Windows版の「Apple Software Update」ツールに脆弱性 40
ストーリー by hylom
ご確認を 部門より
ご確認を 部門より
セキュリティ企業Morphisecが、「Apple Software Update」ツールにゼロデイ脆弱性が存在し、これがランサムウェアによる攻撃に悪用されていたことを報告している。
このツールはWindows版のiTunesやiCloudに同梱されており、10月7日にリリースされたiTunes for Windows 12.10.1やiCloud 10.7、iCloud 7.14ではこの脆弱性が修正されているとのこと。
問題の脆弱性は「unquoted path vulnerability」（引用符で囲まれていないパス）の処理に関連するもので、悪意のあるユーザーがこれを悪用することで悪意のあるプログラムを実行させることができるという。また、Apple Software UpdateはiTunesなどをアンインストールしても残されるとのこと（別途アンインストール作業が必要となる）。そのため、多くのマシンにこのコンポーネントが存在している可能性があるという。
いつものアレ (スコア:4, おもしろおかしい)
なかまに なりたそうに こちらをみている！
なかまに してあげますか？
┌───┐
│⇒はい│
│いいえ│
└───┘
iTunesが なかまに くわわった！
QuickTimeが なかまに くわわった！
Bonjour for Windowsが なかまに くわわった！
Apple Mobile Device Supportが なかまに くわわった！
Apple Software Updateが なかまに くわわった！
MobileMeが なかまに くわわった！
Apple Application Supportが なかまに くわわった！
Apple Software Updateが Safariを よびよせた！
Apple Software Updateが iPhoneソフトウェアを よびよせた！
Apple Software Updateが ランサムウェアを よびよせた！ ←New
Re:いつものアレ (スコア:1)
どうみてもこれこそが「悪意のあるプログラム」です。本当にありがとうございました。
# 最初まじで戦慄した。
Re: (スコア:0)
そこは、「僕、悪い"悪意あるプログラム"じゃなないよ」でしょう。
Re: (スコア:0)
それ、悪意があるプログラムがいっちゃだめでしょ。
Re: (スコア:0)
UWP版マジオススメ
Re: (スコア:0)
exeを解凍してiTunesとApple Application Supportと、場合によってはそれに加えてApple Mobile Device Supportだけ入れれば余計なの入れないで使えますよ。
Re: (スコア:0)
今回、アプリ本体をアンインストールしてもBonjourサービスが残ったままだと脆弱性が残ったままになる、
という点も表現して欲しかったなぁ。
それと、Windows の QuickTime と Safari は 既に Obsolete でアンインストール必須よ？
MobileMe も もうずっと前から iCloud だし。
現状に即していないから、座布団とるよ。
おかしいどころか、書いた奴が懐古厨っぽくてキモイ。
Re: (スコア:0)
コピペなんだから作成当時のラインナップなのは当然だろ。
なにをカリカリしてんだい？
もはや… (スコア:0)
バグや脆弱性のないソフトなんてないね。
OSもアプリもみな。所詮人間が作ったもの。
Re:もはや… (スコア:2, 参考になる)
ただ、この問題に限れば避けられたんじゃないかと思うんだけどな。
この仕様見た瞬間、これ危なくね？って思うじゃん？
https://docs.microsoft.com/en-us/windows/win32/api/processthreadsapi/n... [microsoft.com]
> For example, consider the string "c:\program files\sub dir\program name".
> This string can be interpreted in a number of ways.
