. Avatar de Joao Magalhaes
      Joao Magalhaes

      O mesmo acontece com o Androids e windows, eu leio essas noticias todas mas mim nunca me aconteceu nada.

      1. Avatar de FULANUS
        FULANUS

        “mas mim nunca me aconteceu nada.”, MIN SER TARZAN!!!

  2. Avatar de João Machado
    João Machado

    Foi de propósito, para não terem que aturar o FBI. 😀

    1. Avatar de Tomás
      Tomás

      Isto não ultrapassa encriptação. Poderia servir para jailbreak

  3. Avatar de Tomás
    Tomás

    Essa vulnerabilidade está corrigida no OS X 10.11.4.
    CVE-2016-1757 [Pedro Vilaça]
    support.apple.com/en-us/HT206167

    1. Avatar de Nada disso
      Nada disso

      “A Apple lançou recentemente o OS X 10.11.4, que corrige um conjunto vasto de vulnerabilidades do sistema. Mas, segundo uma noticia recente, a gigante de Cupertino parece ter-se esquecido de uma vulnerabilidade que dá acesso quase total a qualquer Mac.”

      De facto do que se está a falar é da vulnerabilidade CVE-2016-1757 que Pedro Vilaça, da SentinelOne [e Ian Beer do Google Project Zero, também “creditado” pela Apple por ter reportado a vulnerabilidade] , reconheceram que está corrigido OS X 10.11.4 . O que não está é corrigida noutras versões do OS X El Capitan.

      http://securityaffairs.co/wordpress/45607/breaking-news/system-integrity-protection-hack.html

    2. Avatar de RVM
      RVM

      Típico pplware…

      “A Apple já foi notificada deste problema e diz que já está a trabalhar no respectivo patch. Espera-se por isso uma nova actualização do OSX nos próximos dias”

      Já foi resolvida, mas a pplware só se interessa em alarmismos!

      Interessa-se muito pelo OS X e iOS, os outros SO, nem pio! Devem ser perfeitos! Ou os SO da Apple devem ser os mais usados por todos!

      1. Avatar de Vítor M.

        Caro, na versão 10.11.4 do OS X espera-se que a Apple tenha resolvido, mas a empresa de segurança afirmou, mesmo depois de ter saído essa versão, que a vulnerabilidade continua a estar presente em TODAS as outras versões do OS X. Portanto, se souberes ler, faz esse favor a ti mesmo.

        Não te preocupes com os outros, o que dizes é completamente fora da realidade, é “aluado”.

          1. Avatar de Daniel
            Daniel

            Diz aqui: “Available for: OS X El Capitan v10.11 to v10.11.3”. Tendo em conta que a SentinelOne refeque que “This zero day vulnerability is present in all versions of Apple’s OS X operating system.” então todas as restantes versões do Mac OS estão vulneráveis. Compreensão e leitura dá jeito…

          2. Avatar de Renato
            Renato

            Compreensão de quê?

            Pode ter escrito isso antes de sair o 10.11.4, que é a última versão, e não 10.11.3.

            Duh!

          3. Avatar de Pedro Pinto

            Na verdade havia duas informações na fonte. Mas segundo o Pedro Vilaça, o El Capitan 10.11.4 e o iOS 9.3 já têm patch.

        1. Avatar de Tomás
          Tomás

          O Pedro Vilaça, quem dessa empresa descobriu a falha, diz que está corrigido no 10.11.4. O que aparece no texto da empresa é uma comunicação previamente preparada, semelhante ao que é dito nos slides.

          1. Avatar de Pedro Pinto

            Exacto, havia duas informações ligeiramente diferentes. Assim, segundo o Pedro Vilaça, na versão 10.11.4 do OS X está resolvido. Para outras versões não há informação concreta

            The bug was patched with El Capitan 10.11.4 and iOS 9.3,“Other versions do not appear to have a patch for this specific bug from Apple’s Security Bulletin, meaning they are left vulnerable to this specific bug

          2. Avatar de Renato
            Renato

            Ou seja, o último patch corrige o problema…

            Queriam mais o quê? Quem não atualiza o OS X que fosse magicamente mudado?

