Month of Apple Bugs、まずQuickTimeの脆弱性を公表

AppleやMac OS Xのソフトウェアに関する脆弱性を1月中の毎日公表するというMonth of Apple Bugsが開始された。まず最初に公表されたのはQuickTimeのrtsp URLハンドラに関する脆弱性。Mac OS X版およびWindows版のQuickTime 7.1.3と、おそらくそれ以前のバージョンも影響を受けるという。細工を施した長いrtsp URLによりバッファオーバーフローが発生し、リモートから任意のコードを実行させることができるとのこと。Secuniaのセキュリティ勧告ではこの脆弱性の危険度を、5段階評価で上から2番目のHighly criticalとしている。

Mac OS X用の対策

[Acanthopanax (5019)]

本家記事経由 [slashdot.org]ですが、Mac OS Xについては、この脆弱性に対処するApplication Enhancer用モジュール [bikemonkey.org]が公開されています。

Re:Mac OS X用の対策

[Anonymous Coward]

>Application Enhancer用モジュールが公開されています
いくらDarwinの開発者が作ったとはいえApple非公式パッチを適用させるのはなぁ
一般ユーザーにどうやって入れさせるつもりなんだろう

脆弱性の危険度

[Anonymous Coward]

たまたまなのか良くあることなのかわからないけど、先日のMac OS X、ディスクイメージの取り扱いに脆弱性 [srad.jp]では、当初"Highly critical"とされたものが結局"Not critical"になっちゃったしhttp://secunia.com/advisories/23012/ [secunia.com]、どの程度真面目(?)にとらえとけばええのだろうか。
# それによって自分が何かアクション起こすとかいうことじゃないんだけどさ。

Re:脆弱性の危険度

[Anonymous Coward]

100問題があると発表されたうちの1つが問題なかったからといって
他の99も問題はないと判断する馬鹿はいないよね。

Appleはつい最近も致命的なQuickTimeのゼロデイ攻撃が行われている
脆弱性を長期間にわたって放置していた前科もあるので、Highlyから
Extremely critical になるのも時間の問題では？

というよりQuitckTimeなんて使っちゃいけないソフトのリストを
作ったら、トップクラスにあるよ。

Re:脆弱性の危険度

[vn (10720)]

というよりQuitckTimeなんて

なんか、痒そうな名前だ。

Re:脆弱性の危険度

[Anonymous Coward]

>Appleはつい最近も致命的なQuickTimeのゼロデイ攻撃が行われている
>脆弱性を長期間にわたって放置していた前科もあるので、Highlyから

酷いね。嘘付いちゃダメでしょう。

Re:脆弱性の危険度

[Anonymous Coward]

> Appleはつい最近も致命的なQuickTimeのゼロデイ攻撃が行われている
> 脆弱性を長期間にわたって放置していた前科もあるので、Highlyから
> Extremely critical になるのも時間の問題では？

Critical かどうかを、放置されている時間によって決めるなんて「ありえない」と思う。

Re:脆弱性の危険度

[Anonymous Coward]

>Critical かどうかを、放置されている時間によって決めるなんて「ありえない」と思う。

時間ではなく、容易に攻略できるかどうか、実際に攻撃が行われているか
で危険度は上昇すると言っている。

Appleは、昨年の12月初旬にSNSのMySpace上で激しく行われた攻撃
（悪意のスクリプト埋め込み）に関して、警告無しでJavaScriptを
実行する仕様は「脆弱性」だという指摘に対し、「適切な機能」と
断言して脆弱性ではないと否定し、長期間放置したよね。

MySpaceからの強い要請にやっと重い腰をあげ、MySpace専用の修正
パッチをMySpace経由でリリースするなど、お世辞にも適切とは
いえない陳腐な対応でした。

「嘘」「ありえない」といういい加減なコメントで現実から
目をそむけるから、「マカーは…」って言われるんだよね。

Re:脆弱性の危険度

[Anonymous Coward]

> 時間ではなく、容易に攻略できるかどうか、実際に攻撃が行われているかで危険度は上昇すると言っている。

いや Critical なもんは攻撃が行われていようといまいと Critical なんであると思う。
というか、そもそも、もとの投稿者が「時間の問題」なんて言うのがいけない。

Re:脆弱性の危険度

[Anonymous Coward]

MySpaceの脆弱性はQuickTime自体に問題がある訳ではないと
いうのがAppleの見解であり、だから修正は公式提供されない。

技術的に疎いとセキュリティゴロの恫喝と煽りを真に受けるんだな。

Re:脆弱性の危険度

[Anonymous Coward]

MySpaceの脆弱性はQuickTime自体に問題がある訳ではないと いうのがAppleの見解であり、だから修正は公式提供されない。

馬鹿言うな。QuickTime自体の脆弱性だよ。Appleが馬鹿なだけ。

技術的に疎いとセキュリティゴロの恫喝と煽りを真に受けるんだな。

お前のことか？

Re:Windowsでやってよ

[Anonymous Coward]

> こんなマイナー機種&OSでやっても、

QuickTimeはWindws版もあります。
iTunesとともにインストールされますし、
助かる人間も多かろう。

# iTunes 7から自動ソフトウェアアップデート機能をバンドルしたのは、
# これを見越してのこと？

Re:Windowsでやってよ

[JnJ (23012)]

iTuneは使ってなくてデジカメで撮った動画再生のために
iTuneなしのQuickTimeとAutoUpdate入れたところ
直後にAutoUpdateがQuickTime+iTuneを入れろと言ってきました。
入れたくなかったからわざわざiTuneなしを選んだのにこれはどうかと思う。

--
LAN内LAN稼働中

Re:Windowsでやってよ

[Anonymous Coward]

> iTune

iTunesね。

Re:Windowsでやってよ

[Anonymous Coward]

助かるの？
未修正の脆弱性を次々と発表されるわけだけど、
ユーザは困るんじゃないかな。

Appleなんて既知の脆弱性で攻撃が行われていても
なかなか修正しないことがあるし。

Re:Windowsでやってよ

[Anonymous Coward]

Microsoftの製品と違って攻撃が広がっているなんてことはありません。
セキュリティアップデートも比較的適切に適時行われているし。
すぐに対策が必要な重大なことで被害が広がるなら、迅速にして欲しい
のは分かるけれど、そうでないなら急がず適切な対応の方が重要です。

Re:Windowsでやってよ(おふとぴ)

[Anonymous Coward]

「ジャーゴン」がわかりやすいとも思えませんが。