La herramienta de virtualización Parallels Desktop se encuentra en el centro de una tormenta tras el descubrimiento de un exploit de día cero que podría permitir a un atacante local obtener privilegios de root en macOS. ¿El motivo? Un parche supuestamente ineficaz que no ha logrado solucionar completamente la brecha de seguridad. El investigador Mickey Jin ha decidido hacer público el exploit después de que Parallels no respondiera a sus advertencias sobre esta vulnerabilidad, que podría ser utilizada por delincuentes cibernéticos en la vida real.
Exploits que burlan el parche
Parallels Desktop permite a los usuarios ejecutar otros sistemas operativos, como Windows y Linux, en sus Macs. Este software es popular tanto entre usuarios individuales como en entornos empresariales. El problema radica en un bug previamente reportado (CVE-2024-34331) que, aunque fue abordado con una actualización, se puede eludir con relativa facilidad, según sostiene Jin. A pesar de que notificó tanto a la Zero Day Initiative como a Parallels sobre esta brecha, la falta de acción por parte del fabricante lo llevó a tomar la decisión de hacer pública la explotación.
Desde el último contacto en julio de 2024, Parallels no ha dado respuesta a sus inquietudes, lo que ha dejado a muchos usuarios en un estado de vulnerabilidad.
Acceso root mediante un comando engañoso
El exploit descubierto se basa en una carencia de verificación de la firma de código en Parallels Desktop. El parche implementado solo verifica que el comando createinstallmedia esté firmado por Apple antes de su ejecución. Sin embargo, entre la validación de la firma y el inicio del comando, hay una ventana de tiempo que un atacante podría aprovechar para reemplazar createinstallmedia con una versión maliciosa, obteniendo así acceso total al sistema.
Esta situación subraya la importancia de mantener una vigilancia constante sobre las actualizaciones de software y las brechas de seguridad, especialmente en herramientas utilizadas en entornos críticos. La comunidad de usuarios de Parallels deberá estar atenta a futuras actualizaciones y recomendaciones de seguridad, pues el riesgo de explotación en el mundo real es muy elevado.