Se ha descubierto una falla importante en las aplicaciones de Microsoft para macOS, que permite a los piratas informáticos acceder a micrófonos y cámaras en computadoras Mac sin la autorización de los usuarios.
La vulnerabilidad fue revelada por el equipo de ciberseguridad de Cisco Talos, que destacó en un blog los detalles de cómo los atacantes pueden explotar este agujero y las medidas que Microsoft está tomando para mitigar el problema.
Entre las aplicaciones vulnerables se encuentran Microsoft Outlook, Teams y otros productos de Microsoft para macOS.
Aplicaciones de Microsoft afectadas y gravedad de la falla
La falla permite a los piratas informáticos utilizar una técnica conocida como inyección de biblioteca para apropiarse de los permisos ya otorgados a estas aplicaciones, lo que permite el acceso inadecuado a recursos críticos como el micrófono y la cámara.
En macOS, Apple utiliza el sistema Transparency Consent and Control (TCC) para administrar los permisos de acceso a funciones sensibles del dispositivo, como la cámara y el micrófono.
Este sistema normalmente requiere que las aplicaciones obtengan el consentimiento explícito del usuario para acceder a estos recursos. Sin embargo, la falla descubierta permite que el software malicioso eluda estas restricciones explotando permisos previamente otorgados a aplicaciones legítimas de Microsoft.
Detalles técnicos de la vulnerabilidad
Cisco Talos ha identificado un total de ocho vulnerabilidades en aplicaciones de Microsoft para macOS, cada una de las cuales permite a los atacantes eludir los permisos de seguridad del sistema operativo.
Esto allana el camino para acceder a funciones como la grabación de audio y la captura de imágenes, sin que el usuario sea notificado ni tenga que otorgar nuevos permisos.
El problema es particularmente preocupante porque afecta a una variedad de aplicaciones ampliamente utilizadas en el entorno corporativo, donde la seguridad de la información es crucial.
Además de Microsoft Teams y Outlook, otras aplicaciones del paquete Microsoft Office, como Word y PowerPoint, también son vulnerables. Curiosamente, Excel, a pesar de ser parte de la misma suite, no ha sido identificado como vulnerable a esta infracción específica.
Necesitas saber esto hoy:
- ¡URGENTE! La “estafa de BIA” reclama víctimas en una aplicación bancaria
- celular usado: “cómo vendí el mío a MUCHO en internet”
- Burnout y teléfono móvil: cómo el uso del dispositivo se relaciona con enfermedades incluso cuando no se trabaja
Respuesta de Microsoft y medidas correctivas
Microsoft ya ha iniciado el proceso de reparación de la falla, aunque resolver completamente el problema no parece ser una prioridad inmediata para la empresa. Según Cisco Talos, Microsoft clasifica el riesgo como bajo ya que la vulnerabilidad implica el uso de bibliotecas no firmadas que admiten complementos de terceros.
Después de ser alertado sobre el problema, Microsoft actualizó las aplicaciones Teams y OneNote para macOS, ajustando la forma en que estos software manejan la validación de la biblioteca.
Sin embargo, otras aplicaciones de Microsoft, como Excel, PowerPoint, Word y Outlook, siguen siendo vulnerables.
La falta de una solución integral genera preocupación entre los expertos en seguridad, quienes se preguntan por qué Microsoft eliminó la validación de bibliotecas en primer lugar, especialmente cuando no es necesario cargar bibliotecas adicionales para estas aplicaciones.
Recomendaciones de seguridad y sugerencias de mejora
Los investigadores de Cisco Talos sugieren que, además de las acciones de Microsoft, Apple también podría desempeñar un papel más activo en la mejora de la seguridad de TCC.
Una sugerencia es que el sistema operativo macOS avise a los usuarios cuando se carguen complementos de terceros en aplicaciones que ya tienen permisos concedidos. Esta medida aumentaría la transparencia y permitiría a los usuarios tomar decisiones más informadas sobre la seguridad de sus dispositivos.
Este incidente subraya la importancia de una vigilancia continua sobre la seguridad de las aplicaciones, especialmente en entornos corporativos donde la confidencialidad y la integridad de la información son esenciales.
La falla descubierta en las aplicaciones de Microsoft para macOS expone los riesgos que pueden surgir cuando los agujeros de seguridad no se abordan de manera inmediata y efectiva.
La colaboración entre grandes empresas de tecnología como Microsoft y Apple y equipos de seguridad independientes como Cisco Talos es crucial para garantizar que las vulnerabilidades se identifiquen y solucionen rápidamente.
Sin embargo, una respuesta lenta o parcial por parte de las empresas involucradas puede dejar a los usuarios expuestos a riesgos importantes, comprometiendo la confianza en productos ampliamente utilizados.
