hax4live: ejecución de código arbitrario en Max for Live a través de dispositivos maliciosos
Por Jorge Martínez Hurtado (Hack the Music)
Abstract
Tradicionalmente, la investigación de ciberseguridad se ha centrado principalmente en ámbitos meramente cercanos a tecnologías de la información: herramientas, ecosistemas, soluciones comerciales, algoritmos, protocolos, etcétera. Esto es debido en gran parte a que el riesgo en estos ámbitos es evidente de observar y considerado prioritario de proteger, en especial al ser conocedores de la rentabilidad asociada al negocio del crimen relacionado con la ciberseguridad. Por ello, resulta evidente la búsqueda de vulnerabilidades en tecnología de la información desplegada globalmente, sin importar su ámbito o aplicación y en especial siendo conocedores de que actores maliciosos también llevan a cabo esfuerzos de investigación y explotación.
No obstante, es preciso efectuar una reflexión: la investigación en el ámbito de la tecnología se lleva a cabo debido a que la misma industria es consciente de los riesgos y la criticidad de los sistemas informáticos que se buscan proteger. Pero, ¿Qué ocurre en otras industrias que no necesariamente son conocedoras de estos riesgos? ¿Qué ocurre cuando la seguridad de la información se percibe como un aspecto complejo, de difícil implementación o, sencillamente, ajeno?
Existen numerosos ámbitos e industrias que, en materia de seguridad, todavía tienen un largo camino por recorrer, y la musical es una de ellas. A través de las labores de investigación efectuadas en el entorno de I+D de Hack the Music, se ha logrado identificar una serie de carencias de seguridad con carácter generalizado en la industria musical que afectan a fabricantes de software, hardware, servicios, y a actores de la industria como medios de comunicación, sellos discográficos, agencias de management y artistas, entre otros.
Mediante la presente publicación, se expondrá en detalle una vulnerabilidad en Max, un framework orientado al desarrollo de aplicaciones audiovisuales interactivas que se ofrece en modalidad standalone y como software embebido en Ableton Live, uno de los programas de producción y edición musical (DAW; Digital Audio Workstation) más utilizados a nivel mundial. Este fallo de seguridad, al que se le ha asignado el identificador CVE-2026-36439, permite la ejecución de código arbitraria y sin interacción por parte de usuario en el entorno de Max (standalone) y en Ableton Live.