            Isso de fazer atualizações sem autorização é a Microsoft!

          3. Avatar de Tomás
            Tomás

            Parece estranho que tenham modificado e adicionado texto, mas no fim continuem a dizer:
            A Apple já foi notificada deste problema e diz que já está a trabalhar no respectivo patch. Espera-se por isso uma nova actualização do OSX nos próximos dias

      2. Avatar de Mota
        Mota

        Lol
        Olha oh RVM, só tu é que te queixas disso. Toda a gente aqui acha precisamente o contrário. Toda a gente acha que o pplware dá demasiado destaque à Apple.

        Anyway, Pedro Pinto, para a próxima coloquem uma descrição breve do problema sff. Eu do pouco que li no site não entendi grande coisa. É uma sugestão.

        O mesmo aconteceu no artigo acerca da segurança dos wearables.

  4. Avatar de int3
    int3

    “O SIP, também designado de rootless, foi lançado com o OSX El Capitan e na prática ajuda a prevenir que seja executado código malicioso no sistema.”
    Pedro, não é nada assim. SIP foi implementado para prevenir que o código que corra em “root” não seja realmente root. Daí chamar-se de rootless.


    But we have a problem ca ed ASLR.
    Against non ASLR binaries it’s deadly.
    And 32 bits binaries.
    With ASLR we don’t know where the binary is.

    Pois, senão for todos com ASLR ativo então cai tudo por água abaixo 🙂
    Tem que se confiar no certificado do novo kext (kernel extension) e tornar-lo thrusted.
    Não deixa de ser vulnerável. Simplesmente não funciona em 99.99% dos macs.

    1. Avatar de int3
      int3

      Mas na verdade:

      sh-3.2$ id
      uid=501(pushdword) gid=20(staff) groups=20(staff),701(com.apple.sharepoint.group.1),12(everyone),61(localaccounts),79(_appserverusr),80(admin),81(_appserveradm),98(_lpadmin),33(_appstore),100(_lpoperator),204(_developer),395(com.apple.access_ftp),398(com.apple.access_screensharing),399(com.apple.access_ssh)
      sh-3.2$ ./suid_racer
      [+] registered service “task_deposit_service” with launchd to receive child thread port
      [+] looks like the target processes lowest mapping is at 107267000 prior to execve
      hopefully overwrote some code in the target…
      the target first addr changed to 0
      traceroute6: invalid wait time.
      sh-3.2$ id
      uid=501(pushdword) gid=20(staff) groups=20(staff),701(com.apple.sharepoint.group.1),12(everyone),61(localaccounts),79(_appserverusr),80(admin),81(_appserveradm),98(_lpadmin),33(_appstore),100(_lpoperator),204(_developer),395(com.apple.access_ftp),398(com.apple.access_screensharing),399(com.apple.access_ssh)
      sh-3.2$ ./suid_racer
      [+] registered service “task_deposit_service” with launchd to receive child thread port
      [+] looks like the target processes lowest mapping is at 10d78b000 prior to execve
      hopefully overwrote some code in the target…
      the target first addr changed to 0
      traceroute6: invalid wait time.
      sh-3.2$ ./suid_racer
      [+] registered service “task_deposit_service” with launchd to receive child thread port
      [+] looks like the target processes lowest mapping is at 10fbf3000 prior to execve
      hopefully overwrote some code in the target…
      the target first addr changed to 0
      traceroute6: invalid wait time.
      sh-3.2$ ./suid_racer
      [+] registered service “task_deposit_service” with launchd to receive child thread port
      [+] looks like the target processes lowest mapping is at 103c3c000 prior to execve
      hopefully overwrote some code in the target…
      the target first addr changed to 104d4d000
      Vitors-MacBook-Pro# id
      uid=501(pushdword) gid=20(staff) euid=0(root) groups=20(staff),701(com.apple.sharepoint.group.1),12(everyone),61(localaccounts),79(_appserverusr),80(admin),81(_appserveradm),98(_lpadmin),33(_appstore),100(_lpoperator),204(_developer),395(com.apple.access_ftp),398(com.apple.access_screensharing),399(com.apple.access_ssh)
      Vitors-MacBook-Pro# whoami
      root

      Funciona o suid racer. Estou no 10.11.3
      Vou atualizar para o 10.11.4 e ver o que acontece. Não testei o kext.

