現在地 HOME > 掲示板
> ＩＴ４ > 237.html
★阿修羅♪
|
現在地 HOME > 掲示板
> ＩＴ４ > 237.html
★阿修羅♪
|
|
パーソナルテクノロジー：
Mac OS Xに脆弱性みつかる-但し10.3 Pantherなら大丈夫【CNET Japan記事】
http://japan.cnet.com/news/tech/story/0,2000047674,20061691,00.htm
2003年10月30日(木) 2時07分
米国のインターネットセキュリティ調査会社、＠Stakeは、米Appleの
Mac OS Xで新たに見つかった脆弱性に関して警告を発した。
＠Stakeは米国時間29日に3つのアドバイザリーをリリースした。1番め
は、OS Xがファイルおよびディレクトリへのパーミッション（アクセス許
可）を扱う方法にみられる「システム全体」での欠陥を詳述している。2
番めのアドバイザリーは、カーネルレベルの脆弱性を詳しく述べたもので、
デフォルトのインストールを行ったシステムあれば、この脆弱性の影響は
ない。そして３番めは、バッファーオーバーフローに関連するもので、こ
の欠陥を悪用され、リモートマシンからネットワーク経由でシステム内部
にアクセスされてしまう可能性がある。
Appleは、これらのセキュリティ上の欠陥について、修正用のパッチを
未だにリリースしていない。@StakeはMacユーザーに対して、この欠陥に
対する脆弱性のない最新版のOS、OS X 10.3 ( Panther)にアップグレード
するよう忠告している。なおPantherは129ドルで販売されている。
1番めのアドバイザリーによると、セキュリティ面の安全性に欠けるフ
ァイルパーミッションを持ったMac OS X上に、アプリケーションがインス
トールされるため、いくつかのアプリケーションでは、それを構成してい
る数多くのファイルやディレクトリが、全面的に書き換え可能な状態にあ
るという。@Stakeによると、この問題が攻撃者に悪用された場合、攻撃者
にはシステムに対する限られたアクセス権しかなくても、プログラムの
（一部となっている）ファイルを自らの好むファイルに置き換えることで
きてしまう。そして、セキュリティに関して疑いを持たないユーザーが、
この置き換えられた（バイナリーファイルを含む）アプリケーションを起
動すると、そのユーザーから別のアクセス権を手に入れてしまうという。
「このトロイの木馬の役目をはたすバイナリーファイルによって、攻撃
者は自分の限られたアクセス権を、そのバイナリーファイル（を含んだア
プリケーション）を起動したユーザーの持つアクセス権と同等まで拡大し
てしまう」（アドバイザーの記述）
2番めの欠陥は、デフォルトでないインストールを行ったシステムだけ
に影響するもので、あるシステムに対して限られたアクセス権しかない攻
撃者でも、そのシステムを利用する他のユーザーの認証に関する詳細情報
が盗めてしまうというもの。
「あるシステムが、コアファイルを有効にした状態で動作している場合
に、インタラクティブなシェルへのアクセス権を持つ攻撃者は、任意のフ
ァイルを上書きでき、またルートに属するプロセスによってつくられたコ
アファイルも読めてしまう。これが結果的に、認証に必要な情報など機密
性の高い情報の改ざんにつながる可能性がある」（アドバイザーの記述）
@Stakeのリサーチディレクター、Chris WysopalがZDNet Australiaに語
ったところでは、何らかの技術的な理由で、このOSの古いバージョン向け
にフリーでダウンロードできるパッチがリリースできないわけではないと
いう。「ファイルのパーミッションに関する問題は極めて深刻だ。これは
個別のマシンだけに影響する欠陥だが、ただし大学や図書館のような、複
数の人間が一台のマシンを共有している環境では悪い影響が出る」
（Wysopal）
「そうした環境でMacを管理している人間は、我々がアドバイザリーの
なかに記しているコマンドを使って、グローバルに書き換え可能なアプリ
ケーションがないかどうかをチェックしてみるべきだ。そうしておかない
と、確実に攻撃者に先を越されてしまう」とWysopalは付け加えた。
@Stakeでは、安全性に欠けるファイルパーミッションの有無を調べる次
善策として、Unixのコマンドを使って、各ファイルやディレクトリのパー
ミッションをひとつづつ確認していくという方法を示している。ただし、
このやり方が初心者には難しいかもしれないと、Wysopalも認めている。
関連記事：
Mac OS X 10.3 「Panther」発売に
新Mac OS X-Pantherは129ドルで年内発売
この記事は海外CNET Networks発のニュースをCNET Japanが日本向けに編集したものです。
題名には必ず「阿修羅さんへ」と記述してください。