Se informa que Apple lanzó una actualización de software urgente el miércoles, días después de que el desarrollador turco Lemi Ergin informara públicamente sobre un error simple pero grave en su sistema operativo Mac.

MacOS High Sierra afectado

El error se descubrió en la versión más reciente de MacOS High Sierra. Se ha informado que, al ingresar el nombre de usuario "root", dejar el campo de la contraseña en blanco y presionar la tecla Intro varias veces, se otorga al usuario acceso sin restricciones a poderosos derechos de administrador en la computadora.

Función de solución de problemas/amenaza grave

Aunque a Ergin se le atribuye haber encontrado el error (y se ha enfrentado a críticas por hacerlo público), se informa que en realidad se mencionó en un foro de soporte de Apple hace más de dos semanas como una posible característica útil para la resolución de problemas en lugar de como un grave amenaza para la seguridad.

¿Qué se puede hacer?

Si una persona accediera a una computadora utilizando la falla, podría leer y cambiar los archivos de otros usuarios en la misma computadora, o como superusuario podría eliminar archivos cruciales o instalar malware.

No se puede (típicamente) hacerse de forma remota

El hecho de que la tecla Intro deba presionarse varias veces significa que una persona realmente necesitaría acceso físico a la computadora para explotar el error. Sin embargo, si a una persona se le ha otorgado acceso remoto a la computadora, por ejemplo, para soporte técnico, el error técnicamente podría explotarse de esa manera.

¿Amenaza interna?

Un ataque malicioso o una violación dentro de una empresa por parte de una persona con acceso físico a las computadoras es una posibilidad real para las empresas y organizaciones. Por ejemplo, en lo que respecta a las amenazas internas 'maliciosas', la investigación (Egress) muestra que el 24% de los trabajadores han compartido información deliberadamente con competidores o empleadores nuevos y anteriores y otras entidades. Las filtraciones internas, las infracciones y otras amenazas pueden socavar los esfuerzos de la empresa para cumplir con las leyes de protección de datos y proteger la ventaja competitiva, y pueden dejar a las empresas expuestas a enormes riesgos financieros, pérdida de clientes y daños a sus marcas.

Crítica

Otros expertos/comentaristas de seguridad se han apresurado a criticar al Sr. Ergin por aparentemente no seguir las pautas de divulgación responsable que suelen observar los profesionales de seguridad, es decir, notificar primero a Apple sobre la falla, dándoles así una cantidad de tiempo razonable para solucionarla antes de hacerlo público.

Parche lanzado el miércoles

Se ha informado que Apple lanzó una actualización de software automática y urgente el miércoles para corregir el error. Antes de esto, Apple había ofrecido a los usuarios una solución temporal.

¿Qué significa esto para tu negocio?

Si su empresa tiene Apple Mac con MacOS High Sierra, es posible que ya haya utilizado la solución alternativa que permite que el usuario raíz establezca una contraseña. Las instrucciones para la solución alternativa se pueden encontrar en el sitio de soporte de Apple aquí: https://support.apple.com/en-us/HT204012. Después de varios días de trabajo en el problema, Apple finalmente lanzó una actualización de software automática el miércoles.

Solo el mes pasado, Apple lanzó una actualización complementaria para MacOS High Sierra que incorporó varias correcciones de errores para Mac.

Esta historia ilustra cómo los nuevos software/sistemas operativos a menudo se lanzan con errores, muchos de los cuales suelen ser descubiertos por investigadores de seguridad, pero es preocupante que los usuarios hayan quedado vulnerables en este caso a amenazas bastante graves por lo que es un simple ( algunos dirían vergonzoso) culpa.