Gatekeeperの脆弱性に対するAppleの修正、根本的な修正はされていなかったことが判明 17
ストーリー by headless
手軽 部門より
手軽 部門より
昨年9月、OS Xで信頼されないアプリケーションをブロックするGatekeeperに脆弱性CVE-2015-7024が発見され、Appleが修正プログラムを配布しているのだが、脆弱性の根本的な修正はされていないことが判明したそうだ(InfoWorldの記事、
Ars Technicaの記事、
9to5Macの記事)。
Gatekeeperでは実行を許可するダウンロード元として、Mac App Storeのみ、Mac App Storeと確認済みの開発元、すべてのアプリケーションという3段階の設定があり、設定に応じて署名の確認が行われる。ただし、署名の確認はユーザーの操作で最初に実行されるファイルにのみ行われるため、最初のファイルがAppleにより署名されている場合、2番目以降に実行されるファイルを置き換えることで、Gatekeeperの設定にかかわらず任意のファイルを実行できる。Appleのディスクイメージファイル(.dmgファイル)にパッケージングしてマルウェアの配布に使用することも可能だという。
脆弱性を報告したSynackのPatrick Wardle氏が修正プログラムを調べたところ、リパッケージングが可能と報告したいくつかのファイルをブラックリストに追加するだけのものだったという。そのため、ブロックされない別の実行ファイルを使用することで再現できたとのこと。Appleはこのファイルをブロックする修正プログラムを14日にリリースしているが、また別の実行ファイルを探すのは難しくないようだ。
Gatekeeperでは実行を許可するダウンロード元として、Mac App Storeのみ、Mac App Storeと確認済みの開発元、すべてのアプリケーションという3段階の設定があり、設定に応じて署名の確認が行われる。ただし、署名の確認はユーザーの操作で最初に実行されるファイルにのみ行われるため、最初のファイルがAppleにより署名されている場合、2番目以降に実行されるファイルを置き換えることで、Gatekeeperの設定にかかわらず任意のファイルを実行できる。Appleのディスクイメージファイル(.dmgファイル)にパッケージングしてマルウェアの配布に使用することも可能だという。
脆弱性を報告したSynackのPatrick Wardle氏が修正プログラムを調べたところ、リパッケージングが可能と報告したいくつかのファイルをブラックリストに追加するだけのものだったという。そのため、ブロックされない別の実行ファイルを使用することで再現できたとのこと。Appleはこのファイルをブロックする修正プログラムを14日にリリースしているが、また別の実行ファイルを探すのは難しくないようだ。
GK乙 (スコア:1)
…って、ソニーネタじゃないのかい。
Re:GK乙 (スコア:1)
Re: (スコア:0)
よくわかりませんが、今のSonyに敵なんかいないでしょう。
しいて言えば、Sony自身がSonyの敵のはず。
Re: (スコア:0)
あっぷるくん
ふっとばされた！
Re: (スコア:0)
日曜日もお仕事こごくろー様です
Re: (スコア:0)
まだGKがソニーだと思っている人いるんだ
メッシュの再発明 (スコア:0)
こんな検査機能だと例のXcodeGhostがいくらでも再発するのでは？と思ったけどXcodeの公式配布は全部固めたアプリ形式のインストーラ（setup.exeみたいなもの）だから検査対象で問題ないのか。当然インストーラパッケージ（*.msiみたいなもの）くらいはチェックしてると思うけどディスクイメージにパッケージとはどういうことなんだろう。ディスクイメージ（*.zip圧縮フォルダとか*.cabみたいなもの？）自体までは検査しないと思うし。どっちにしてもインストーラなりアプリが外部のファイルに依存するのは潜在的に危険ということなんでしょうか。
#ザル機能だか知らないが10.8以降なんてうちにはないし縁がない…と思っていたらGatekeeperは10.7.5にもついているとのこと。常用環境じゃないから気がつかなかった（そっちのほうが問題）。
Re: (スコア:0, すばらしい洞察)
^ ^mac使ってるのにdmgも知らないの？
Re:メッシュの再発明 (スコア:2)
別の（恥ずかしい系）コメントの後だったのでACコメントのままで、おかげでメッセージセンターに上がってきてませんでした。
さすがにディスクイメージは知っています(*.smiとかは忘れた)が例示しようとして失敗しました。昔はWindowsで仮想CDソフトとか使ってましたが、ああいうの(*.iso？)を例えに持ってくればよかったですね。
少なくとも「（*.zip圧縮フォルダとか*.cabみたいな？もの）」としていれば…。
Re: (スコア:0)
ダメージファイルかあ
Re: (スコア:0)
最近の若い者は「とにかく最短距離を」という拙速主義も知らんのかと。
300人を1日待たせるのは、一人を300日待たせるのと等しいのです（ｷﾘｯ
ご連絡先
Re:さすが王者Apple (スコア:1)
対症療法を出したことで根本対策を止めてしまっては不味いけれど、
ひとまず目の前に見えている直接的問題は早々に潰しておくというのは別に間違っていないと思います。
Re: (スコア:0)
1～2年前、ハッキングコンテストでchrome陥落しIEが残った。
その穴を2ヵ月ぐらいし埋めたら、IEのセキュリティーホールを
懸命に叩きに祭りにしたのを思い出した。