En 2024, Microsoft identificó una vulnerabilidad en Safari que podía afectar a la privacidad de los usuarios de macOS. El fallo fue denominado HM Surf y quedó registrado como CVE-2024-44133.
La vulnerabilidad podía permitir el acceso no autorizado a determinados datos protegidos. Entre ellos se encontraban el historial de navegación, la cámara, el micrófono y la ubicación del dispositivo.
Tal y como informó ADSLZone, el problema estaba relacionado con el sistema de Transparencia, Consentimiento y Control (TCC) de Apple.
Este mecanismo de macOS controla los permisos que tienen las aplicaciones para acceder a información y funciones sensibles del dispositivo.
Qué era la vulnerabilidad HM Surf de Safari
HM Surf permitía eludir determinadas protecciones de privacidad de macOS relacionadas con Safari.
Según la investigación de Microsoft, un atacante podía modificar archivos asociados a la configuración del navegador. De esta forma, podía intentar acceder a información protegida sin contar con la autorización habitual del usuario.
El fallo podía afectar a diferentes tipos de información y permisos, como:
- Historial de navegación.
- Acceso a la cámara.
- Acceso al micrófono.
- Información relacionada con la ubicación.
La vulnerabilidad era especialmente relevante porque afectaba a mecanismos diseñados precisamente para proteger la privacidad del usuario.
Apple corrigió la vulnerabilidad en 2024
Microsoft comunicó el problema a Apple antes de publicar los detalles de su investigación.
Apple corrigió la vulnerabilidad CVE-2024-44133 el 16 de septiembre de 2024 con el lanzamiento de macOS Sequoia 15.
Por este motivo, los equipos correctamente actualizados ya disponen de la corrección correspondiente.
El caso recuerda la importancia de mantener macOS y el resto de aplicaciones actualizadas. Las actualizaciones de seguridad permiten corregir vulnerabilidades que podrían ser utilizadas para comprometer un dispositivo.
Relación entre HM Surf y el malware AdLoad
Durante su investigación, Microsoft también detectó actividad relacionada con AdLoad, una familia de malware dirigida a dispositivos macOS.
La compañía observó comportamientos relacionados con técnicas similares a las utilizadas por HM Surf. Sin embargo, esto no permitía confirmar que AdLoad estuviera aprovechando específicamente esta vulnerabilidad, por lo que Microsoft señaló que continuaría investigando esta actividad.
Por qué HM Surf afectaba especialmente a Safari
El funcionamiento de Safari dentro de macOS es diferente al de otros navegadores.
Apple proporciona a Safari determinados permisos relacionados con el sistema TCC. Esto permite ofrecer algunas funciones integradas en macOS, pero también hizo posible el funcionamiento de HM Surf.
Otros navegadores no disponían de los mismos permisos privados asociados a Safari. Por este motivo, la vulnerabilidad no les afectaba de la misma manera.
Cómo proteger un Mac frente a vulnerabilidades
Aunque HM Surf fue corregida en 2024, mantener el sistema actualizado sigue siendo una de las principales medidas de seguridad.
Es recomendable:
- Actualizar macOS cuando existan nuevas versiones y correcciones de seguridad.
- Mantener los navegadores actualizados para corregir posibles vulnerabilidades.
- Revisar los permisos de las aplicaciones que pueden acceder a la cámara, el micrófono o la ubicación.
- Evitar instalar software de fuentes desconocidas o poco fiables.
- Comprobar periódicamente la configuración de privacidad del dispositivo.
La vulnerabilidad HM Surf demuestra que incluso los mecanismos diseñados para proteger la privacidad pueden presentar fallos. En este caso, Apple corrigió la vulnerabilidad en septiembre de 2024, por lo que mantener el sistema actualizado permite disponer de la corrección y reducir la exposición al problema.