A pesar de los grandes esfuerzos en materia de seguridad de compañías como Apple o Google, sus sistemas operativos se ven afectados constantemente por vulnerabilidades que en ocasiones pueden ser muy graves. En el caso de Apple, la compañía tiene muchos sistemas operativos, y es muy raro que se encuentre una vulnerabilidad que afecte a todos ellos. Sin embargo, Google la ha encontrado.
El procesamiento de elementos multimedia es uno de los vectores de ataques más peligrosos de los sistemas operativos. Cuando se abre uno nuevo, el sistema operativo lo incluye en una biblioteca para saber qué hacer con él y con qué programa abrirlo. Encontrar fallos en los elementos del sistema que procesan componentes multimedia se encuentra entre las vulnerabilidades más deseadas por los atacantes en la actualidad, ya que no necesita interacción del usuario para ejecutar código de forma remota en el ordenador para instalar malware. Lo único que necesita es enviar el archivo multimedia modificado al dispositivo, y una vez el ordenador lo procese, el exploit puede ejecutarse sin interacción.
Image I/O y OpenXR: 14 vulnerabilidades entre ambas
Este es el tipo de vulnerabilidad que Project Zero, el equipo de seguridad de Google, ha encontrado en uno de los procesadores de elementos multimedia de Apple llamado Image I/O. Este elemento está incluido en todos los sistemas operativos de Apple, y es el encargado de procesar todos los formatos de imagen en iOS, macOS, tvOS y watchOS. Casi todas las apps del sistema dependen de este componente para procesar los metadatos de las imágenes.
Para detectar los fallos, Google usó una técnica llamada “fuzzing”, que introduce elementos inesperados para ver puntos potenciales de entrada para hackers. Con ese proceso, consiguieron encontrar seis vulnerabilidades en Image I/O y otras ocho en OpenEXR, una liberaría de código abierto para procesar el formato EXR, y que es un componente externo incluido en Image I/O.
A pesar de lo grave de las vulnerabilidades, Google dice que no se molestó en comprobar si se podía tomar el control de los dispositivos de manera remota, ya que ese no era el objetivo de la investigación. Sin embargo, afirman que con suficiente esfuerzo, algunas de las vulnerabilidades encontradas pueden utilizarse para ejecutar código remoto (RCE) con cero clicks por parte del usuario. Una vulnerabilidad de este estilo se paga entre 1,5 y 2 millones de dólares por parte de Zerodium, por lo que encontrar varias sería realmente lucrativo para un hacker. Por suerte, Google no busca este tipo de vulnerabilidades por dinero.
Apple ya ha parcheado los fallos, pero otros pueden venir en el futuro
Google afirma que todos los fallos descubiertos se encuentran ya parcheados con las actualizaciones de seguridad de enero y abril de Apple, además de en la versión 2.4.1 de OpenEXR. Sin embargo, el equipo afirma que este es sólo el comienzo de investigar el resto de elementos de procesamiento de contenido multimedia de Apple como vídeos o fotos, ya que pueden ser un vector interesante de ataque.
También recomiendan dar a los desarrolladores la habilidad de restringir el tipo de archivos que pueden abrirse con Image I/O, lo cual evitaría que se usasen formatos extraños para hackear móviles. En el pasado, Google por ejemplo dividió los componentes del MediaServer tras la vulnerabilidad Stragefright, haciéndolos más pequeños y protegiéndolos con distintos permisos de acceso.
Fuente: Google
