Recientes investigaciones han puesto al descubierto una vulnerabilidad crítica en el sistema operativo macOS de Apple. Esta falla permite a atacantes con privilegios de usuario estándar desactivar herramientas de seguridad de nivel empresarial, como sistemas EDR (Endpoint Detection and Response) y MDM (Mobile Device Management), sin necesidad de credenciales de administrador ni exploits a nivel de kernel.
¿En qué consiste el fallo técnico?
El problema reside en la forma en que macOS gestiona la comunicación entre procesos, conocida como XPC (Cross-Process Communication), y cómo valida la identidad de las aplicaciones mediante el CDHash (un identificador criptográfico de autenticidad).
Investigadores de la firma XM Cyber descubrieron que macOS almacena en caché y reutiliza estos identificadores de forma insegura. Una vez que el sistema operativo valida el CDHash de una aplicación, continúa confiando en ella incluso si un atacante modifica ciertos componentes internos (como los archivos NIB de la interfaz de usuario). Esto permite a un proceso malicioso suplantar a una aplicación legítima y enviar comandos privilegiados a servicios del sistema que deberían estar protegidos.
Impacto en la seguridad empresarial
La gravedad de este hallazgo radica en que permite neutralizar las defensas de la organización de forma silenciosa. En las pruebas de concepto, los investigadores lograron:
- Desactivar CrowdStrike Falcon: Neutralizando por completo la visibilidad de red y la monitorización de procesos.
- Inhabilitar Kandji MDM: Eliminando la capacidad de la empresa para gestionar y asegurar el dispositivo de forma remota.
Lo más preocupante para el sector corporativo es que esta técnica no genera alertas de seguridad convencionales, ya que el sistema operativo «cree» que las instrucciones provienen de una fuente de confianza.
La respuesta de Apple y recomendaciones
A pesar de la relevancia del hallazgo, los informes indican que Apple no tiene planes inmediatos para corregir la vulnerabilidad subyacente en el núcleo de macOS. Esto traslada la responsabilidad de la mitigación a los desarrolladores de software de seguridad y a los administradores de sistemas.
Desde el departamento de ciberseguridad de Intedya, recomendamos a las empresas que utilizan ecosistemas Mac las siguientes acciones:
- Actualización inmediata de agentes: Proveedores como Kandji y CrowdStrike ya han lanzado parches específicos para sus aplicaciones que refuerzan la validación lógica de XPC.
- Revisión de políticas de privilegios: Aunque el ataque no requiere permisos de administrador, limitar la capacidad de ejecución de aplicaciones no firmadas sigue siendo una práctica esencial.
- Monitorización de integridad: Implementar controles adicionales que verifiquen la integridad de los archivos de configuración de las herramientas de seguridad.
Este incidente subraya una realidad fundamental en la ciberseguridad moderna: incluso los sistemas percibidos como altamente seguros requieren una vigilancia constante y una estrategia de defensa en profundidad que no dependa exclusivamente de las validaciones nativas del sistema operativo.
Fuentes
- Dark Reading — Apple’s MacOS Gap Lets Users Disable Security Tools
https://www.darkreading.com/application-security/apple-macos-security-gap-users-disable-security-tools