El “Security Update 2004-05-24” de Apple no tiene ningún efecto en las vulnerabilidades encontradas en los protocolos: ‘disk:’, ‘disks:’, o ‘telnet:’ . El patch, sólo corrije la vulnerabilidad con “Help viewer”. Es un problem muy grande que no tiene una solución fácil. Porque se mezclan funciones de uso legítimo con las de origen maligno. Pienso que Apple va a tener problemas para solucionar esto sin eliminar algunas funciones útiles del sistema operativo.
Acerca de la vulnerabilidad con el protocolo ‘telnet://’:
El problema es que MacOS X trata a todo lo que viene después de los slashes en los URIs ‘telnet://’como un argumento del comando ‘telnet’ en shell. Incluyendo también el uso de las opciones del comando telnet. Por ejemplo, la opción ‘-n’ de telnet, se puede usar para especificar un archivo de texto en donde se ecribirá un log de la sesión telnet.
En el “Security Update 2004-05-24 para Jaguar” se incluye la última actualización de la Terminal que soluciona la vulnerabilidad con ‘telnet:’ . Pero es importante aclarar que Apple en el “Security Update 2004-05-24 para Panther” aún no ha solucionado” esta vulnerabilidad con ‘telnet:’.
Acerca de la vulnerabilidad con los protocolos ‘disk:’, ‘disks:’, ‘afp’, ‘ftp’:
Los protocolos ‘disk:’ and ‘disks:’ estan designados por default a ‘DiskImageMounter’, y permiten que las imágines de disco sean montadas automáticamente en el sistema de archivos. Es una mala idea la de permitir que imágenes de disco sean montadas automáticamente en repuesta a un URI en linea, creando una situación donde estas vulnerabilidades puedan ser usadas fácilmente con fines destructivos.
Lo único que debe hacer el usuario para tener problemas, es surfear a una página web maligna (con una portada completamente normal) para ser dirijido a un URL con un esquema de ‘disk’, ‘ftp’, or ‘afp’ que montará automaticamente a un ejecutable maligno en la computadora. Otra manera sería a traverso de un link en una página web que diga simplemente “Haga click aquí”. Una vez que el ejecutable maligno esté presente en la computadora, hay varias maneras de hacerlo funcionar…
Con respecto al protocolo ‘ftp:’, mientras que uno dirija el protocolo ‘ftp:’ a una aplicación como Fetch, Interarchy, Transmit, etc. no habría necesidad de desactivarlo con la RCDefaultApp. Es importante entender que uno solamente está a salvo de esta vulnerabilidad cuando el protocolo ‘ftp:’ no sea dirigido directamente al Finder.
Los protocolos ‘webdav://’, ‘cifs://’, ‘smb://’, y ‘nfs://’ serían también vulnerables si funcionaran desde todos los navegadores. Pero no funcionan con Safari. Podrían ser peligrosos dentro de una red de computadoras, como por ejemplo en una universidad, pero es más improbable.
Este problema es muy serio, pero no debemos entrar en pánico, ya que ningún sitio-web decente nos atacará de inmediato. Pero por cierto hay que tener cuidado, y por ahora no surfear a lugares en Internet que no inspiren confianza o vengan recomendados por algún amigo.
Personalmente, he hecho lo siguiente:
1- Desactivé en las preferencias de Safari la opción de “abrir archivos seguros”.
2- Instalé “RCDefaultApp” para desactivar los siguientes protocolos:
disk:
disks:
afp:
ftp:
telnet:
Como desactivar los protocolos con “RCDefaultApp”:
-Instalar “RCDefaultApp”.
-Abrir en las Preferencias del Sistema el panel de ‘Default Apps’.
-Hacer click en la pestaña de “URLs”.
-Seleccionar en la ventana el protocolo ‘telnet:’ (por ejemplo).
-En el menu de ‘Default Applications’ seleccionar ” (anular).
Click para ampliar
3- Mas tarde, instalé también “Paranoid Android“, porque funciona observando los esquemas de URI requeridos y los detiene, dándome la oportunidad de elegir si yo deseo continuar o cancelar el pedido (me ofrece más control).
Click para ampliar
Los cambios realizados al desactivar los protocolos con “RCDefaultApp” solo tienen efecto en la cuenta del usuario que realizó la operación. Es decir que “RCDefaultApp” solo cambia las preferencias a nível de usuario, no a nivel de sistema. Si uno utiliza multiusuarios deberá repetir el mismo procedimiento con “RCDefaultApp” para cada usuario. Esto sería un trabajo enorme en un laboratorio de computadoras, donde generalmente hay una cantidad grande de usuarios. En este caso, la única solución viable es usar “Paranoid Android”.
Acabo de instalar la actualización a MacOS X 10.3.4 y ‘por el momento’ -Paranoid Android v1.2- sigue funcionando bien. No creo que Apple haya tenido el tiempo suficiente para resolver algunas de las vulnerabilidades en la actualización a MacOS X 10.3.4, el problema en el sistema operativo es bastante complejo ya que probablemente deberán alterar “LaunchServices”.
Nota:
Para mayor tranquilidad, diré que ni “Paranoid Android” (a pesar de ser un haxie) ni “RCDefaultApp” introducen parches en el sistema y pueden ser desinstalados fácilmente una vez que Apple haya solucionado este problema.
.
Las vulnerabilidades con ‘telnet:’ y con ‘ssh:’ han sido resueltas en 10.3.4, pero no las otras.
.