Mac OS X: firewall com falha permitiu ataques ao sistema

Existe uma vulnerabilidade grave no Mac OS X firewall Little Snitch poderia ter sido explorada por hackers para ganhar privilégios de ROOT em um sistema ou executar um código arbitrário no contexto do kernel.

Patrick Wardle, diretor de pesquisa da SynAck, descobriu que Little Snitch foi atacado por um "Heap Overflow" que permitiu que um usuário local (ou de um aplicativo malware sem privilégios) escalar os seus privilégios ou executar código não assinado no Kernel.

A vulnerabilidade foi relatada para o desenvolvedor do Little Snitch, a Objective Development, em 17 de janeiro e foi remendado 11 dias mais tarde, com o lançamento da versão 3.6.2. A empresa disse que as versões lançadas em janeiro e mais tarde não são afetadas e seus logs do servidor indicam que a grande maioria dos usuários atualizaram suas instalações. O vendedor também apontou que não há provas de que a vulnerabilidade foi explorada em estado selvagem.

"Patrick é um longo tempo de usuário Little Snitch e estamos em contato com ele em intervalos regulares", disse representantes da Objective Development. "Nós apreciamos não apenas o que ele está fazendo como um desenvolvedor, mas também suas contribuições para toda a comunidade Mac."

Enquanto a vulnerabilidade foi resolvida rapidamente, Wardle disse que estava descontente que a empresa só descreveu a falha nas notas de lançamento como um "raro problema que poderia causar um problema no Kernel." O pesquisador acredita que os usuários são menos propensos a corrigir a sua instalações se a gravidade de um problema é minimizada.

"A empresa precisa de um processo melhor para lidar com comunicados de vulnerabilidades de segurança, para que seus usuários sejam informados de quaisquer problemas relatados e que possam atualizar e proteger-se", Wardle observou. " 'Escondendo' uma correção para um bug do kernel explorável relatado nas notas de lançamento como um" problema raro que poderia causar um kernel panic" beira o desonesto - IMHO."

Além da vulnerabilidade de estouro de pilha de kernel, Wardle também identificou várias maneiras de contornar o firewall, incluindo por abusar regras e confiança em nível de processo e, simplesmente, através da simulação de interação do usuário.

"[Os métodos de desvio] permitem um atacante ou malware a capacidade de utilizar a rede (por exemplo, conectar a um servidor de Comando-e-Controle, etc.) de uma forma desinibida, sem gerar qualquer alerta do firewall", disse Wardle.

O pesquisador acredita Little Snitch é um produto decente e ainda pretende usá-lo. No entanto, ele observa: "Os usuários devem estar cientes de que, se um atacante ou um pedaço de malware quer ignorá-lo (o Little Snitch), eles facilmente poderiam. Isto é verdade para a maioria dos produtos de segurança - por isso não estou tentando destacar o Little Snitch. Apenas algo que os usuários devem estar cientes", explicou Wardle. "No entanto Little Snitch é realmente muito fácil de contornar - como um bocado de firewall do Windows eram há 10 anos. Eu esperaria um pouco mais de um produto de segurança pago. "

Esta não é a primeira vez Wardle encontrou vulnerabilidades num produto OS X. O pesquisador conseguiu encontrar vários métodos para contornar recurso de segurança Gatekeeper da Apple.