iCal vulnerable a los Hackers!

La aplicación de calendario incluida en tu Mac iCal parece ser que contiene hasta tres vulnerabilidades que podrían permitir a un atacante entrar en la aplicación o ejecutar código remoto en el Mac atacado. Todo esto lo han comentado en la empresa de seguridad informática Core Security Technologies. Core Security ha publicado un aviso ayer donde detalla las vulnerabilidades, que afectarían a la versión  3.0.1 de iCal, la incluida en Mac OS X 10.5.1 (Leopard).

“La mas seria de las tres vulnerabilidades se debe a una potencial corrupción de memoria resultante de un fallo de liberación de recursos que puede lanzarse por medio de un calendario .ics especialmente diseñado por un atacante”

Las otras dos vulnerabilidades pueden utilizarse para entrar en iCal utilizando un fichero .ics malicioso. Core Security ha dicho que ha investigado la posibilidad de utilizar estos dos fallos para ejecutar código arbitrario aunque aún no ha comprobado si este tipo de ataque es posible.

Eso si, como viene siendo habitual, el peligro mayor está entre la silla y tu Mac, pues para que puedan explotarse esta vulnerabilidades habría que convencer al usuario de iCal de que abra un fichero .ics enviado, digamos, por email o alojado en un servidor. El atacante podría añadir o modificar ficheros en un servidor CalDAV. No obstante no es algo muy descabellado pues hay gente muy confiada. Imagina una situación en que te ofrecen un .ics con el calendario de los conciertos de tu grupo de música favorito, pero hecho a mala leche.

Core Security avisó de esta vulnerabilidad a Apple en Enero. Luego, en Febrero, Apple dijo que solucionaría fallos en el parche de seguridad de Marzo, pero según esta empresa no arregló este fallo. Desde Core Security han vuelto a divulgar esta información y seguirán avisando aunque Apple no les haga caso. Curiosa falta de comunicación, sobre la que no se que pensar, no se si es que Apple no está de acuerdo, o no lo reconoce o qué.

busysync.jpg

Vía | Information Week