Un fallo en software para auriculares Sennheiser expone a usuarios de Windows y macOS incluso después de desinstalarlo

Sennheiser ha desvelado una vulnerabilidad grave en su software HeadSetup y HeadSetup Pro, una app para permitir que los auriculares de la marca y teléfonos de con altavoz funcionen correctamente con ordenadores.

Gracias a la instalación de un certificado de seguridad con una llave de cifrado extremadamente fácil de extraer, el problema básicamente invalida HTTPS en cualquier PC o Mac haciendo simple para un hacker llevar a cabo un ataque _man in the middle_ haciéndose pasar por cualquier empresa legítima en la web.

En Genbeta

Steam tenía un bug con el que podías haber tenido acceso a todas las claves de activación de cualquier videojuego

Para llevar a cabo su función, el software HeadSetup establece un WebSocket cifrado con un navegador, y lo hace instalando un certificado autofirmado en la ubicación central que el sistema operativo reserva para almacenar autoridades de raíz de certificados de confianza del navegador.

Desinstalar la app no elimina los certificados problemáticos

Para entender por qué eso es un problema hay que saber que ese certificado de HeadSetup almacenó su llave de seguridad en un formato fácil de extraer, investigadores de Secorvo le dijeron a ARS Technica que les tomó apenas unos minutos hacerlo. Una vez que se logra esto se puede tener control de cualquier autoridad de certificados del ordenador en el que se haya instalado HeadSetup y hasta el año 2027, cuando el certificado de seguridad expiraba.

Con esto en mente cualquier atacante podría crear un simple certificado haciéndose pasar por empresas como Google, o el mismo Sennheiser, dejando expuesto a cualquiera a simples falsificaciones de certificados TLS. Además, desinstalar la app no elimina los certificados de raíz que hacen vulnerables a los usuarios.

Sennheiser dice haber solucionado el problema y explican que actualizar a la última versión de la aplicación elimina los certificados vulnerables, y además el mismo Microsoft invalidó los certificados en Windows este 27 de noviembre.

Recomiendan actualizar a la última versión de HeadSetup tanto en Windows como en macOS, sin embargo, si el usuario no tiene activas las actualizaciones automáticas del sistema o no puede recibir actualizaciones automáticas por alguna razón, ofrecen paso a paso cómo eliminar el problema en cada sistema.

Foto de portada | Won Jae Pablo Kim