> The system tries to interpret the possibilities in the following order:
> c:\program.exe
> c:\program files\sub.exe
> c:\program files\sub dir\program.exe
> c:\program files\sub dir\program name.exe
Re: (スコア:0)
スペース含んだパスなど認めん！MSが折れて直すまで叩き続ける！な人居るからね。
この異常なまでの攻撃性はなんなんだろうか…
Re: (スコア:0)
MSが折れてWinodwsで使えなくなっても、Linux系というか、Linuxが主流になる以前から Unixの世界では普通に使われてるもんだからなぁ。
Re: (スコア:0)
Re: (スコア:0)
pathがNULLなら、という特殊ケースでの動作説明だし
解釈はsystemと大して変わらんだろ
Re: (スコア:0)
そうなんですけどね、、徹底して叩くのもUnix信者という…
#そんなのお前だけの常識扱い
Re: (スコア:0)
Re:もはや… (スコア:1)
３つ問題点があると思う。
１．プログラム言語の文字列表現とコマンドラインともにダブルクォーテーションで囲む仕様になっている点。
どちらかが違う表記になっていたら問題に遭遇する可能性が減ったのではないか
２．コマンドラインが、実行プログラムと引数を正確に区別できない点。
もはや脆弱性扱いで良いのではないか
３．実行ファイルの拡張子を省略できる仕様
今更変えられないので別のシェルを作ったほうがいいのでは
Re: (スコア:0)
なんで当たり前のことを今更言ってるの……？
Re:もはや… (スコア:2, おもしろおかしい)
MSの不具合の場合には親の敵みたいに責められます。
異常者の集団 (スコア:0)
・Appleの話題なのに誰も言及していないMicrosoftについて語り始める、構ってちゃん。偏執的な人物像。
・話題を深めないコメントがほとんど。投稿者は知的な対話を求めていない。投稿のためにサイトを訪問している。
・オフトピになるどころか、おもしろおかしいが付く。組織的な関与が疑われる。
・スラド全般にわたって、Microsoftに関してのみに偏って、上記傾向が見られる。
上記心理学的・社会学的傾向から、ここは健全なコミュニティではなく、「コントロールされたコミュニティ」ですね。
普通のMicrosoftユーザーから見ると、ここは異常者の集団にしか見えず、Microsoftに対する激しい不信感を抱きます。
Re: (スコア:0)
鏡を見ろ。
Re: (スコア:0)
M$とか書いちゃう人は相手しちゃだめよ。。。
Re: (スコア:0)
もはやでもなんでもなく、バグも脆弱性も以前からそれなりあったが。
Re: (スコア:0)
テストはしてほしいよね。
「引用符で囲まれていないパス」なんて、結構恥ずかしいバグだと思うんだが・・・。
テストケースの蓄積って活用されてないんかね。
Re:もはや… (スコア:2, おもしろおかしい)
Appleみたいな世界トップの企業がやらかすバグじゃないよね、もう狙ってやってるんじゃないかな。
「macでは問題ないのにwindowsだとこれだよ。windowsはクソ糞kuso!!!」
Re:もはや… (スコア:3, すばらしい洞察)
Apple製品にセキュリティを求めるのが間違っている
Re: (スコア:0)
中国製品のバックドアの噂よりは確実にやってる。
Re: (スコア:0)
いかにもAppleがやらかしそうなバグじゃない。
Re: (スコア:0)
普通なら荒らしになる、Fワードを含む投稿に「おもしろおかしい」が付くんですね。
Microsoftの話題だと、マイナスになるどころか、ほぼ毎回、プラスになっている。運営が関与しているのはほぼ確実ですね（#3703267 [srad.jp]）。
中国並みに統制された、気持ち悪いコミュニティ。
広告費のためですか。そーですか。
でも、ステマ・言論の誘導は、はっきり言って、悪質です。
米国選挙での誘導も、ロシアを経由してMicrosoftがやってたんじゃねーの？
Re:もはや… (スコア:1)
コマンドラインパラメータのパス指定周りは魔窟。中身も見ずに恥ずかしいなんて言えない。
Re: (スコア:0)
アップルではエクセルを活用できないので。
Re: (スコア:0)
Appleにテスト品質を求めるのが間違い。
macOSも恥ずかしい脆弱性ばかり出してるじゃないか。
Re: (スコア:0)
脆弱性自体は引用符忘れという結構ありがちな内容。普通なら見つかったところでニュースにはならない。
どこにニュースバリューがあるかというと、それを悪用した標的型攻撃がセキュリティ企業によって確認されたということ。
Re: (スコア:0)
最早も何も、Apple製のソフト、それもWindows向けの品質の低さと来たら昔から酷いモノだったろうに。
Re:欲しがりません、勝つまでもなく (スコア:3, すばらしい洞察)
Win「ソフト自由に作っていいよ」
Mac「ユーザーに自由に作らせると糞ソフトが出るからOSのガイドラインやルールは守れ」
Mac「iTunesのWindows版できました」
Win「（何このWindowsの標準とかガン無視した糞ソフト）」
Re: (スコア:0)
もう病気だな
Re:相変わらずWindowsはクソだな (スコア:1)
現実と自分の認識が合わない時に現実の方を折ろうとすると頭がおかしくなるのは、ごく自然なことなのでは……