macOS 10.13.2までのHigh SierraのApp Store設定がパスワード無しでロック解除される不具合が発見される。

macOS High Sierra

2018.01.11

記事内に広告が含まれています。

　macOS 10.13.2までのHigh SierraのApp Store設定がパスワード無しでロック解除される不具合が発見されています。詳細は以下から。

　Mac Rumorsによると、2018年01月10日現在で最新のmacOSとなる「macOS 10.13.2 High Sierra」のシステム環境設定 → [App Store]に設定されているロックが、~~任意の~~パスワード無しで解除される不具合を米Meredith Corporationのシステム管理者として働いているEric Holtamさんが発見し、Open Radarに登録したそうです。

A lot of FUD in this article @MacRumors. It's not as serious as you make it out to be. This needs admin access to the machine already and only affects the AppStore prefs. All other system prefs do not unlock this way. Likely an oversight in the security changes in 10.13.x https://t.co/KQDmokw4Jh

— Eric Holtam (@eholtam) 2018年1月10日

Summary:
The AppStore Preferences in System Preferences can be unlocked by a local admin with any bogus password.

Steps to Reproduce:

Log in as a local admin

Open App Store Prefpane from the System Preferences

Lock the padlock if it is already unlocked

Click the lock to unlock it

Enter any bogus password

Expected Results:
The authorization to fail.

Actual Results:
Authorization succeeds and grants access to change the AppStore preferences.

rdar://36350507: AppStore Preferences lock is a lie – Open Radar

検証

　Eric Holtamさんは「不安を煽るような記事(FUD:Fear, Uncertainty and Doubt)が出てしまっているが、この問題はMacに直接アクセス出来るシステム管理者でなければ利用できず、加えてApp Storeの設定以外では再現できなかったと」コメントしており、

システム管理者としてシステム環境設定アプリの[App Store]設定を開くと、デフォルトで設定変更の鍵がUnlockされているため、大きな問題にはならないと思われますが、macOS 10.13.2 Build 17C205では以上の通り、任意のパスワードで設定のUnlockが可能でした。

.@MacRumors The AppStore setting opens up as unlocked by default when logged in as an admin.

— Eric Holtam (@eholtam) 2018年1月10日

　この不具合は現在開発者やPublic Betaユーザー向けに公開されている「macOS High Sierra 10.13.3 beta 4 Build 17D34a」では既に修正され、High Sierra以外のmacOS(macOS 10.12.6 Sierra Build 16G1114など)では再現できませんでした。

動画内で打ち込んでいるパスワードは任意のパスワード(“Hogehoge”)です

おまけ

　ただし、High Sierraではユーザ名に「root」を利用することでパスワード無しに管理者としてMacにログインできる「#Iamroot」脆弱性が発見され、その後追加アップデートをリリースし、開発プロセスを見直すことを約束しましたが、

その他にもログイン画面でパスワードエリアにフォーカスされていない段階でパスワードを入力すると、ロック中のMacのアプリにパスワードが入力されてしまう不具合などが確認されているため、開発者や元AppleのエンジニアRyan Jonesさんなどからもリリースサイクルや、QA(Quality Assurance)部門を見直したほうがいいといったコメントが出ているそうです。

Cold hard truthbomb:

Apple’s software quality is down and decreasing – iOS and macOS. Combined with their services quality – which was never even average.

I give ZERO F’s about excuses like speed and volume.

Fix it or change management, this year.

— Ryan Jones (@rjonesy) 2018年1月10日

On one hand its quite obvious that yearly “major” OS X releases aren’t working, on the other hand can you imagine 2 years of High Sierra…

— Paul Haddad (@tapbot_paul) 2018年1月10日

追記

　”Any Password”でなく、“No Password”でも可能でした。コメント欄でのご指摘ありがとうございます。

Hoo-boy. macOS has yet *another* password flaw — which lets a logged-in admin user change App Store preferences by entering any random or no password at all. Here's the details. https://t.co/vsBL62qaiI pic.twitter.com/E1J7ASWk7r

— Zack Whittaker (@zackwhittaker) 2018年1月10日