      1. Avatar de Pedro Pinto

        Confirmas que em versões anteriores ao 10.11.4 tem lá o “buraco”?

        1. Avatar de int3
          int3

          Não sei como testar nas versões anteriores. Mas ja testei no .4 e já não funciona 😉

    2. Avatar de Pedro Pinto

      System Integrity Protection is a security technology in OS X El Capitan that’s designed to help prevent potentially malicious software from modifying protected files and folders on your Mac.

      In OS X, the “root” user account previously had no permission restrictions and could access any system folder or application on your Mac. Software gained root-level access when you entered your administrator name and password to install it and could then modify or overwrite any system file or application.
      System Integrity Protection restricts the root account and limits the actions that the root user can perform on protected parts of OS X.

      1. Avatar de Tomás
        Tomás

        isso não faz sentido nenhum. O SIP existe para que ficheiros e processos do Sistema não possam ser modificáveis por outros processos, mesmo que esses tenham acesso Root; na prática é como se o acesso root perdesse privilégios.

        1. Avatar de int3
          int3

          Sim, mas o root como toda a gente conhece continua lá e tanto que foi provado com esta vulnerabilidade. O SIP desativa muita coisa no user root “secundário”
          mas ele existe. tem que existir sempre 😉

          1. Avatar de Tomás
            Tomás

            O root é por convenção uma conta de utilizador especial, e essa conta perde privilégios no OS X 10.11.
            Quando se fala em vulnerabilidade com acesso root o que realmente se está a falar é duma vulnerabilidade que permite correr com privilégios do sistema.

          2. Avatar de int3
            int3

            tomas, não fales do que não sabes…
            “The kernel stops all processes without specific privileges from writing to flagged files and folders.”
            Quem é o user a correr o kernel? root.
            dentro do user normal tens uma jail/sandbox que existe root mas na verdade não é 😉
            pesquisa sobre jail do freebsd. gl

          3. Avatar de Tomás
            Tomás

            int3
            https://support.apple.com/en-us/HT204899
            o root no OS X 10.11 tem privilégios restringidos. Só um pequeno número de processos do sistema devidamente assinados é que estão autorizados a fazer as modificações proibidas ao root.
            Isto não tem nada a ver com sandbox pois aplica-se igualmente a processos fora duma sandbox.

          4. Avatar de int3
            int3

            tomás não estás a chegar lá…. Quem é que controla quais os processos que podem ter full root? Quem é o responsável por esta tarefa? O kernel estará SEMPRE a correr com TODOS os privilégios do root. É impossível tornar isto diferente. É igual ao thrustedBSD e MACF.
            A maneira de fazer um root restringido é criar uma jail ou sandbox onde tens os arquivos de sistema PARTILHADOS e esses processos tem root mas é restringido. O jail do FreeBSD é ligeiramente diferente. Tens uma dir /process/apache por exemplo e dentro dessa pasta podes ter um sistema completamente autônomo com root lá dentro. Mas está jailed. Isto é, não sai do dir /process/apache e dentro dessa dir tens o etc, usr, bin, var … é como tivesses numa VM. Mas não é VM.
            O SIP é algo mais avançado porque não te prende num dir…

            A vulnerabilidade que foi demonstrada aqui foi conseguir sair da sandbox e conseguir dar write nos ficheiros de sistema (full root)…

            Imagina que é como no Windows o NT_USER vs Administrador.

