パスワードを忘れた? アカウント作成
12654226 story
MacOSX

Gatekeeperの脆弱性に対するAppleの修正、根本的な修正はされていなかったことが判明 17

ストーリー by headless
手軽 部門より
昨年9月、OS Xで信頼されないアプリケーションをブロックするGatekeeperに脆弱性CVE-2015-7024が発見され、Appleが修正プログラムを配布しているのだが、脆弱性の根本的な修正はされていないことが判明したそうだ(InfoWorldの記事Ars Technicaの記事9to5Macの記事)。

Gatekeeperでは実行を許可するダウンロード元として、Mac App Storeのみ、Mac App Storeと確認済みの開発元、すべてのアプリケーションという3段階の設定があり、設定に応じて署名の確認が行われる。ただし、署名の確認はユーザーの操作で最初に実行されるファイルにのみ行われるため、最初のファイルがAppleにより署名されている場合、2番目以降に実行されるファイルを置き換えることで、Gatekeeperの設定にかかわらず任意のファイルを実行できる。Appleのディスクイメージファイル(.dmgファイル)にパッケージングしてマルウェアの配布に使用することも可能だという。

脆弱性を報告したSynackのPatrick Wardle氏が修正プログラムを調べたところ、リパッケージングが可能と報告したいくつかのファイルをブラックリストに追加するだけのものだったという。そのため、ブロックされない別の実行ファイルを使用することで再現できたとのこと。Appleはこのファイルをブロックする修正プログラムを14日にリリースしているが、また別の実行ファイルを探すのは難しくないようだ。
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by Anonymous Coward on 2016年01月17日 12時23分 (#2950645)

    …って、ソニーネタじゃないのかい。

    • by miishika (12648) on 2016年01月17日 15時45分 (#2950705)
      スマートフォンの世界では、SONYはAppleの敵扱いされていないのか。
      親コメント
      • by Anonymous Coward

        よくわかりませんが、今のSonyに敵なんかいないでしょう。
        しいて言えば、Sony自身がSonyの敵のはず。

    • by Anonymous Coward

      あっぷるくん
      ふっとばされた!

    • by Anonymous Coward

      日曜日もお仕事こごくろー様です

    • by Anonymous Coward

      まだGKがソニーだと思っている人いるんだ

  • by Anonymous Coward on 2016年01月17日 14時03分 (#2950670)

    こんな検査機能だと例のXcodeGhostがいくらでも再発するのでは?と思ったけどXcodeの公式配布は全部固めたアプリ形式のインストーラ(setup.exeみたいなもの)だから検査対象で問題ないのか。当然インストーラパッケージ(*.msiみたいなもの)くらいはチェックしてると思うけどディスクイメージにパッケージとはどういうことなんだろう。ディスクイメージ(*.zip圧縮フォルダとか*.cabみたいなもの?)自体までは検査しないと思うし。どっちにしてもインストーラなりアプリが外部のファイルに依存するのは潜在的に危険ということなんでしょうか。

    #ザル機能だか知らないが10.8以降なんてうちにはないし縁がない…と思っていたらGatekeeperは10.7.5にもついているとのこと。常用環境じゃないから気がつかなかった(そっちのほうが問題)。

    • Re: (スコア:0, すばらしい洞察)

      by Anonymous Coward

      ^ ^mac使ってるのにdmgも知らないの?

      • 別の(恥ずかしい系)コメントの後だったのでACコメントのままで、おかげでメッセージセンターに上がってきてませんでした。

        さすがにディスクイメージは知っています(*.smiとかは忘れた)が例示しようとして失敗しました。昔はWindowsで仮想CDソフトとか使ってましたが、ああいうの(*.iso?)を例えに持ってくればよかったですね。

        少なくとも「(*.zip圧縮フォルダとか*.cabみたいな?もの)」としていれば…。

        親コメント
      • by Anonymous Coward

        ダメージファイルかあ

typodupeerror

「毎々お世話になっております。仕様書を頂きたく。」「拝承」 -- ある会社の日常

読み込み中...