macOS 10.13 High Sierraのrootログイン脆弱性の怖さが分かる動画。

スポンサーリンク

 macOS 10.13 High Sierraのrootログイン脆弱性の怖さが分かる動画を幾つかまとめておきます。詳細は以下から。

macOS 10.13 High Sierraのインストーラーアイコン。

 日本時間の2017年11月29日 午前3時頃にトルコのソフトウェアエンジニアLemi Orhan ErginさんがツイートしたHigh Sierraの脆弱性はユーザ名に「root」と入力するだけで、パスワード無しに簡単に管理者権限を得られることから様々な方々が再現し、JPCERT/CCも注意喚起を出していますが、この脆弱性(不具合)によりHigh SierraのMacにどのような危険性が生じているかを分かりやすく把握出来る動画を幾つかまとめました。

macOS 10.13 High Sierraでroot名を利用するだけでシステム管理者になれる脆弱性

スポンサーリンク

物理的にアクセス出来る場合

 もし、rootユーザにパスワードが設定されていないHigh SierraのMacが放置されていた場合、悪意のあるユーザーは以下の様にMacを再起動またはログアウト状態からユーザ名「root」を入力して管理者権限でMacにログインすることが可能です。

 この手法はシステム環境設定アプリの[ログインオプション]からログイン時の表示に「ユーザのリスト」を選択するか、dsclコマンドでユーザ自体を隠すことで回避できますが、この設定をするくらいならrootアカウントのパスワードを設定するべきで、

sudo dscl . create /Users/hiddenuser IsHidden 1

この脆弱性のデモとしてログインオプションの権限をUnlockする動画がよく見かけられますが、Macにアクセスできるならば「FileVault」や「起動ディスク」、「App Store」、「日付と時刻」など管理者権限がないと変更できない機能全てにアクセスすることが出来ます。

リモートログインも可能

 この脆弱性を利用すればmacOSの画面共有機能やVNC, リモートデスクトップ機能を利用しリモートからrootでログインすることも可能で、macOSの画面共有やリモートログイン機能が有効になっていることが前提ですが、以下の様にモバイル端末からも簡単に管理者権限でリモートログインが可能になっているMacにアクセスすることが出来ます。

 この手法は既存のユーザがシステム環境設定の[共有]から「画面共有」機能をONにしなければ(defaultはOFF)ならないので、この機能を利用していないMacは安全だと思われますが、Screensや少し多機能なVNCクライアントだと周囲でVNCや画面共有、ARD機能を有効にしているMacを一覧にして表示してくれるので、やはりHigh Sierraの方は今すぐにrootアカウントのパスワードを設定する事をお勧めします。

画面共有機能をOFFにする方法

おまけ

 ガーディアンズ・オブ・ギャラクシーという映画を見ていないので詳しくは分かりませんが、この映画の中にGrootというキャラクターが登場しそのキャラクターの唯一の台詞が「I am Groot」となっているため、そこから派生しこの脆弱性を”#iamroot“とセキュリティ関係者らは表現しているようです。

コメント

  1. 匿名 より:

    この脆弱性は最悪だがガーディアンのGrootは愛あるキャラクターだから怖くない。
    あとガーディアン・オブ・ギャラクシーは正式名称じゃなくてガーディアン・オブ・ザ・ギャラクシー(GotG)が正しい。

  2. 匿名 より:

    これに懲りてもっとMacのセキュリティが上がるといいなぁ

  3. 匿名 より:

    原題は「Guardians of the Galaxy」
    邦題は「ガーディアンズ・オブ・ギャラクシー」
    ってwikipedia先生が言ってたよ!

  4. 匿名 より:

    darwinの問題ならば、iosにも同じ事があってもおかしくない。
    脱獄マニアが発奮してるだろうな。

  5. 匿名 より:

    一般ニュースサイトでもトップ来ちゃってるな
    バグ報告もロクに見てなかった確証も得られたし恥ずかしい。

    • 匿名 より:

      バグ報告ではなく、単にデベロッパー間のコミュニケーション上でのでしょ?あそこは見てないよ
      bugreport.apple.ocmでのとかどっかで出てた?

  6. 匿名 より:

    ガーディアンズ・オブ・ギャラクシーシリーズ見てないとかrootのパスワード設定しないでMac使ってるのと同じぐらいありえないw