Noticia Un error de seguridad deja los Mac(High Sierra) al descubierto para entrar como Root

[Alvaris]

Se puede entrar en los ordenadores de Apple con el sistema operativo High Sierra sin necesidad de contraseña


https://twitter.com/lemiorhan/status/935578694541770752?ref_src=twsrc^tfw&ref_url=https://elpais.com/tecnologia/2017/11/29/actualidad/1511915843_605597.html

Los Mac con High Sierra, la versión más popular de su sistema operativo, han quedado al descubierto. Un fallo de seguridad permite acceder a cualquier persona a todos los archivos y tener acceso como administrador al ordenador. Este problema de seguridad ya se considera como el más relevante en la historia de Apple, un error del mismo calado que tuvo el fiasco de su primera versión de Mapas.

El fallo descubierto por Lemi Orhan, un desarrollador turco creador de la firma Software Crafstman, pone a Apple en una situación difícil, tanto por la cantidad de máquinas afectadas, como por lo sencillo que es aprovecharse del error. Permite entrar con el usuario root, como se denomina en el argot, al administrador. Después de un par de fallos, la máquina permite entrar sin haber puesto la clave correcta. Una vez dentro se pueden crear más usuarios con perfil más bajo, dar de baja a otros o borrar todo el contenido.

 

[Alvaris]

https://www.theregister.co.uk/2017/11/28/root_access_bypass_macos_high_sierra/




Security

Pro tip: You can log into macOS High Sierra as root with no password
Apple, this is Windows 95 bad – but there is a workaround to kill the bug
By Shaun Nichols in San Francisco 28 Nov 2017 at 20:15
68 SHARE ▼

Updated A trivial-to-exploit flaw in macOS High Sierra, aka macOS 10.13, allows users to gain admin rights, or log in as root, without a password.

The security bug can be triggered via the authentication dialog box in Apple's operating system, which prompts you for an administrator's username and password when you need to do stuff like configure privacy and network settings.

If you type in "root" as the username, leave the password box blank, hit "enter" and then click on unlock a few times, the prompt disappears and, congrats, you now have admin rights. You can do this from the user login screen, too.

The vulnerability effectively allows someone with physical access to the machine to log in, cause extra mischief, install malware, and so on. You should not leave your vulnerable Mac unattended, nor allow remote desktop access, until you can fix the problem.

And while obviously this situation is not the end of the world – it's certainly far from a true remote hole or a disk decryption technique – it's just really, really sad to see megabucks Apple drop the ball like this.

Developer Lemi Orhan Ergan alerted the wider world to the flaw via Twitter in the past hour or so. The security hole was also quietly discussed on Apple's developer forums two weeks ago, but virtually no one seemed to notice.

It gets worse. You can use this programming blunder to disable FileVault...

But there is a workaround for now. If you have configured a root password, the above blank password trick will not work. So, set a root password right now...

El Reg was able to replay the bug on our office Macs running High Sierra, which was released in September. A spokesperson for Apple was not immediately available for comment. Apparently, it's all due to the operating system accidentally creating a blank root account:

Chalk this up as just the latest embarrassing flaw in Apple's newest flavor of macOS, the OS formerly known as OS X. In October, fans noted that High Sierra would also do things like disclose the password for encrypted drives, and cough up account credentials to untrusted applications.

Earlier builds of the OS also had a habit of ruining the hard drives in iMacs, and rendering kernel-level security protections effectively useless, thanks to buggy code implementations.

Let's hope Apple engineers can do a bit better with next year's release, or we may all be left hoping for that iOS to Mac conversion sooner than later. We'll update this article as and when new information arrives. The latest High Sierra beta release is not affected, apparently. ®

Updated to add
Apple has just now published this handy guide to enabling the root account and setting a password for it, which defeats the above exploit. Setting a password and then disabling root may also work for you: in any case, set a password for the root account.

And to reiterate, watch out if you have remote desktop access switched on for your Mac – VNC, RDP, screen sharing and similar can be used to gain admin rights on your computer via this vulnerability. So set a root password for now, and don't forget it.

Apple is working on a software patch to correct the issue – which is good news because the bug can be triggered via the command line and not just the interactive GUI. This means malware and naughty apps can now automatically and silently grab root privileges on High Sierra Macs, allowing them to cause real damage.

 

[Alfa156]

Lo he visto esta mañana, la pifia es de órdago! Suerte que me quedé en una versión anterior de Mac OS

Dicen que siempre es lo mejor tener todo actualizado al último nivel, y yo personalmente siempre he tenido mis dudas, y esto confirma que no eran infundadas.

 

[Alfa156]

Por cierto, si alguien está con High Sierra, y mientras sacan el parche de seguridad, debéis crearos un usuario llamado "Root" (con la primera R mayúscula) y asignarle un password, de esta manera se evita que se puedan meter en la máquina de esta manera.

 

[Alvaris]

Lo he visto esta mañana, la pifia es de órdago! Suerte que me quedé en una versión anterior de Mac OS

Dicen que siempre es lo mejor tener todo actualizado al último nivel, y yo personalmente siempre he tenido mis dudas, y esto confirma que no eran infundadas.

yo suelo dejar nu plazo de margen para que aparezcan bugs y parches

 

[Alfa156]

yo suelo dejar nu plazo de margen para que aparezcan bugs y parches

Sí, yo igual, ya me lo habréis leído por aquí, mi célebre frase a los "early adopters": Os dejo que os comáis los bugs iniciales vosotros

 

[Alvaris]

Sí, yo igual, ya me lo habréis leído por aquí, mi célebre frase a los "early adopters": Os dejo que os comáis los bugs iniciales vosotros

y ésto es exportable a cualquier cosa. El versioning, ya lo padecí hace años

 

[Kernel64]

Patch disponible en Actualizaciones

 

[McClane]

Lo he visto esta mañana, la pifia es de órdago! Suerte que me quedé en una versión anterior de Mac OS

Dicen que siempre es lo mejor tener todo actualizado al último nivel, y yo personalmente siempre he tenido mis dudas, y esto confirma que no eran infundadas.

