Uma nova falha na última versão atualizada do OS X está sendo usada por hackers. A vulnerabilidade permite aos invasores instalar malware em um Mac sem a necessidade de nenhuma das senhas de acesso do computador – e a Apple promete resolver isso “o quanto antes”.
O problema é resultado de um novo erro de login no OS X, que pode ser explorado por desenvolvedores para criar arquivos com privilégios de administrador em qualquer lugar do sistema operacional.
Isso, como você já deve imaginar, não é nada bom. Ontem, pesquisadores da empresa anti-malware Malwarebytes anunciaram ter identificado um instalador malicioso correndo à solta pela web que explora a falha instalando malware sem a necessidade de inserir nenhuma senhas de acesso do computador. Eles explicaram o caso no blog:
Para aqueles que não sabem, o arquivo sudoers é um arquivo Unix escondido que determina, além de outras coisas, quem tem permissão para acessar a Unix shell e como. A modificação feita no arquivo sudoers, neste caso, permite ao app ganhar acesso pela Unix shell sem a necessidade de uma senha de acesso.
A grande sacada do script, entretanto, envolve modificar o arquivo sudoers. A mudança feita pelo script permite comandos shell serem executados como padrão usando o arquivo sudoers, sem a necessidade padrão de inserir uma senha.
Então o script usa o novo comportamento sem senha do sudoers para lançar o app VSInstaller, que é encontrado em um diretório escondido no instalador, dando a ele acesso completo ao sistema e com isso a habilidade de instalar qualquer coisa em qualquer lugar do computador.
Então, hmm, isso é ruim. A falha pode ser encontrada na mais nova e atualizada versão aberta do OS X, a 10.10.4, mas não está presente na versão beta, a 10.11 — o que sugere que os desenvolvedores da Apple sabiam que isso poderia se tornar um problema.
Segundo o The Guardian, a Apple vai incluir uma correção para essa falha na próxima atualização de segurança para o OS X, com o número de versão 10.10.5. A empresa também tomou a precaução de colocar na lista negra os apps que estão usando esse exploit.
É preciso esperar até os desenvolvedores da Apple lançarem o patch oficial — então tenha cuidado com os sites que você visita na internet. [Malwarebytes via Ars Technica]
Foto de capa: Björn Olsson/Flickr; atualizado em 05/08
fique por dentro das novidades giz
Inscreva-se agora para receber em primeira mão todas as notícias sobre tecnologia, ciência e cultura, reviews e comparativos exclusivos de produtos, além de descontos imperdíveis em ofertas exclusivas
