Spotlight, un caballo de Troya en tu Mac: una vulnerabilidad zero-day en macOS permite "espiar" los datos de los usuarios

Investigadores de Microsoft presentaron la investigación Sploitlight, en la que mostraron una vía práctica para eludir el mecanismo de protección TCC en macOS mediante el abuso de complementos de Spotlight: la vulnerabilidad permite extraer datos de bases protegidas, incluidas las que alimentan las funciones de Apple Intelligence.

La investigación se basa en una característica antigua, pero vigente: la posibilidad de que los complementos de Spotlight accedan a archivos protegidos por TCC para su indexación. El complemento se inicia por el sistema y funciona en un entorno restringido, pero aun así tiene el derecho de leer los archivos que Spotlight le encargó procesar.

Los autores demuestran que la restricción de transmisión de datos desde la sandbox se evita mediante notificaciones del sistema Darwin: cuando la propia notificación no puede llevar una carga útil, el nombre de la notificación se convierte en un canal para transmitir bytes. El complemento envía sucesivamente notificaciones con nombres que codifican valores de bytes (0–255), y un oyente externo recoge esos eventos y reconstruye el contenido del archivo.

La demostración práctica se realizó en macOS Tahoe — La prueba de concepto (PoC) consta de dos proyectos de Xcode: un complemento y «oyente». En las pruebas, el objetivo fue la base knowledgeC.db, que almacena telemetría y datos de comportamiento. El complemento logró leer y transmitir los primeros bytes del archivo, aunque el acceso directo desde un proceso ordinario estaba prohibido. Anteriormente ya se habían registrado evasiones similares; en particular la corrección CVE-2024-54533 y la corrección más reciente CVE-2025-31199.

Los autores señalan las limitaciones del método: se requieren privilegios locales para instalar el complemento; el canal es extremadamente estrecho y no sirve para exfiltrar gigabytes de datos en tiempo real; algunos archivos no se indexan o ya tienen un controlador registrado que no se puede sobrescribir. Además, en sistemas modernos se muestra una notificación al usuario al instalar el complemento, pero el proceso responsable de mostrar ese aviso puede ser suspendido por un atacante.

La conclusión práctica es que Spotlight sigue siendo una parte útil y, al mismo tiempo, potencialmente peligrosa de macOS, ya que su extensibilidad ofrece ventajas significativas y, a la vez, crea canales de fuga. Las medidas propuestas incluyen endurecer la instalación de complementos, exigir su confirmación e introducir una aprobación explícita por parte del usuario antes del registro, así como revisar los mecanismos de notificación entre procesos para que los nombres de eventos no puedan servir de canal para datos secundarios. La misma idea ya se ha debatido en la comunidad, y nuevas investigaciones, incluido un informe en una conferencia, impulsan cambios más estrictos en la arquitectura del indexador.