Una vulnerabilità appena scoperta in macOS High Sierra consente a chiunque abbia accesso al tuo laptop di creare rapidamente un account root senza inserire una password, ignorando tutti i protocolli di sicurezza che hai impostato.
È facile esagerare i problemi di sicurezza. Questa non è una di quelle volte. Questo è davvero brutto.
Puoi accedervi tramite Preferenze di Sistema> Utenti e gruppi> Fai clic sul lucchetto per apportare modifiche. Quindi utilizzare “root” senza password. E provalo più volte. Il risultato è incredibile! pic.twitter.com/m11qrEvECs
– Lemi Orhan Ergin (@lemiorhan) 28 novembre 2017
Come funziona l'exploit
Attenzione: non farlo sul tuo Mac! Ti stiamo mostrando questi passaggi per sottolineare quanto sia semplice questo exploit, ma seguirli in realtà lascerà il tuo computer insicuro. Fare. Non. Fare. Questo.
L'exploit può essere eseguito in molti modi, ma il modo più semplice per vedere come funziona è nelle Preferenze di Sistema. L'utente malintenzionato deve solo andare su Utenti e gruppi, fare clic sul lucchetto in basso a sinistra, quindi provare ad accedere come “root” senza password.
La prima volta che lo fai, sorprendentemente, viene creato un account root senza password. La seconda volta che accederai effettivamente come root. Nei nostri test questo funziona indipendentemente dal fatto che l'utente corrente sia un amministratore o meno.
Ciò consente all'autore dell'attacco di accedere a tutte le preferenze dell'amministratore in Preferenze di Sistema … ma è solo l'inizio, perché hai creato un nuovo utente root a livello di sistema senza password.
Dopo aver eseguito i passaggi precedenti, l'attaccante può quindi disconnettersi e scegliere l'opzione “Altro” che appare nella schermata di accesso.
Da lì, l'attaccante può inserire “root” come nome utente e lasciare vuoto il campo della password. Dopo aver premuto Invio, accederanno con i privilegi di amministratore di sistema completi.
Ora possono accedere a qualsiasi file sull'unità, anche se è altrimenti protetto da FileVault. Possono cambiare la password di qualsiasi utente, consentendo loro di accedere e accedere a cose come password e-mail e password del browser.
Questo è l'accesso completo. Qualunque cosa tu possa immaginare, un attaccante può fare con questo exploit.
E a seconda delle funzionalità di condivisione che hai attivato, potrebbe essere possibile che ciò avvenga in remoto. Ad esempio, almeno un utente ha attivato l'exploit in remoto utilizzando la condivisione dello schermo.
Se alcuni servizi di condivisione sono abilitati sul target, questo attacco sembra funzionare 💯 remoto 🙈💀☠️ (il tentativo di accesso abilita / crea l'account root con pw vuoto) Oh Apple 🍎😷🤒🤕 pic.twitter.com/lbhzWZLk4v
– patrick wardle (@patrickwardle) 28 novembre 2017
Se hai abilitato la condivisione dello schermo, è probabilmente una buona idea disabilitarlo, ma chi può dire quanti altri potenziali modi ci sono per innescare questo problema? Gli utenti di Twitter hanno dimostrato modi per lanciarlo usando il Terminale, il che significa che SSH è anche un potenziale vettore. Probabilmente non c'è fine ai modi in cui questo può essere attivato, a meno che tu non abbia effettivamente impostato un account root e bloccato.
Come funziona tutto ciò? Il ricercatore di sicurezza Mac Patrick Wardle spiega tutto qui con molti dettagli. È piuttosto triste.
L'aggiornamento del Mac potrebbe non risolvere il problema
A partire dal 29 novembre 2017, è disponibile una patch per questo problema.
Ma Apple ha persino incasinato la patch. Se si eseguiva 10.13, si installava la patch, quindi si aggiornava alla 10.13.1, il problema veniva reintrodotto. Apple avrebbe dovuto patchare 10.13.1, un aggiornamento uscito poche settimane prima, oltre a rilasciare la patch generale. Non lo hanno fatto, il che significa che alcuni utenti stanno installando “aggiornamenti” che ripristinano la patch di sicurezza, riportando l'exploit.
Pertanto, mentre ti consigliamo comunque di aggiornare il tuo Mac, probabilmente dovresti anche seguire i passaggi seguenti per chiudere il bug da solo.
Inoltre, alcuni utenti segnalano che la patch interrompe la condivisione di file locale. Secondo Apple puoi risolvere il problema aprendo il Terminale ed eseguendo il seguente comando:
sudo /usr/libexec/configureLocalKDC
La condivisione dei file dovrebbe funzionare dopo questo. Questo è frustrante, ma bug come questo sono il prezzo da pagare per le patch veloci.
Proteggiti abilitando il root con una password
Anche se è stata rilasciata una patch, alcuni utenti potrebbero ancora riscontrare il bug. Esiste, tuttavia, una soluzione manuale che lo risolverà: devi solo abilitare l'account root con una password.
Per fare ciò, vai su Preferenze di Sistema> Utenti e gruppi, quindi fai clic sulla voce “Opzioni di accesso” nel pannello di sinistra. Quindi, fai clic sul pulsante “Partecipa” accanto a “Server account di rete” e verrà visualizzato un nuovo pannello.
Fai clic su “Apri Directory Utility” e si aprirà una nuova finestra.
Fai clic sul pulsante di blocco, quindi inserisci nome utente e password quando richiesto.
Ora fai clic su Modifica> Abilita utente root nella barra dei menu.
Inserisci una password sicura.
L'exploit non funzionerà più, perché il tuo sistema avrà già un account root abilitato con una vera password allegata.
Continua a installare gli aggiornamenti
Mettiamolo in chiaro: questo è stato un enorme errore da parte di Apple, e la patch di sicurezza che non funziona (e che interrompe la condivisione dei file) è ancora più imbarazzante. Detto questo, l'exploit è stato abbastanza grave che Apple ha dovuto muoversi rapidamente. Pensiamo che dovresti assolutamente installare la patch disponibile per questo problema e abilitare una password di root. Speriamo presto che Apple risolva questi problemi con un'altra patch.
Aggiorna il tuo Mac: non ignorare questi suggerimenti. Sono lì per un motivo.
