Apple lanzó una actualización de emergencia que fija un error crítico que afecta el sistema operativo High Sierra, específicamente en el sistema de gestión de volumen APFS. . De acuerdo con informes de seguridad y la compañía de un error permitió que las contraseñas para ser revelado a través de la función de contraseña pista.
Contraseña del insecto High Sierra de emergencia parche corrige de Apple (CVE-2017-7149)
El error se realiza un seguimiento en el aviso de seguridad CVE-2017 hasta 7149 y cuenta con una vulnerabilidad grave en la forma en que se implementa el nuevo sistema de archivos APFS. El problema se encuentra en el camino de la pista de la contraseña se maneja. Una vez que se ha configurado por el usuario la propia contraseña se almacena como una cadena de texto sin formato.
El descubrimiento fue hecho por Matheus Mariano, un investigador de seguridad mientras él estaba interactuando con un nuevo volumen cifrado en un recipiente APFS. Se optó por crear una contraseña junto con la pista. Cuando el nuevo contenedor se monta y se activa la solicitud de contraseña, la contraseña se reveló en el campo de pista. Durante la investigación se ha puesto de manifiesto que el problema sólo afecta a los ordenadores Mac y portátiles equipados con unidades SSD.
El parche soluciona otro problema con el sistema operativo de Apple, así. Recientemente High Sierra se vio afectado por una vulnerabilidad que permite contraseñas en texto plano que han de verterse desde el llavero. Se sospecha que el problema también existe en versiones anteriores como El Capitán y Sierra. Los investigadores de seguridad afirman que los problemas exhibidos presentan una barrera baja para la entrada una vez que se detecta un punto de intrusión en las máquinas de destino.
El llavero de Mac OS X es uno de los componentes más importantes de seguridad en el sistema operativo y es el responsable directo del proceso de autenticación. Proporciona un contenedor cifrado que contiene las credenciales de la cuenta de usuario del sistema, así como contraseñas y cadenas utilizadas para aplicaciones y servicios en línea. Las versiones recientes contienen la capacidad de almacenar datos sensibles, así incluidos: datos de tarjetas de pago, de la banca PIN y otras credenciales.
El componente de acceso llavero acompaña es el software de gestión de contraseñas que se ocupa de los componentes mediante la automatización y estaran en la entrada de credenciales. La descripción que acompaña el aviso de seguridad CVE-2017-7149 lee el siguiente:
Si una pista se encuentra en la utilidad de disco al crear un volumen cifrado APFS, la contraseña se almacena como la indirecta. Esto se abordó en la limpieza de almacenamiento de pista si la pista era la contraseña, y mediante la mejora de la lógica para almacenar consejos
Se recomienda que todos los usuarios de Mac OS X apliquen la actualización inmediatamente a protegerse del abuso.
Martin Beltov
Martin se graduó con un título en Edición de la Universidad de Sofía. Como un entusiasta de la seguridad cibernética que le gusta escribir sobre las últimas amenazas y mecanismos de intrusión.
Sígueme: