Un fallo en Safari pone en peligro contraseñas almacenadas

Esta misma semana, los analistas de Kaspersky Lab alertaban de la detección de una vulnerabilidad en Safari.

El navegador de Apple, como muchos otros navegadores, puede restaurar las sesiones de navegación previas. En otras palabras, todos los sitios que estaban abiertos en la sesión anterior – hasta aquellos que requieren autorización – pueden restaurarse siguiendo determinados pasos cuando se abre el navegador. Esta opción realmente es cómoda para el usuario, pero en absoluto segura.

Por Kaspersky Lab – 

Para que el navegador sepa qué estaba abierto en la sesión previa, la información al respecto debe guardarse en algún lado. Es obvio que debe estar en algún lugar que no permita el acceso a cualquiera y la información tiene que estar codificada. Pero el problema es que Safari no codifica las sesiones previas y las guarda en un formato de archivo plist común que es de fácil acceso. Por ese motivo, no resultaría complicado encontrar las credenciales de inicio de sesión del usuario

La sesión autorizada completa del sitio se guarda en el archivo plist, completamente a la vista a pesar de que se usó https. El archivo en sí se encuentra en una carpeta oculta, pero cualquiera puede leerlo.

El sistema puede abrir un archivo plist sin problemas. Guarda información sobre la sesión guardada – incluyendo las solicitudes http codificadas usando un simple algoritmo de codificación Base64 – en formato estructurado.

Existe una función en Safari: ‘Reabrir todas las ventanas de la última sesión’ que hace que los sitios se ab abran tal y como estaban al final de la última sesión. Es la función que utiliza LastSession.plist. La función está disponible en las siguientes versiones de Mac OS X y Safari:

##OSX10.8.5, Safari 6.0.5 (8536.30.1)

##OSX10.7.5, Safari 6.0.5 (7536.30.1)

[smartads]

Según los expertos de Kaspersky Lab, sería un gran problema que los cibercriminales o un programa malicioso tuviese acceso al archivo LastSession.plist en un sistema en el que el usuario ingresa a Facebook, Twitter, LinkedIn o su cuenta bancaria de Internet.

Almacenar información confidencial sin codificarla y permitir el acceso a ella sin restricciones es un gran fallo de seguridad que ofrece a los usuarios maliciosos la oportunidad de robar datos a los usuarios haciendo un esfuerzo mínimo. Hemos informado a Apple sobre el problema.

Por ahora no se ha detectado ningún código malicioso que esté tratando de aprovechar esta vulnerabilidad, pero no tardará en aparecer si no se soluciona antes por parte de Apple.