Aquí siguen mis cacharros en El Capitán y funcionando perfectamente. Y al iMac le viene un SSD que está en camino.

 

[RAZGRIZ]

Yo tengo high sierra en el nuevo trasto, un fallo Gordo sin duda, pero como dudo que alguien le eche mano a mi Portatil no me preocupa tanto.

Esta tarde le instalaré el parche.

 

[Alfa156]

Aquí siguen mis cacharros en El Capitán y funcionando perfectamente. Y al iMac le viene un SSD que está en camino.

Yo también dejé mi Macbook Pro 13" mid-2010 anclado en esa versión. Por ahora muy contento y sin intención de actualizar más.

Al tema SSD le estoy dando vueltas, de momento llevo un híbrido de ésos (que lleva una flash de 8 Gigas donde almacena los sectores del HD más usados, que normalmente son el kernel del SO).

Pero, sobretodo, lo que más necesitaría es un cambio de pasta térmica, ahora se calienta notablemente más que cuando era nuevo, lo malo es que me da una pereza tremenda porque para llegar al disipador hay que desarmar completamente el trasto...

 

[RAZGRIZ]

lo malo es que me da una pereza tremenda porque para llegar al disipador hay que desarmar completamente el trasto...

Y aunque no tiene por qué, algo puede salir mal a los hechos me remito:


https://www.bmwfaq.org/threads/con-un-mes-de-retraso-el-rey-ha-muerto-viva-el-rey-va-de-mac.935875/

 

[Alfa156]

Y aunque no tiene por qué, algo puede salir mal a los hechos me remito:


https://www.bmwfaq.org/threads/con-un-mes-de-retraso-el-rey-ha-muerto-viva-el-rey-va-de-mac.935875/

En efecto, no lo he mencionado pero es otra de las cosas que me echan atrás, ya que todos esos conectores no están diseñados para ser manipulados de forma regular, y seguramente hagan falta herramientas o útiles específicos de los que la mayoría de usuarios no disponemos.

Una pena lo de tu MBP, es de la misma quinta que el mío, pero en mi caso de 13"

 

[RAZGRIZ]

En efecto, no lo he mencionado pero es otra de las cosas que me echan atrás, ya que todos esos conectores no están diseñados para ser manipulados de forma regular, y seguramente hagan falta herramientas o útiles específicos de los que la mayoría de usuarios no disponemos.

Una pena lo de tu MBP, es de la misma quinta que el mío, pero en mi caso de 13"

Herramientas no gran cosa, destornilladores raros, los compras en iFixit por 30 míseros €.

Pero los accidentes pasan en cualquier caso mi ex-mac está conectado a una tele, y mi nuevo mac aquí, conmigo; haciéndose valer

 

[Kernel64]

La mayor parte de las veces el exceso de ruido del ventilador se debe al maldito Flash reproduciendo vídeo y/o anuncios web.
Otra medida muy recomendable es eliminar el exceso de pelusa que se acumula a la salida del canal de ventilación del propio ventilador. Accesible con solo quitar la tapa inferior que da acceso al hardware.

Meter mano a la CPU, es un ejercicio de riesgo y temeridad a partes iguales.

 

[McClane]

Yo también dejé mi Macbook Pro 13" mid-2010 anclado en esa versión. Por ahora muy contento y sin intención de actualizar más.

Al tema SSD le estoy dando vueltas, de momento llevo un híbrido de ésos (que lleva una flash de 8 Gigas donde almacena los sectores del HD más usados, que normalmente son el kernel del SO).

Pero, sobretodo, lo que más necesitaría es un cambio de pasta térmica, ahora se calienta notablemente más que cuando era nuevo, lo malo es que me da una pereza tremenda porque para llegar al disipador hay que desarmar completamente el trasto...

Ya no hay vuelta atrás, ya está comprado y aunque tienen que venir el propio SSD y el puñetero adaptador va a ser una actualización de sí o sí... y ya me estoy arrepintiendo.

 

[318 i]

Aquí siguen mis cacharros en El Capitán y funcionando perfectamente. Y al iMac le viene un SSD que está en camino.

Gran sistema! Yo creo que de lo mejor de los últimos años.

 

[Get Smart 86]

MacOS lleva años dando un poco de pena...
Apple ha desmantelado su unidad de MacOS y sólo le importa el iPhone/iOS. Con cada actualización de Mac se pierden algunas funciones para que sea compatible con iOS. Yo usaba mucho iWork con gestor de referencias, hace un par de años (o algo más, no me acuerdo exactamente) dejaron de estar soportados unos scripts y tuve que dejar iWork y pasarme a Office para Mac. Hay aplicaciones de MacOS que no han cambiado prácticamente nada en al menos une década! (contactos? calendario? widgets?). Me parece una vergüenza.

Seré un bicho raro, pero hoy he vuelto a Windows después de 10 años con Mac (si me da dolores de cabeza, tal vez me pase directamente a Linux que cada vez me gusta más).

Dicen que "el que se pasa a Mac ya no vuelve"... o "el que prueba un SUV ya no vuelve a un coche normal"... bueno, pues aquí tienen a uno que tuvo Mac 10 años y un SUV 3 años. Y no creo que repita con ninguno de los dos, al menos a corto/medio plazo.

Saludos a todos.

P.D. vendo MacBook Air 13" mid-2012.