Se ha detectado un fallo de seguridad que afecta a la última versión del sistema operativo de Apple, macOS High Sierra. Esta vulnerabilidad permite a una persona con acceso a un Mac afectado acceder a la cuenta de admin (root) sin necesidad de contraseña, obteniendo control total del equipo.
Actualización 30/11/2017
Publicada la actualización que corrige el problema de seguridad. Para obtenerla, se deben seguir los pasos que se indican en la propia página de soporte de Apple: https://support.apple.com/en-us/HT208315
Recursos afectados
Aquellos equipos Mac que utilicen la última versión de su sistema operativo, macOS High Sierra 10.13.0, 10.13.1, y macOS High Sierra 10.13.2 beta.
Solución
Desde Apple han notificado que están trabajando en una actualización del sistema que solucione la vulnerabilidad, por lo que recomendamos estar pendientes los próximos días de las actualizaciones.
En el mismo comunicado, Apple aconseja a sus usuarios habilitar la cuenta de root y asignarle una contraseña para prevenir el acceso no autorizado, indicando los pasos para la configuración de la misma en su página web, que son los siguientes:
- Selecciona el menú Apple > Preferencias del Sistema y haz clic en Usuarios y grupos (o Cuentas).
- Haz clic en
y, a continuación, introduce el nombre y la contraseña de administrador. - Haz clic en Opciones inicio sesión.
- Haz clic en Acceder (o Editar).
- Haz clic en Abrir Utilidad de Directorios.
- Haz clic en el candado de la ventana Utilidad de Directorios y, a continuación, introduce el nombre y la contraseña de administrador.
- En la barra de menús de Utilidad de Directorios:
- Selecciona Editar > Activar usuario root y, a continuación, escribe la contraseña que quieres usar para el usuario root.
- bien, elige Editar > Desactivar usuario root.
Es importante no dejar la cuenta de root deshabilitada hasta que se solucione la vulnerabilidad, ya que, en caso de hacerlo, el dispositivo continúa siendo vulnerable.
Detalles
La vulnerabilidad fue anunciada en el día de ayer, 28 de noviembre, a través de la red social Twitter tras ser descubierta por Lemi Orhan Ergin. Posteriormente, ha sido confirmada por múltiples usuarios.
La cuenta de root es una cuenta de administrador incluida por defecto en los equipos Mac para tener todos los permisos del sistema y poder realizar tareas para las que una cuenta normal no tiene permisos.
Por defecto, esta cuenta en macOS se debería encontrar deshabilitada, pero en la versión High Sierra, la configuración se guarda erróneamente, dejando la cuenta habilitada y la contraseña en blanco. Cuando un usuario introduce la cuenta root sin escribir contraseña, tras varios intentos obtiene acceso a la misma.