Investigadores de la Universidad Técnica de Graz han descubierto vulnerabilidades en los sistemas de notificación de archivos en Android, Linux, macOS y Windows. Según el estudiante de doctorado Sudeendra Raghav Neela, "las viejas vulnerabilidades" afectan a las subsistemas que cada sistema operativo moderno utiliza para notificar a las aplicaciones sobre cambios en los archivos. Se han encontrado problemas en inotify (Linux, desde 2005), ReadDirectoryChangesW (Windows, desde 2000), FSEvents (macOS, desde 2007) y FileObserver (Android, desde 2008).
Estos subsistemas no revelan el contenido de los archivos, pero sus eventos funcionan como un canal lateral de transmisión de datos. Un atacante puede realizar ataques basados en los intervalos entre pulsaciones de teclas, tanto localmente (precisión del 93,1–100%) como a través de SSH (100%), ataques de huellas digitales de sitios web (87,9% en los 100 más populares) y suplantación de la ventana de autenticación en KDE Plasma 6 bajo Wayland.
La vulnerabilidad de Linux (CVE-2025-68788) fue parcialmente corregida en diciembre de 2025 en las versiones del núcleo 5.10.248, 5.15.198, 6.1.160, 6.6.120, 6.12.64 y 6.18.3. La actualización bloquea los eventos de "acceso" y "cambio" para archivos en el directorio /dev/. En Android, FileObserver elude la capa FUSE: una aplicación sin permisos puede monitorear la carpeta privada de WhatsApp y, por el nombre del archivo y la marca de tiempo, ver cuándo se envían o reciben fotos, videos y documentos. No hay correcciones para Android por el momento.
macOS proporcionó la menor información: no se encontraron elusiones de lectura de carpetas privadas. Sin embargo, FSEvents permitía rastrear cambios en archivos .plist: configuraciones de sonido, energía, Bluetooth, impresoras, cambios de DNS, montaje de volúmenes, instalación y desinstalación de aplicaciones. En Windows, la observación del directorio raíz del disco C revela la ruta completa de cada archivo independientemente de los permisos, suficiente para rastrear sitios en Firefox con una precisión del 97,8%. "Microsoft nos informó que esto es 'por diseño' y que es una función no documentada. Esta respuesta fue nominada como la reacción más poco convincente de un proveedor en los premios Pwnie Awards 2026", declaró Neela.
Artículos relacionados
