iCal con vulnerabilidades

 iCal

La aplicación iCal (calendario incorporado en tu Mac) parece ser que tiene tres vulnerabilidades las cuales podrían permitirle a un atacante entrar en la aplicación o ejecutar código remoto en el Mac atacado. Todo esto lo han comentado en la empresa de seguridad informática Core Security Technologies. Core Security ha publicado un aviso ayer donde detalla las vulnerabilidades, que afectarían a la versión 3.0.1 de iCal, la incluida en Mac OS X 10.5.1 (Leopard).

iCal Hacked

“La mas seria de las tres vulnerabilidades se debe a una potencial corrupción de memoria resultante de un fallo de liberación de recursos que puede lanzarse por medio de un calendario .ics especialmente diseñado por un atacante”

Las otras dos vulnerabilidades pueden utilizarse para entrar en iCal utilizando un fichero .ics malicioso. Core Security ha dicho que ha investigado la posibilidad de utilizar estos dos fallos para ejecutar código arbitrario aunque aún no ha comprobado si este tipo de ataque es posible.

 


Eso si, como viene siendo habitual, el peligro mayor está entre la silla y tu Mac, pues para que puedan explotarse esta vulnerabilidades habría que convencer al usuario de iCal de que abra un fichero .ics enviado, digamos, por email o alojado en un servidor. El atacante podría añadir o modificar ficheros en un servidor
CalDAV. No obstante no es algo muy descabellado pues hay gente muy confiada. Imagina una situación en que te ofrecen un .ics con el calendario de los conciertos de tu grupo de música favorito, pero hecho con malas intenciones.

Core Security avisó de esta vulnerabilidad a Apple en Enero. Luego, en Febrero, Apple dijo que solucionaría fallos en el parche de seguridad de Marzo, pero según esta empresa no arregló este fallo. Desde Core Security han vuelto a divulgar esta información y seguirán avisando aunque Apple no les haga caso. Curiosa falta de comunicación, sobre la que no se que pensar, no se si es que Apple no está de acuerdo, no lo reconoce o qué. De todo esto, lo mejor es no confiar en nadie a la hora de recibir archivos, aunque parezca un poco extremista.
[Via applerama]

About Domadis Cabrera

Geek por naturaleza. Technorati por pasión. Emprendedor y amante del buen diseño. Disfruto probando cualquier cosa relacionada con la tecnología, da igual si es software o hardware. Viajero frecuente y amante de la adrenalina. Me divierte solucionar problemas y puedes seguirme en tu red social favorita, sólo tienes que buscarme por mi nombre.

Deja tu respuesta

d74ca0a187f0ec6b40686c25dcd3d262557c7e84d8ef45591f