パスワードを忘れた？ アカウント作成
Close
8177 story

Mac OS Xに、外部からコード実行可能な脆弱性 13

ストーリー by Acanthopanax
穴あき 部門より

Secuniaが、Mac OS Xについてセキュリティ勧告を公開している。URIハンドラの"help"および"disk"に問題があり、悪意のあるウェブサイトを訪問することにより、外部から任意のスクリプトを実行されるおそれがある。Safari 1.2.1 (v125.1)およびInternet Explorer 5.2で問題が確認されたが、他のブラウザも攻撃に利用される可能性があるという。サンプルコードへのリンクが、MacNNの記事中にある。また、本家でもストーリーになっている。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Mac OS Xに、外部からコード実行可能な脆弱性 More

  • 本家にあるコメント [slashdot.org]を真似してみました。
    MisFox [clauss-net.de]というアプリケーション（日本語Read meあり）で、Protocol Helpersの中の「help」二対応しているアプリケーションを適当な物に変えるという物。
    上記本家コメントと同じくTextEditにしてみると、MacNNにリンクがあるサンプルページに入ってもTextEditが起動するだけでその後のコマンドは実行されませんでした。
    Help Viewerから何かを起動するというのは可能なので、あまり支障も無さげでこれで少し安心。
    ただし、サンプルページに書かれている様に
    /Library/Documentation/Help/MacHelp.help/Contents/Resources/
    English.lproj/shrd/OpnApp.scpt
    の10行目が悪いって指摘もありますし、悪意ある「ヘルプファイル」を仕込まれちゃってそのヘルプファイルをHelp Viewerで見て、更にそこにある「～を開く（Open the application for me）」とかってのをクリックしてしまうと…。
    URIハンドラとの合わせ技より遥かに安全でしょうけど:P。
    --

    ----
    :oすずめのおやどはどこじゃろぉ
    ('>ぴよぴよ

  • Safariでなくとも実行されますた (スコア:1, 参考になる)

    by Anonymous Coward on 2004年05月19日 21時22分 (#551717)
    リンク先のリンク先のサンプルページで引っかかりました
    MacOSX10.3.3 Mozilla1.7RC2という環境です
    何が悪いのか((((ﾟДﾟ)))ｶﾞｸｶﾞｸﾌﾟﾙﾌﾞﾙ

    • タレコミにあるMacNNの記事 [macnn.com]によれば、

      The flaw works with any browser, including Safari, Internet Explorer, and Firefox.
      (拙訳: この欠陥は Safari、IE、Firefox を含む、どのブラウザでも作動する)

      とありますので、Gecko 系は全滅かもしれません。Firefox では試していませんが、私も Mac OS X 10.3.3 + (Mozilla 1.7rc2 or Camino 0.8beta) でサンプルスクリプトが実行されてしまうのを確認しました。

      Safari がダメ、ということが KHTML がダメだということを意味するのであれば、OmniWeb 5 もダメかもしれませんね。
      # OmniWeb 4 や iCab ではどうなんだろう。

      Secunia のセキュリティ勧告 [secunia.com]は 05/19 付けで更新されていて、それによれば、

      • 効果的な対策はない
      • 被害を受ける可能性を減少させるには、
        • 信頼できないサイトを訪問しない
        • URI ハンドラに対する不要なプロトコルヘルパー(アプリケーション)を変更する
        • 特権ユーザで web サーフィンをしない

      だそうです。う～む。

      シェア
      親コメント

    • Bug 243699 [mozilla.org]ですね？Mozilla 1.7 final/1.8a1/Firefox 0.9では修正されているでしょう。

      シェア
      親コメント
  • 某セキュリティ系ML(日本語)で紹介されていた対策を紹介しておきます。
    ＃つーてもその人はProperty List Editorで編集しろ、って書いてたけど。
    管理者権限を持つユーザでTerminalから

    sudo defaults write '/System/Library/CoreServices/Help Viewer.app/Contents/Info' NSAppleScriptEnabled -bool false
    sudo chmod go+r '/System/Library/CoreServices/Help Viewer.app/Contents/Info.plist'

    を実行するとHelpViewerでAppleScriptを実行できなくなるようです。元に戻すにはfalseをtrueに書き換えて実行。
    なお、1行目がInfo.plistじゃなくInfoになっているのはtypoじゃありません。
    また、2行目は本来644であるパーミッションが600になってしまうのを元に戻すためです。

  • vmさんが、harden-mac MLにて、詳しく解説 [ryukoku.ac.jp]しておられます。続くスレッドにて対応策も出ております。

    私は、Gururiさんのコメント [srad.jp]にもある、/System/Library/CoreServices/Help Viewer.app/Contents/Info.plistにてNSAppleScriptEnabledをfalseとする方法で対処して、サンプルコードが実行されないのを確認しました。(Mac OS X 10.3.3 Safari 1.2、ヘルプビューワーが立ち上がるが、コマンドは実行されず。)

  • せんせい、しつもんです (スコア:0)

    by Anonymous Coward on 2004年05月20日 5時37分 (#552004)
    URI ハンドラってなんですか？

  • Intego (スコア:0)

    by Anonymous Coward on 2004年05月20日 6時52分 (#552015)
    この件について、Integoはどの程度速やかに対応できるでしょうかねぇ？
    # 最近の他の2件は個人的にはイマイチだし…。

  • Security Update 2004-05-24 (スコア:0)

    by Anonymous Coward on 2004年05月22日 8時40分 (#553606)
    Security Update 2004-05-24で早々に対策されたようですな。
typodupeerror

一つのことを行い、またそれをうまくやるプログラムを書け -- Malcolm Douglas McIlroy