Captura de pantalla 2014-12-23 a las 9.51.50

Amigos, aunque no lo sepáis, como toda maquina Unix, tenéis mas puertos abiertos de serie en vuestro equipo de los que estáis pensando. Por eso, si sois unos paranoicos de “la seguridad” (recordad que el día que quieran entrar, van a entrar si o si) que os ponéis histéricos porque se encienden las luces de vuestro disco duro cuando “no esta haciendo nada el equipo” ahora mismo estaréis, no solo revisando los puertos de vuestro equipo compulsivamente, sino llamando a vuestro a vuestro abogado para denunciar a Apple porque “esto no os lo ha dicho”.

El caso es que hay/había un agujero de seguridad considerable desde hace años en el NTPD o el servidor de la hora. Porque todos los Unix tienen un puerto que, si se les pregunta, responden la hora que ellos tienen. Esto no es más que un puerto de sincronización para otros servicios, desde transferencia de ficheros, hasta la sincronización de archivos entre dos equipos, bases de datos, etc… donde, lo importante es la hora de cada cosa.

Por eso han sacado hoy una actualización (bueno, ayer) que recomiendan que instaléis “lo antes posible” porque los chicos de Google han encontrado un agujero de cojones (que lleva tiempo) y que afecta a las versiones del demonio instalado desde 10.8 en adelante.

Si queréis saber que es lo que pasa realmente, simplemente con buscar el CVE-2014-9295 tenéis el “que”. Pero se trata de un simple ataque de buffer, es decir, envían al demonio más datos de los que procesa y los datos extras, simplemente los ejecuta el sistema pudiendo enviar/recibir lo que les salga del pirulo (un buffer overflow de toda la vida).

¿Es grave?, pues si, es grave y desde aquí os recomendamos que lo instaléis pero sin tanto alarmismo. De hecho este bug es mas preocupante que el del SSL y no hay tanto grito.

El caso es que los métodos de actualización son conocidos por todos.