Investigadores descubren ataques de notificación de archivos en Linux y otros sistemas

Un equipo liderado por Sudheendra Raghav Neela, de la Universidad Técnica de Graz, ha publicado un estudio que describe varios ataques basados en notificaciones de archivos. Las técnicas permiten vigilar la actividad del usuario en Android, Linux, macOS y Windows sin necesidad de leer los archivos afectados.

En Linux, los autores demuestran que un atacante puede emplear inotifywatch para observar un directorio y lanzar un ataque de temporización entre pulsaciones de teclas, aun sin permisos de lectura sobre los archivos. Además, describen un método de UI‑redress (también llamado clickjacking) contra KDE 5 y KDE 6: monitorizando /usr/bin/pkexec para detectar cuándo Polkit muestra el cuadro de autenticación, el atacante superpone una ventana falsa y captura la contraseña.

Ambas vulnerabilidades siguen presentes en los kernels actuales. El kernel Linux introdujo mitigaciones parciales en las versiones 5.10.248, 5.15.198, 6.1.160, 6.6.120, 6.12.65 y 6.18.3, todas publicadas en enero. El equipo también ofrece un parche de mitigación que evita que las ventanas de solicitud de contraseña pierdan el foco.

Los investigadores publicaron el artículo completo y un sitio con demostraciones, que incluye código de prueba y más detalles sobre la explotación. Para los administradores de sistemas, la recomendación inmediata es aplicar los últimos kernels disponibles y revisar la configuración de Polkit y KDE para evitar la superposición de ventanas.

Este hallazgo subraya la necesidad de revisar los mecanismos de notificación de archivos y de asegurar que los componentes de UI no sean manipulables mediante simples cambios de foco, algo que a menudo se pasa por alto en auditorías de seguridad tradicionales.