          5. Avatar de lmx
            lmx

            isto de alguma forma faz-me lembrar uma especie de sticky Bit..
            onde apenas o owner, pode apagar ou alterar os ficheiros..

            não existe nengum “t” na designação das permissões OwnerGrupoUser? ls -l para veres.. a ideia com que fiquei ao ler o artigo era que esta permissão era alterada por essa feature, mas não sei..não conheço osx 🙂

          6. Avatar de Tomás
            Tomás

            int3, acho que estás à força toda a querer que seja duma maneira ignorando a informação dada pela própria Apple.
            Só alguns processos do sistema é que tem privilégios mais elevados que permitem modificar o próprio sistema; todos os outros processos do sistema (quase todos os processos do SO) correm como root, isto é, com restrições sobre modificações de ficheiros, etc.

  5. Avatar de Boss
    Boss

    “Apesar de ser considerado um dos sistemas operativos mais seguros”, por quem? É mais queijo suiço.

    1. Avatar de Vítor M.

      Uma vulnerabilidade não é malware. Mesmo que apareçam as tais vulnerabilidades, estas são rapidamente atacadas, o que dá uma protecção grande ao sistema. Por isso se diz que o OS X é um dos sistemas mais seguros que existe. Contudo, actualmente todos os sistemas já são muito seguros.

      Só quem trabalha com OS X há muitos anos e já trabalhou igualmente com outros sistemas operativos sabe… o quanto é mais tranquilo trabalhar com OS X.

      1. Avatar de Boss
        Boss

        ” OS X há muitos anos”… o que era antes já não é mais, desde que passou a ter (mais) utilizadores, as vulnerabilidades vieram ao de cima.
        Números do ano passado:
        https://www.cvedetails.com/top-50-products.php?year=2015

        1. Avatar de Vítor M.

          Vulnerabilidades não é malware e ainda bem que são detectadas. Não é vir ao de cima, isso é uma visão errada, é serem mais rapidamente detectadas para serem mais rapidamente corrigidas e hoje, qualquer empresa, já tem o cuidado de as corrigir mais rapidamente. Seja como for, analisa bem essa tabela que colocaste. Sabes quantas versões estão reunidas nesse item OS X?

        2. Avatar de Tomás
          Tomás

          Esses números subiram duma forma geral em todos os sistemas e tecnologias; há cada vez mais gente a investigar segurança de quase tudo o que é usado. São praticamente todas vulnerabilidades corrigidas e o seu número não te diz a condição de segurança

      2. Avatar de Daniel
        Daniel

        “Mesmo que apareçam as tais vulnerabilidades, estas são rapidamente atacadas” erm, nim. Tens conhecimento das que são dadas a conhecer e há já bastantes exemplos de vulnerabilidades afectam gerações e gerações de kernel/versões de windows/etc que passado quase uma década “descobre-se” e toda a corrigir. O Windows teve uma há uns tempos, por exemplo. Por isso repito: são rapidamente atacadas as que há conhecimento, se porventura algum grupo encontre algo e decida não dar a conhecer e usar em proveito próprio garantidamente que não ficaremos a saber a não ser que alguém dê conta mais tarde. E isto aplica-se a qualquer SO.

        Quanto ao ser mais tranquilo, conforme o que queiras na altura. Eu é-me mais tranquilo linux desde que não precise de jogos ou programas que teimam em só correr bem em Windows, com o Mac OS X era-me tranquilo por ter um *nix e que com frameworks como o fink e outros tinha acesso a ports directos que precisava de linux e afins, mas nenhum controlo no SO e bibliotecas como tinha no linux, bem como com o parallels corria tudo o que precisava do windows (infelizmente o overhead de ter a correr virtualizado impedia-me alguns usos); no windows tenho a biblioteca de jogos e grande parte das aplicações que teimam em correr somente em windows. Como disse, é relativo. Se a “tranquilidade” é a segurança, nisso prefiro Linux (porque já sei o que preciso de fazer após cada instalação, já tenho scripts para manutenção, já são anos de experiência e alguns amargos de boca que ensinaram muita coisa), já se for segurança+facilidade/pouco trabalho prefiro Mac OS.

        1. Avatar de Pedro Pinto

          Devido à sua popularidade, a Apple ataca quase sempre e de imediato as vulnerabilidade e rapidamente lança os patches.

