Investigadores de seguridad de Cisco Talos han encontrado ocho vulnerabilidades en distintas aplicaciones de Microsoft para el sistema operativo macOS, que incluyen herramientas ofimáticas como Word, Excel, PowerPoint, OneNote, el correo de Outlook y el programa para videoconferencias Teams.
Estas brechas de seguridad facilitarían a potenciales atacantes acceso al micrófono, la cámara, las carpetas, la grabación de pantalla, la entrada del usuario y otros elementos.
Desde Cisco Talos denuncian que si los usuarios ya han concedido permisos a estas apps para acceder a recursos de sus equipos eso supone que la manera en la que el gigante tecnológico ha diseñado sus herramientas es susceptible de ser explotada para grabar vídeo o audio en secreto sin que los usuarios se percaten de ello.
"Si una aplicación de confianza se ve comprometida, podría ser manipulada para abusar de sus permisos, lo que posibilita a los atacantes realizar acciones sin el conocimiento del usuario", advierten los investigadores.
"Por ejemplo, si se explota una aplicación de chat de video con acceso a cámara y micrófono, podría verse obligada a grabar sin alertar al usuario", añade.
Todas las vulnerabilidades estarían relacionadas con la inyección de bibliotecas, una técnica contra la que macOS se defiende mediante una configuración llamada Hardened Runtime. Pero esta también restringe algunas capacidades de las que pueden dependen las aplicaciones, así que
Apple aconseja a los desarrolladores que pueden "agregar un derecho para deshabilitar una protección individual" para garantizar la funcionalidad de sus aplicaciones.
Cisco Talos argumenta que Microsoft ha agregado derechos para las aplicaciones afectadas, deshabilitando algunas de las protecciones proporcionadas por Hardened Runtime, y lo ha hecho innecesariamente.
Microsoft ha tomado medidas, pero ¿son suficientes?
Tras el informe Microsoft habría actualizado sus aplicaciones Teams y OneNote para eliminar ese derecho y, por tanto, la posible vulnerabilidad.
No obstante, las apps de Excel, Outlook, PowerPoint y Word siguen siendo vulnerables y "dejan la puerta abierta para que los adversarios exploten todos los derechos de las aplicaciones y, sin que el usuario lo solicite, reutilice todos los permisos ya otorgados a la aplicación, sirviendo efectivamente como un corredor de permisos para el atacante", señala Cisco.
"Los casos revelados no representan un riesgo de seguridad significativo, ya que la técnica descrita requiere que el atacante ya tenga un cierto nivel de acceso al sistema", justifica un portavoz de la empresa de Redmond.
"Sin embargo, hemos implementado varias actualizaciones para mayor protección, como se detalla en el informe. Como mejor práctica, los clientes deben mantener su software actualizado y revisar regularmente los permisos de las aplicaciones", sugiere.