macOS 10.13 High Sierraのインストーラーに古いXProtectが同梱され、XProtectのアップデートが出来ない状態に。

　macOS 10.13 High Sierraのインストーラーに古いXProtectが同梱され、ソフトウェア・アップデートに失敗する不具合が確認されています。詳細は以下から。

　Appleは現地時間2017年09月26日、macOS 10.13 High Sierraを正式にリリースしましたが、その前後でリリースされたmacOSのウィルス定義ファイル「XProtect」のバージョン管理がHigh Sierraのインストーラーで出来ておらず、一部のMacでXProtectのソフトウェア・アップデートが出来ない状態になっているそうです。

TLDR; High Sierra installer replaces XProtect config version 2095 with version 2094. SoftwareUpdate fails to re-update them once High Sierra is installed

After installing High Sierra late last week, we fired up UXProtect to further explore XProtect Yara rules and blacklists. Much to our surprise, the XProtect v2095 signatures installed on September 29th were rolled back to v2094 (August 24th) during the upgrade process. When we attempted to reinstall the v2095 update, it failed! SoftwareUpdate still believed that v2095 was installed.

High Sierra installer reverts XProtect rules – Digita Security LLC

原因

　XProtectの詳細を表示できるアプリ「UXProtect」を開発しているアメリカのセキュリティ企業Digita Securityや数名のセキュリティ関係者によると、AppleはHigh SierraのインストーラーにXProtect v2094を同梱しており、これがアップグレード時に既存のXProtectのデータベースを上書してしまうため、

インストーラーにより古いXProtectのデータベース(v2094)に戻されたのにもかかわらず、SoftwareUpdateコマンドから見ると最新(v2095)のデータベースがインストールされているように見えるため、再アップデートが出来ない状態に陥っているそうです。

1. 2017年08月24日にXProtect v2094がリリース。
2. 2017年09月26日にXProtect v2094を同梱した「macOS 10.13 High Sierra」がリリース。
3. 2017年09月29日にXProtect v2095がリリース。
4. XProtect v2095アップデート後に「macOS 10.13 High Sierra」へアップグレードすると、XProtectが古いv2094へ上書きされるが、SoftwareUpdateはv2095がインストールされているものと勘違いしv2095へアップデートできない。

　この不具合はXProtect v2096がリリースされれば修正されると思われますが、v2094へ戻されてしまったユーザーはそれまでv2095でブロックされた「OSX.AceInstaller.B.2」および「OSX.Hmining.D」の攻撃を受ける可能性があるため、どうしても心配な方は自己責任でAppleのCDNからXProtect v2095のpkgをダウンロード(以下直リンのURL)し、もう一度上書きしてみて下さい。

http://swcdn.apple.com/content/downloads/41/05/091-30878/j7ddye4o197r1vcvqmyn5p71ri6hiogmhd/XProtectPlistConfigData.pkg

swcdn.apple.com

おまけ

　XProtectのバージョンをチェックするには以下のdefaultsコマンドか、「UXProtect」や「Critical Updates」などのユーティリティを利用する事で簡単に確認でき、

この問題はディスクユーティリティの脆弱性やAdobe InDesignの不具合が修正された「macOS 10.13 High Sierra追加アップデート」でも再現できる事を確認しました。

defaults read /System/Library/CoreServices/XProtect.bundle/Contents/Resources/XProtect.meta Version

• High Sierra installer reverts XProtect rules – Digita Security LLC
• macOSの「XProtect」および「Malware Removal Tool」、「Gatekeeper」アップデート履歴。