          1. Avatar de Boss
            Boss

            “casa roubada trancas à porta”?

          2. Avatar de Vítor M.

            Também, isso sabemos que também é uma realidade, mas ainda bem que o fazem quase logo.

          3. Avatar de Carlos
            Carlos

            Como toda a gente, portanto.
            Quando é que foi a última vez que a Google ou a Microsoft não corrigiram problemas deste género no Andreia e no Windows o mais rapidamente possível?
            Porquê dar à Apple um crédito especial por causa disso quando os outros fazem exatamente o mesmo?

  6. Avatar de Kel Cardoso Brasil
    Kel Cardoso Brasil

    Dá-lhe Linux, na casa do pinguim não tem esses problemas E um ultrabook na casa do pinguim custa bem menos, e roda perfeitamente no meu ssd.

    1. Avatar de Renato
      Renato

      Não, pensas tu, o que não falha todos os dias são falhas de segurança no Linux, ao que isso, os media não se interessam?

      1. Avatar de Vlad
        Vlad

        Como é normal todos os SOs têm falhas e estão constantemente a serem corrigidos. Mas compara o numero de vulnerabilidades que são corrigidas no OS X e no Linux e vais ser surpreendido.

        1. Avatar de int3
          int3

          Linux é mais. é open source e o kernel do OSX (XNU) é também open source e é fácil encontrar vulnerabilidades. mas assim cada vez é mais seguro 😉

  7. Avatar de jesus jones
    jesus jones

    O mito da intocável Apple a cada dia que passa esta a ir por a sanita abaixo sinais dos tempos o declínio?

    1. Avatar de Renato
      Renato

      Continua a sonhar

    2. Avatar de Vítor M.

      Pode até ser o contrario, mas vamosdar tempo ao tempo.

      Esta história do declínio já se ou e lê desde há pelo menos 10 ou mais anos atrás, na verdade não se percebe quando começa esse declínio se ano após ano a Apple continua a ter estratégias de mercado que permitem ganhar num ou noutro segmento.

      É verdade que nos últimos anos, com os computadores de secretária a perder um pouco de interesse, a empresa lançou os iMacs e Mac Pro que veio trazer um novo ar fresco ás suas vendas, o iMac 5K tem sido uma grande fonte de retorno para a empresa (grande dentro desse segmento, entende-se), os portáteis trazem igualmente uma mais valia, pois vendem milhões por ano.

      Depois, como tu sabes bem e não é preciso fazer muitas contas, tudo junto faz com que o próprio OS X seja cada vez mais usado.

      Obviamente tem de crescer em termos de sistema operativo, trazer mais funcionalidades, se quer servir quem vem do Windows, até porque o Windows é até hoje o melhor e maior SO produzido. Contudo, quem chega ao OS X encontra outro nível de serviço, outra estabilidade, mas um modo de usar diferente. Windows ainda é Windows, mas OS X é uma tranquilidade e as melhores apps funcionam cá.

      Não há declínio, se reparares, há cada vez é mais olhos em cima do sistema.

      1. Avatar de Daniel
        Daniel

        Eu não creio que seja declínio, é como dizes já começa a acusar o peso de uma comunidade muitíssimo maior do que a a que tinha há 10 anos atrás e uma pressão maior sobre ela, e para exemplo temos os problemas com o El Capitan quando foi lançado (e que foram endereçados).

      2. Avatar de ruca
        ruca

        “…e as melhores apps funcionam cá.” Definitivamente as melhores “apps”, software e jogos ainda estão no windows.

  8. Avatar de Nuno Pinto
    Nuno Pinto

    O Sip significa System Integrity Protection , o i não é Identity, corrigiam lá o artigo

  9. Avatar de Serato
    Serato

    Caros IBoys & Mac lovers…. O OSX é tão seguro ou inseguro como os sistemas que vocês (Na maioria) tanto criticam.
    Enquanto acreditarem no Pai Natal e continuarem a comprar esses produtos sobrevalorizados que, por acaso, até são “só” inferiores a outros mais baratos, a Apple agradece.
    Feliz Páscoa!!!